ищем конфиг :
find /etc -name dovecot.conf
далее в конфиге ищем директиву — «log_path =» ( почему-то она по дефолту закомментирована )
раскомментируем ее и изменяем вот так :
log_path = /var/log/dovecot.log
и ребутим сервис.
Все, теперь и данный сервис логируется.
для начала убиваем все процессы кроме sshd
Далее по netstat -plnt ( либо через ps aux ) смотрим, какие процессы появились заново и смотрим на открытые соединения :
lsof -i :port_of_process
далее через lsof смотрим открытые файлы процессами и отсеиваем ненужные :
lsof | egrep -v lsof | egrep -v egrep | egrep -v sshd | egrep -v hald | egrep -v crond | egrep -v avahi
и вуаля , перед нами полная картина по обращению к вредоносным файлам.
в моем случае был процесс httpd -DSSL c родителем — psy ботом , который и был вычищен.
после удаления зараженных файлов нужно в срочно порядке обновить систему ( ядро и все пакеты), обновить CMS и пересмотреть политики расставленных прав.
Естественно до начала заражения нужно вычистить все темповые папки ( например — /tmp , /var/tmp ) так как изначально в 99% случаев именно в них хранятся первичные вирусы, причем просмотра папок через ls недостаточно, так как изобретательные киддисы создают папки вида — «….» и при просмотре через ls или удалении через «rm -rf * » в папке они не удалятся, так как считаются скрытыми.
CentOS
yum -y install php-pecl-xdebug
Debian :
aptitude install php5-xdebug
далее добавляем корректный конфиг xdebug.ini в /etc/php.d/ ( для Debian — /etc/php5/conf.d ) :
extension=xdebug.so
zend_extension_ts=/путь/до/xdebug.so
xdebug.remote_enable=On
xdebug.remote_host=ip
xdebug.remote_port=10000
xdebug.remote_handler=dbgp
xdebug.profiler_enable=On
нужно зайти в master.cf и просто снять комментарий со строки :
submission inet n — — — — smtpd
и перезагрузить postfix.
Для 32-битных систем :
rpm -ihv http://download.fedora.redhat.com/pub/epel/5/i386/epel-release-5-4.noarch.rpm
Для 64-битных систем :
rpm -ihv http://download.fedora.redhat.com/pub/epel/5/x86_64/epel-release-5-4.noarch.rpm