Блог Ваганова Николая

для начала убиваем все процессы кроме sshd

Далее по netstat -plnt ( либо через ps aux ) смотрим, какие процессы появились заново и смотрим на открытые соединения :

lsof -i :port_of_process

далее через lsof смотрим открытые файлы процессами и отсеиваем ненужные :

lsof | egrep -v lsof | egrep -v egrep | egrep -v sshd | egrep -v hald | egrep -v crond | egrep -v avahi

и вуаля , перед нами полная картина по обращению к вредоносным файлам.

в моем случае был процесс httpd -DSSL c родителем — psy ботом , который и был вычищен.

после удаления зараженных файлов нужно в срочно порядке обновить систему ( ядро и все пакеты), обновить CMS и пересмотреть политики расставленных прав.

Естественно до начала заражения нужно вычистить все темповые папки ( например — /tmp , /var/tmp ) так как изначально в 99% случаев именно в них хранятся первичные вирусы, причем просмотра папок через ls недостаточно, так как изобретательные киддисы создают папки вида — «….» и при просмотре через ls или удалении через «rm -rf * » в папке они не удалятся, так как считаются скрытыми.

CentOS

yum -y install php-pecl-xdebug

Debian :

aptitude install php5-xdebug

далее добавляем корректный конфиг xdebug.ini в /etc/php.d/ ( для Debian — /etc/php5/conf.d ) :

extension=xdebug.so
zend_extension_ts=/путь/до/xdebug.so
xdebug.remote_enable=On
xdebug.remote_host=ip
xdebug.remote_port=10000
xdebug.remote_handler=dbgp
xdebug.profiler_enable=On

если у Вас возникла вот такая ошибка то к флагам при загрузке ядра в menu.lst добавляете :

«acpi=off irqpoll»

нужно зайти в master.cf и просто снять комментарий со строки :

submission inet n — — — — smtpd

и перезагрузить postfix.

Для 32-битных систем :

rpm -ihv http://download.fedora.redhat.com/pub/epel/5/i386/epel-release-5-4.noarch.rpm

Для 64-битных систем :

rpm -ihv http://download.fedora.redhat.com/pub/epel/5/x86_64/epel-release-5-4.noarch.rpm