Newsgroup: it.comp.www.php
Titolo: log attività php

un cms in php una volta messo su server unix � possibile controllare
tutte le connessioni e invio dati che partono dal sito stesso?
tipo email inviate connessione e invio dati ad altri siti o ip etc;
es se nell'uso del sito se in qualche modo (es con l'uso di editor x
scaricare file , immagini,etc) si installa tra le cartelle qualche virus,
worm etc che non crea problemi visibili, ma usa il server del cms x inviare
mail di spam oppure cattura dati vari archiviate e invia a qualche
indirizzo ip etcc
 
soluzione � sicuramente aver buon antivirus,non so se poi riesce a scovare
di tutto; quindi se � comunque possibile capire se dal sito escono dati
oltre quelli normali di utilizzo;
 
non so se serve controllare attivit� di php e/o anche di apache


 
hai presente come funziona un sistema UNIX like???
 
anche ammesso che in qualche modo si salvi (non installi), qualche file 
malevolo all'interno di una cartella del cms, questo file è innocuo 
finche non viene eseguito, per essere eseguito il file deve avere 
permessi di esecuzione, deve essere un eseguibile per macchine unix like 
e deve avere permessi superiori (root) per creare danni, ma soprattutto 
ci deve essere qualcosa (un processo di sistema o uno script 
appositamente scritto ed in esecuzione) o qualcuno che lo esegua.
 
oppure deve essere uno script che deve essere eseguito da un interprete, 
come potreppe essere un file php, ruby, pyton, bash (ma qui serve sempre 
i permessi di sistema).
 
ora dopo una breve infarinatura di come funziona un sistema Unix like, 
prova a riformulare la domanda.
 
Ciao

 prova a riformulare la domanda.
 
diciamo che no ci sono virus,ma il cms scaricato o aplicativo scaricato
puo' avere codice indesiderato
come fare per conoscere email inviate dal sistema e dati iniati verso siti
o ip sconosciuti?
 
comunque account sospeso per 2 volte
2a volta
./tmp/.../sshd: Linux.RST.B FOUND
./var/tmp/.s/scanssh: Linux.RST.B-1 FOUND
 
Also the "..." is actually a folder, not the parent directory. The person
was trying to be sneaky I would assume. You need to delete these viruses
ASAP. If we get a repeat occurrence we may have to charge you to clean up
your VPS (management time) or suspend your server indefinitely.
 
...........
1a volta
This is a notice that our daily virus scanning picked up the following
issues on your VPS with IP 
 
/tmp/.../horde/ps: Linux.RST.B-1 FOUND
/tmp/.../horde/Horde: Linux.RST.B-1 FOUND
/tmp/.../hmoshu.jpg: Linux.RST.B-1 FOUND
/var/spool/samba/.s/scanssh: Linux.RST.B-1 FOUND
 
We advise you to resolve asap. 


 
da quel che leggo al volo su scanssh � un applicativo che fa scansione 
del servizio ssh, se non l'ho hai volutamente eseguito tu o un 
applicativo da te installato.
sicuramente hai avuto un intrusione.
 
per le domande che poni, non le puoi sapere, non c'� verso, quello che 
puoi fare (dato che da quel che scrivi non hai le competenze) chiedere 
di far monitorare il traffico di rete ed eventualmente traffico generato 
in entrata che non sia sulla porta 80 / 443 (se i tuoi applicativi fanno 
solo uso di web, quindi no ftp, no ssh (appunto), no altro tipo di 
protocollo), e in caso di utilizzo vedere a quali ip fanno riferimento.
oppure traffico in uscita che non provenga dal processo del webserver.
 
intanto cancella quei file, poi entra nella macchina in console e dai 
"top" o "ps aux ! grep scanssh" prendi il PID e uccidilo con "kill - 9 PID"
 
poi per prevenzione che non sia il CMS o applicativo che contiene codice 
malevolo
prova a fare una ricerca all'interno dei file e cerca scanssh (magari 
trovi uno script che lo genera, lo salva e lo esegue pure).
 
altra cosa se � un intrusione e l'intruso � stato poco accorto ha 
lasciato traccia del suo passaggio, controlla i file di log in 
/var/log/auth.log (o simili dipende dalla distro linux), ma anche 
".bash_history" in console.
controlla i file di log del webserver (immagino apache) e dai un 
occhiata se c'� qualcosa di strano (richiamo di una pagina non prevista, 
o altro).
 
Ciao


errata corrige
 
SE e SOLO SE le email sono partite dal sistema e che non siano state 
cancellate tracce, puoi controllare /var/spool/mail e /var/log/mail(o 
simili)
per il resto vale quanto detto nell'altro post

 tutte le connessioni e invio dati che partono dal sito stesso?
 
No.
 
Un CMS non è un software di monitoring. Esistono software apposta che 
l'amministratore di sistema usa per controllare queste cose.
 
Se usi un CMS, tua cura è mantenerlo aggiornato, controllare che le 
estensioni che usi non abbiano bug e tenere aggiornate anche quelle, e 
idem per i temi (che nel 99% dei casi contengono codice).
 
In pratica "stare dietro allo sviluppo".
 
Se ancora te lo bucano vuol dire che o è un CMS di merda, e lo devi 
cambiare, o entrano da altre parti (ti hanno rubato la password, 
tipicamente).
 
Bye.

 l'amministratore di sistema usa per controllare queste cose.
 
quali?


grazie mille
vedo che sei espertissimo 
 
ma � vero che i file criptati/encoded usati per proteggere i sorgenti hanno
anche il vantaggio di ulteriore protezione contro virus o altro codice
'malevolo'? 
li usi anche per lavoro ?

Può sembrare una stupidata, ma il solo controllo dei file che vengono caricati sul server lo puoi fare tramite un qualsiasi software di subversion (svn, git, etc..)
 
Solitamente i cms non cambiano mai (tranne quando aggiorni o scrivi i tuoi moduli) il loro codice, e (dipedne dal tipo di cms) caricano le risorse 'volatili' (file di cache) e quelle 'dinamiche' (immagini nei post, etc..) in cartelle ben definite.
 
Con svn, ad esempio, tramite il comando status potresti vedere in tempo reale quali file sono stati modificati (M) o quali sono stati aggiunti (?).
 
 
 
Per le mail, li devi informarti sul tuo cms, se è ben scritto avrà un unica funzione che invia mail (e tante altre che la estendono, ma alla fine passano da li) e in quella funzione puoi crearti i tuoi log come li preferisci

indipendentemente al cms non � possibile loggare traffico in uscita?

 indipendentemente al cms non � possibile loggare traffico in uscita?
 
Si, ma devi essere un sistemista con accesso root alla macchina. Ad
occhio e croce tu non sei in questa situazione.
 
-- 
g4b0, linux user n. 369000
http://brosulo.net
 

 occhio e croce tu non sei in questa situazione.
 
puoi dire comunque,
poi ti dico dove arrivo sforzandomi;
una root ce l'ho ma per hooby niente di che


Se vuoi loggare il traffico in uscita puoi usare tcpdump con redirezione
dell'output su di un file. Occhio ad impostare i filtri giusti,
altrimenti il log auditing sar� uno spasso ;)


 quali?
 
iptables, tcpdump, iptraf, cacti, ecc.
 
Bye.

 altrimenti il log auditing sar� uno spasso ;)
 
puoi delucidarmi un poco, grazie

 puoi delucidarmi un poco, grazie
 
Dovresti chiedere su it.comp.os.linux.sys (o .iniziare, che forse è 
meglio)
 
Qui sei OT e lì hai più possibilità di ricevere risposte, visto che è il 
loro mestiere.
 
Bye.
 

 Ciao
 
dentro var/spool/samba
ho 2 cartelle
1) /.s/e qui vari file              e questa va tolta
 
2) /  /strobe/e qui vari file       qui non so se una cosa sua
ad esempio c'� un file strobe.c  che sulla 1) /.s/ era stato copiato e
rinominato pcscan.c; piu' c� anche un file strobe.1 con del testo
 
.B strobe
[ -vVmdbepPAtnSilfsaM ] [host1 ... [hostn]]
.SH DESCRIPTION
 
.I strobe
is a network/security tool that locates and describes all listening tcp
ports on a
(remote) host or on many hosts in a bandwidth utilisation maximising, and
process resource minimizing manner. 
.PP
.I strobe
approximates a parallel finite state machine internally. In non-linear
multi-host
mode it attempts to apportion bandwidth and sockets amoung the hosts very
efficiently.
This can reap appreciable gains in speed for multiple distinct
hosts/routes. 
.PP
On a machine with a reasonable number of sockets,
.I strobe
is fast enough to port scan entire Internet sub domains. It is even
possible to survey
an entire small country in a reasonable time from a fast machine on the
network backbone,
provided the machine in question uses dynamic socket allocation or has had
its static
socket allocation increased very appreciably (check your kernel options).
In this
very limited application
.I strobe
is said to be faster than
.B ISS2.1
(a high quality commercial security scanner by 
ckl...@iss.net
 and friends)
or
.BR PingWare 
(also comercial).
 
....
....