whm+Cloud Linux + Script vulneravel

[cesar.ninja]

Boa Noite.

Estou encontrando no /tmp este script : https://github.com/Moham3dRiahi/XAttacker/blob/master/XAttacker.php

Já procurei pelas strings, arquivos acessados  nas ultimas horas, arquivos com permissão xxx etc..

Não consigo encontrar o site que esta gerando este arquivo.

[Luciana Mattos]

14 horas atrás, cesar.ninja disse:

Boa Noite.

Estou encontrando no /tmp este script : https://github.com/Moham3dRiahi/XAttacker/blob/master/XAttacker.php

Já procurei pelas strings, arquivos acessados  nas ultimas horas, arquivos com permissão xxx etc..

Não consigo encontrar o site que esta gerando este arquivo.

Pelo ConfigServer Explorer você consegue ver o usuário responsável pela criação da pasta.

[Jaime Silva]

@Luciana Mattos Boa dica!
@cesar.ninja Também pode usar o comando /usr/bin/stat -c "%U" /tmp/nome_do_arquivo no terminal do WHM ou no cliente SSH para ter essa mesma informação.

Editado Agosto 19, 2019 por Jaime Silva

[cesar.ninja]

Vou verificar o configserver...

o comando acima só mostra o usuario que criou o arquivo (nobody).

[Jaime Silva]

Nobody é um usuário genérico.
Acho que é considerado inadequado e inseguro rodar scripts em PHP com o usuário nobody.
Ativar o SuPHP ou PHP-FPM me parece o mais correto.

[cesar.ninja]

Estou verificando com o ConfigServer Explorer

Estou rodando nginx...

8 minutos atrás, Jaime Silva disse:

Nobody é um usuário genérico.
Acho que é considerado inadequado e inseguro rodar scripts em PHP com o usuário nobody.
Ativar o SuPHP ou PHP-FPM me parece o mais correto.

Se eu subir o SUPHP em um server em produção, corro algum risco de parar algum site ?

Estou utilizando o engintron...

Tem o seviço php-fpm...

[Jaime Silva]

Corre risco sim, possivelmente os arquivos tem permissão muito aberta e isso vai causar erro.