Re: Несколько бассейнов YiiMP взломан, это то, что мы знаем, до сих пор ..
Поэтому, конечно, я пытаюсь понять, что произошло. Глядя на журналы серверов Nginx, я нахожу это:
Код:
51.15.40.233 - - [08 / Сен / 2017: 21: 31: 27 +0000] "GET /lds.php HTTP / 1.1" 200 3210 "-" "Mozilla / 5.0 (Windows NT 6.1; с.в.: 52.0) Gecko / 20100101 Firefox / 52.0"
51.15.40.233 - - [08 / Сен / 2017: 21: 32: 09 +0000] "GET /lds.php?d HTTP / 1.1" 200 43 "-" "Mozilla / 5.0 (Windows NT 6.1; с.в.: 52.0) Gecko / 20100101 Firefox / 52.0"
51.15.40.233 - - [08 / Сен / 2017: 21: 32: 09 +0000] "GET /lds.php?d HTTP / 1.1" 200 43 "-" "Mozilla / 5.0 (Windows NT 6.1; с.в.: 52.0) Gecko / 20100101 Firefox / 52.0"
Как вы можете видеть, Nginx возвращает код 200 HTTP, который означает, что файл был найден.
Я только что проверил, файл не находится на сервере .. Это приводит меня к мысли, что кто-то нашел способ, чтобы загрузить файл PHP, который является либо:
PHP-оболочка (маловероятно)
сценарий получения учетных данных RPC из базы данных YiiMP для подключения к монете демонов непосредственно (скорее всего ИМ).
позже, сценарий сказали удалить себя, передавая параметр d я принимаю.
оглавлению журнала сервера для всех записей из 51.15.40.233 IP дает следующие результаты:
Код:
51.15.40.233 - - [08 / Сен / 2017: 21: 31: 07 +0000] "GET / HTTP / 1.1" 200 2715 "-" "Mozilla / 5.0 (Windows NT 6.1; с.в.: 52.0) Gecko / 20100101 Firefox / 52.0"
51.15.40.233 - - [08 / Сен / 2017: 21: 31: 08 +0000] "GET / сайт / current_results HTTP / 1.1" 200 972 "http://kawaiipool.party/" "Mozilla / 5.0 (Windows NT 6.1; с.в.: 52.0) Gecko / 20100101 Firefox / 52.0"
51.15.40.233 - - [08 / Сен / 2017: 21: 31: 08 +0000] "GET / сайт / history_results HTTP / 1.1" 200 474 "http://kawaiipool.party/" "Mozilla / 5.0 (Windows NT 6.1; с.в.: 52.0) Gecko / 20100101 Firefox / 52.0"
51.15.40.233 - - [08 / Сен / 2017: 21: 31: 27 +0000] "GET /lds.php HTTP / 1.1" 200 3210 "-" "Mozilla / 5.0 (Windows NT 6.1; с.в.: 52.0) Gecko / 20100101 Firefox / 52.0"
51.15.40.233 - - [08 / Сен / 2017: 21: 32: 09 +0000] "GET /lds.php?d HTTP / 1.1" 200 43 "-" "Mozilla / 5.0 (Windows NT 6.1; с.в.: 52.0) Gecko / 20100101 Firefox / 52.0"
51.15.40.233 - - [08 / Сен / 2017: 21: 31: 08 +0000] "GET / сайт / current_results HTTP / 1.1" 200 972 "http://kawaiipool.party/" "Mozilla / 5.0 (Windows NT 6.1; с.в.: 52.0) Gecko / 20100101 Firefox / 52.0"
51.15.40.233 - - [08 / Сен / 2017: 21: 31: 08 +0000] "GET / сайт / history_results HTTP / 1.1" 200 474 "http://kawaiipool.party/" "Mozilla / 5.0 (Windows NT 6.1; с.в.: 52.0) Gecko / 20100101 Firefox / 52.0"
51.15.40.233 - - [08 / Сен / 2017: 21: 31: 27 +0000] "GET /lds.php HTTP / 1.1" 200 3210 "-" "Mozilla / 5.0 (Windows NT 6.1; с.в.: 52.0) Gecko / 20100101 Firefox / 52.0"
51.15.40.233 - - [08 / Сен / 2017: 21: 32: 09 +0000] "GET /lds.php?d HTTP / 1.1" 200 43 "-" "Mozilla / 5.0 (Windows NT 6.1; с.в.: 52.0) Gecko / 20100101 Firefox / 52.0"
Проверка IP оказывается, что это выход узел Tor. Я до сих пор не знаю, как этот файл получил на моем сервере в первую очередь.
Проверка журнала ошибок Nginx, это показано на рисунке:
Код:
2017/09/08 21:31:27 [ошибка] 18760 # 18760: * 5664081 FastCGI послал в STDERR: "PHP сообщения: PHP Примечание: Использование неопределенной константы mysql_connect - предполагается, «» mysql_connect в /var/web/lds.php на линии 290
PHP сообщения: PHP Примечание: Использование неопределенной константы mysqli_connect - предполагается, «» mysqli_connect в /var/web/lds.php на линии 293" во время чтения заголовка ответа от клиента, вверх по течению: 51.15.40.233, сервер: _, запрос: "GET /lds.php HTTP / 1.1", Вверх по течению: "FastCGI: // Unix: /run/php/php7.0-fpm.sock:", Ведущий: "kawaiipool.party"
PHP сообщения: PHP Примечание: Использование неопределенной константы mysqli_connect - предполагается, «» mysqli_connect в /var/web/lds.php на линии 293" во время чтения заголовка ответа от клиента, вверх по течению: 51.15.40.233, сервер: _, запрос: "GET /lds.php HTTP / 1.1", Вверх по течению: "FastCGI: // Unix: /run/php/php7.0-fpm.sock:", Ведущий: "kawaiipool.party"
Очевидно, я был бы очень заинтересован в других бассейнах на основе YiiMP, если они находят что-то подобное в своих журналах, так что я буду посылать ссылку на эту тему в некоторых других владельцев бассейнов на основе YiiMP.
Если нам повезет, возможно, хакер забыл удалить lds.php от одного из бассейнов, и мы можем получить лучшее понимание того, что произошло.
Edit: Кажется, хакер использовал команду dumpprivkey RPC на кошельках, так что если вы работаете в майнинг вы должны предположить, что хакер имеет доступ ко всем добытых средств - изменение адреса сразу, просто чтобы быть уверенным. Конечно, пока мы не узнаем, как хакер получил, вы должны отключить добычу в любом случае в качестве меры безопасности.
