ช่วยผมด้วยครับพี่ๆ ผมจะไม่เหลืออะไรแล้ว เหอะๆ

Add to Reputation:  

What do you think of this post?

I agree I disagree  
Comment:

[www.HOSTRANG.com]

1.คือว่า เครื่องผมโดนไวรัสไอเฟรม ห๊ะ ลูกค้าหลายร้อย user และเว็บ โดนหมด มีลอดไปประมาณ 20%

2.ตอนนี้ ผมก็โดน ไวรัส มันรัน แสปม ไป หลายๆที่ ทำให้ผมโดน แบล๊กลิส ไอพี อีกด้วย และก็มะรู้จะทำไงดี

3.ทางผมก็ ปิด cgi หมดแล้วครับ ยังรัน Phel ได้อีกครับ เหอะๆ

ตอนนี้ เมลล์ ก็ส่งไม่ออก โฮสก็ ล่มบ่อย ได้แต่ kill ผมไม่ไม่ค่อยมีความรู้อะครับ รบกวนพี่ๆช่วยแนะนำหน่อยนะครับ

สิ่งที่อยากจะทำตอนนี้
1.ปิดการรัน CGI อย่างถาวร ห้ามมีรันอีก
2.ทำไงดีครับ ฮ๊อตเมลล์มันแบนไปแย้ว

ผมเครียดจะตายแล้วครับพี่ๆ รบกวนจิงๆนะครับ

เมลล์ผมนะ server_kid@hotmail.com

[capucino]

ใช้ control panel อะไรครับ

[www.HOSTRANG.com]

ใช้ control panel อะไรครับ

DA ครับ

[Siamwebsolution.com]

1.ตั้งสติ ค่อยๆคิด
2.แจ้งเหตุผลที่แท้จริงให้ลูกค้าทราบ
3.ทำตามกระทู้แนะนำนี้ ลองค้นดูครับ
4.ติดต่อหามือปืนหลายๆท่านในนี้ให้ช่วย
5.เช็ค spam listed http://www.dnsbl.info แล้วตรวจสอบ server ของเราให้ดีว่าปลอดภัยแล้ว จึงค่อยส่งเมล์ไปคุยเป็นเจ้าๆไป

ผมโดนอยู่เช่นกัน 1 เครื่อง
server ยังปลอดภัยไม่สมบูรณ์  ว่าเสร็จแล้วจะเมล์ไปคุยเช่น

ขอให้โชคดีครับ 
นี่แหละงานของเรา ขอให้ทำใจและสู้ หาวิธีแก้ไขกันไปครับ

//เพิ่มเติม

โดยปกติ บางที่เราไม่ต้องเมล์แจ้งนะครับ เค้าจะรอดูประมาณ 24-48 ชั่วโมง
ถ้าเครื่องเราไม่มีการ spam ออกไป  เค้าจะปลดให้เองอัตโนมัติ
ซึ่งก่อนหน้านี้ผมติดอยู่ 5 ที่   ตอนนี้เหลือ 4 ที่แล้ว  ยังไม่ได้แจ้งที่ไหนไปเลย

[www.HOSTRANG.com]

1.ตั้งสติ ค่อยๆคิด
2.แจ้งเหตุผลที่แท้จริงให้ลูกค้าทราบ
3.ทำตามกระทู้แนะนำนี้ ลองค้นดูครับ
4.ติดต่อหามือปืนหลายๆท่านในนี้ให้ช่วย
5.เช็ค spam listed http://www.dnsbl.info แล้วตรวจสอบ server ของเราให้ดีว่าปลอดภัยแล้ว จึงค่อยส่งเมล์ไปคุยเป็นเจ้าๆไป

ผมโดนอยู่เช่นกัน 1 เครื่อง
server ยังปลอดภัยไม่สมบูรณ์  ว่าเสร็จแล้วจะเมล์ไปคุยเช่น

ขอให้โชคดีครับ 
นี่แหละงานของเรา ขอให้ทำใจและสู้ หาวิธีแก้ไขกันไปครับ

//เพิ่มเติม

โดยปกติ บางที่เราไม่ต้องเมล์แจ้งนะครับ เค้าจะรอดูประมาณ 24-48 ชั่วโมง
ถ้าเครื่องเราไม่มีการ spam ออกไป  เค้าจะปลดให้เองอัตโนมัติ
ซึ่งก่อนหน้านี้ผมติดอยู่ 5 ที่   ตอนนี้เหลือ 4 ที่แล้ว  ยังไม่ได้แจ้งที่ไหนไปเลย

ขอบคุณครับ ว่าแต่จะมีมือปืนที่ไหนใจดีมา ช่วยผมได้เนี่ย หุๆ

ตอนนี้ที่หลักๆคือ เพิล ครับ ไม่อยากให้มันรันเลย

[ICOM]

ลองติดต่อคุณ hack3rb43 หรือคุณ KKE หรือคุณ Bestthaihost ใครอีกละนึกไม่ออก
ดูครับ

ลองหา cgi ไปพลางๆก่อน (รู้สึกจะเป็นข้อความของคุณ KKE น่ะ ผมลืมจดไว้)

หา cgi ทำงาน

#find /home/*/domains/*/public_html/cgi-bin/ -iname \*.cgi -ls
#find /home/*/domains/*/public_html/cgi-bin/ -iname \*.pl -ls
 #find /home/*/domains/*/private_html/cgi-bin/ -iname \*.cgi -ls
 #find /home/*/domains/*/public_html/cgi-bin/ -iname \*.pl -ls

หรือ

ps aux|grep cgi
เสร็จแล้ว
lsof -p <process id>
โดใช้ process ID ที่เราได้มาจากคำสั่ง ps aux ครับ
เราจะได้รู้ว่า script ที่ถูกฝังนั้น มาจาก virtual host ไหน
จากนั้นก็เข้าไปทำการปิด cgi ซะ

[BestThaiHost]

ไม่สามารถปิดหรือลบ perl ออกไปจากเครื่องได้ครับ เพราะว่ามีโปรแกรมหลายๆตัวในเครื่องต้องการใช้ perl
ต้องแยกเป็น 2 กรณีครับ
1. virus iframe : ก่อนอื่นไล่เปลี่ยน password ของลูกค้าที่โดนให้หมด เสร็จแล้วก็ไล่ลบ iframe ออก
2. โดนฝัง perl script : อันดับแรก ตรวจสอบ mail queue ของเราก่อน ว่ามีคิวค้างอยู่กี่หมื่นฉบับ เสร็จแล้วลบออกให้หมด จากนั้นให้ทำการหาต้นตอว่ามัน run มาจาก web site ไหน

ปล. ตรวจสอบ php.ini ด้วยว่าได้ปิด function system, exec พวกนี้หรือยัง ถึงแม้เราปิด cgi ไว้แต่ยังเปิด exec อยู่ ทางผู้บุกรุกก็สามารถสั่งให้ พีื perl script ได้ผ่านทาง PHP

[HOSTNEVERDIE]

น่ากลัวแฮะ virus iframe แต่พูดซะตกใจเลย ผมไม่เหลืออะไรแล้ว
ค่อยๆ แก้ไปครับ ปัญหาทุกอย่างแก้ได้ ถ้าแก้เองไม่ไหวลองปรึกษาคุณ แมน kke ดูครับ 
เอาใจช่วยครับ ผมว่าตอนนี้รีบถอดสาย lan และแก้ปัญหาก่อนดีกว่าไหมครับ
ไม่รู้แนะนำถูกป่าวรอผู้รู้มาตอบ แต่ผมเจ้าเว็บ hostrang.com ได้ปกตินะครับ ช้านิดหน่อยเท่านั้นเอง

[ATimeHost.com]

ไม่สามารถปิดหรือลบ perl ออกไปจากเครื่องได้ครับ เพราะว่ามีโปรแกรมหลายๆตัวในเครื่องต้องการใช้ perl
ต้องแยกเป็น 2 กรณีครับ
1. virus iframe : ก่อนอื่นไล่เปลี่ยน password ของลูกค้าที่โดนให้หมด เสร็จแล้วก็ไล่ลบ iframe ออก
2. โดนฝัง perl script : อันดับแรก ตรวจสอบ mail queue ของเราก่อน ว่ามีคิวค้างอยู่กี่หมื่นฉบับ เสร็จแล้วลบออกให้หมด จากนั้นให้ทำการหาต้นตอว่ามัน run มาจาก web site ไหน

ปล. ตรวจสอบ php.ini ด้วยว่าได้ปิด function system, exec พวกนี้หรือยัง ถึงแม้เราปิด cgi ไว้แต่ยังเปิด exec อยู่ ทางผู้บุกรุกก็สามารถสั่งให้ พีื perl script ได้ผ่านทาง PHP

+1 ครับ

[InterServer.Asia-คุณภาพต้องมาก่อน]

เอาใจช่วยครับ 

[hack3rb43]

ปิด cgi perl จาก host ให้หมดต้องแก้ tempplate da apache แล้ว rewrite ใหม่ครับ ที่นี้จะรันไม่ได้เลย

[KKE]

ปิด CGI
#perl -pi -e 's/cgi-ON/cgi-OFF/' /usr/local/directadmin/data/users/*/user.conf
#perl -pi -e 's/cgi-ON/cgi-OFF/' /usr/local/directadmin/data/users/*/reseller.conf
#perl -pi -e 's/cgi-ON/cgi-OFF/' /usr/local/directadmin/data/users/*/domains/*.conf

เสร็จแล้วเขียน config ใหม่
echo "action=rewrite&value=httpd" >> /usr/local/directadmin/data/task.queue

รอประมาณ 1 นาที แล้ว restart httpd ใหม่

ค้นหา cgi ที่ run อยู่
ps auwx|grep perl

พบชื่อแล้วก็ kill ทิ้ง
killall -9 dark.cgi

ลบ mail queue ทิ้ง
cd /var/spool/exim
mv input input.x
mv msglog msglog.x
เสร็จแล้ว restart exim ใหม่

ยังมีอย่างอื่นอีกหลายอย่างที่ต้องทำ เช่น scan virus ไล่เปลี่ยน pasword ...

[arty]

คงปวดหัวน่าดู สู้ๆ ครับ

[HostingIDC.Com]

ขอบคุณโค้ดคุณแมนมากครับ ขอแก้นิดนุง

ปิด CGI
#perl -pi -e 's/cgi-ON/cgi-OFF/' /usr/local/directadmin/data/users/*/user.conf
#perl -pi -e 's/cgi-ON/cgi-OFF/' /usr/local/directadmin/data/users/*/reseller.conf
#perl -pi -e 's/cgi-ON/cgi-OFF/' /usr/local/directadmin/data/users/*/domains/*.conf

เป็น

ปิด CGI
#perl -pi -e 's/cgi=ON/cgi=OFF/' /usr/local/directadmin/data/users/*/user.conf
#perl -pi -e 's/cgi=ON/cgi=OFF/' /usr/local/directadmin/data/users/*/reseller.conf
#perl -pi -e 's/cgi=ON/cgi=OFF/' /usr/local/directadmin/data/users/*/domains/*.conf

ใส่ทั้งใน da แล้วก็ คอมไพล์ใหม่ใน apache disable--cgi

มันจะรันได้อีกก็คง มีงง

[BestThaiHost]

ขอบคุณโค้ดคุณแมนมากครับ ขอแก้นิดนุง

เป็น

ใส่ทั้งใน da แล้วก็ คอมไพล์ใหม่ใน apache disable--cgi

มันจะรันได้อีกก็คง มีงง

มันจะรันได้อีก ถ้ายังไม่ได้ปิด exec , system ใน php.ini

[KKE]

มันจะรันได้อีก ถ้ายังไม่ได้ปิด exec , system ใน php.ini

 

[Siamwebhost.Com]

Virsu Iframe ยังไม่น่ากลัวเท่าไหร่ เพราะหากติดเราก็ยังพอจะหาสาเหตุและแก้ไขได้ แต่พวก trojan backdoor ที่แทรกมากับ plugin หรือ component ของ CMS ต่างๆ นี่สิ น่ากลัวกว่า เพราะจะตรวจสอบและหาต้นตอได้ยากมาก  บาง script จะมีการสุ่มยิง package ไปยัง ip อื่นๆ เป็นระยะ

ทำให้ admin ต้องทำงานหนัก อดหลับ อดนอน เพื่อ Monitor ดูว่าเว็บไหนที่มีปัญหาแล้วก็ไล่ปิดไปทีละเว็บ

งานของพวกเราก็คืองานบริการ เวลามีปัญหา ก็เครียด กินไม่ได้ นอนไม่หลับ .... แล้วอย่างนี้ยังจะขาย 50MB ปีละ 100 บาท กันอยู่อีกเหรอ ... คิดกันให้มากๆ หน่อยนะครับ ว่ามันคุ้มไหม

[iCafe™ โฮสแพงๆ]

Virsu Iframe ยังไม่น่ากลัวเท่าไหร่ เพราะหากติดเราก็ยังพอจะหาสาเหตุและแก้ไขได้ แต่พวก trojan backdoor ที่แทรกมากับ plugin หรือ component ของ CMS ต่างๆ นี่สิ น่ากลัวกว่า เพราะจะตรวจสอบและหาต้นตอได้ยากมาก  บาง script จะมีการสุ่มยิง package ไปยัง ip อื่นๆ เป็นระยะ

ทำให้ admin ต้องทำงานหนัก อดหลับ อดนอน เพื่อ Monitor ดูว่าเว็บไหนที่มีปัญหาแล้วก็ไล่ปิดไปทีละเว็บ

งานของพวกเราก็คืองานบริการ เวลามีปัญหา ก็เครียด กินไม่ได้ นอนไม่หลับ .... แล้วอย่างนี้ยังจะขาย 50MB ปีละ 100 บาท กันอยู่อีกเหรอ ... คิดกันให้มากๆ หน่อยนะครับ ว่ามันคุ้มไหม

 

[arty]

Virsu Iframe ยังไม่น่ากลัวเท่าไหร่ เพราะหากติดเราก็ยังพอจะหาสาเหตุและแก้ไขได้ แต่พวก trojan backdoor ที่แทรกมากับ plugin หรือ component ของ CMS ต่างๆ นี่สิ น่ากลัวกว่า เพราะจะตรวจสอบและหาต้นตอได้ยากมาก  บาง script จะมีการสุ่มยิง package ไปยัง ip อื่นๆ เป็นระยะ

ทำให้ admin ต้องทำงานหนัก อดหลับ อดนอน เพื่อ Monitor ดูว่าเว็บไหนที่มีปัญหาแล้วก็ไล่ปิดไปทีละเว็บ

งานของพวกเราก็คืองานบริการ เวลามีปัญหา ก็เครียด กินไม่ได้ นอนไม่หลับ .... แล้วอย่างนี้ยังจะขาย 50MB ปีละ 100 บาท กันอยู่อีกเหรอ ... คิดกันให้มากๆ หน่อยนะครับ ว่ามันคุ้มไหม

ไม่ต้องคิดให้มากหรอกครับ ไม่คุ้มแน่นอน

[SirBanD(-1) | เสี่ย WAKE]

ไม่ต้องคิดให้มากหรอกครับ ไม่คุ้มแน่นอน

ไม่คุ้มแน่นอน เห็นด้วยเลยครับ ปล่อยให้ขายไปเหอะ ราคาถูกหน่ะ