Взломали систему, создали файл php (назовём его show.php) к которому постоянно обращаются и он выводит информацию на экран. Сам файл нашёл, самое обидное что к этому файлу подключаются через какой то другой файл на моем же сервера. То есть в accesslog-е вижу обращения к show.php с того же IP. То есть где то на сервере существует файл с чем то на подобие <?php echo file_get_contents('http://....../show.php'); Теперь вопрос: Если у апачи есть accesslog в котором видны все обращения к нему. Есть ли аналогичный лог в котором видны все выходящие обращения ? То есть в котором я смогу увидеть какой php обращается к show.php. Есть у кого то другие идеи ?
Искал по разным словам ... Не находит ... Возможно сделана какая то хитрость типо PHP: $file_name="s"."h"."o"."w"."php";
meganosets3 скачай сайт, пройдись поиском по всем файлам на ключевые слова: - file_get_contents - mail - show.php возможны различные варианты
На сервере около 150 сайтов построенные абсолютно на разный системах. Проверить все file_get_contents это сложно ... Их тысячи ...
ну и что? Я php-скриптом удалял повторяющиеся mp3 в количестве 3 тыс, делая md5 контрольные суммы, и это заняло минут 15.
Сложно не серверу ... А сложно мне просмотреть тысячи полученных результатов. К тамуже ключевых слов может быть очень ... То есть это как искать иголку в стоге сена. Если бы как то можно было контролировать выходящие запросы. То тогда там можно было обнаружить этот show.php
Посмотри access.log, найди в нем обращения к show.php и глянь какие в логе затронуты соседние скрипты. С этих скриптов и был запрос к show.php Вроде все просто.
Смотрю в access.log, нашёл обращения к show.php, теперь что значит "глянь какие в логе затронуты соседние скрипты" ? Вы имеете виду найти запросы которые были сделаны в туже секунду ? Если да, то в принципе это идея ... Правда есть одна трудность, файл access.log у меня для каждого сайта свой, тоесть мне нужно посмотреть это в 150 местах и проанализировать тысячи строк ... Сложновато получается ... :-(
Да, в ту же секунду и минус 1,2 секунды. Может первый десяток просмотришь и сразу найдешь. А можешь и скрипт написать, который пробежится по логам и найдет какие там скрипты рядом с show.php вызываются. Если не найдешь среди .php файлов, обрати внимание также на другие расширения, может они содержат php код, а замаскированы например под картинку в .htaccess