C'è un modo per me di trovare lo script php che sta inviando e-mail.
Ho apache + php (no mod_suphp né suexec) in un'installazione "standard", e voglio scoprire che lo script di php di streghe sta inviando e-mail, quando controllo i log vedo solo l'uid dell'utente che sta inviando le e-mail (in il mio caso apache) ma voglio scoprire lo script che ha originato l'e-mail.
È possibile o devo installare suexec o mod_suphp per tenerne traccia?
Grazie per l'aiuto.
Risposte:
php 5.3 è stato inserito per ottenere una migliore traccia della posta, ma non sono sicuro che sia successo. (modifica: sì php 5.3 ha il logging incorporato ora - php.ini ha la variabile di configurazione mail.log che registrerà l'uso della posta dal codice php.)
Abbiamo risolto il problema rendendo sendmail uno script shell wrapper.
In php.ini imposta un nuovo mailer. Per esempio:
sendmail_path = /usr/local/bin/sendmail-php -t -i
Lo script sendmail-php utilizza semplicemente il logger per ottenere informazioni, quindi chiama sendmail del sistema:
#!/bin/bash
logger -p mail.info -t sendmail-php "site=${HTTP_HOST}, client=${REMOTE_ADDR}, script=${SCRIPT_NAME}, filename=${SCRIPT_FILENAME}, docroot=${DOCUMENT_ROOT}, pwd=${PWD}, uid=${UID}, user=$(whoami)"
/usr/sbin/sendmail -t -i $*
Questo accederà a qualunque cosa sia impostata su mail.info nel file syslog.conf.
Un altro suggerimento è installare l'estensione php suhosin per colmare le lacune in PHP, a meno che non si stia eseguendo Debian o Ubuntu dove questo è già predefinito.
La soluzione a questo richiede in realtà alcuni passaggi. La soluzione di labradort sopra non funziona in realtà poiché lo script logger è uno script bash, non php, e lo script bash non ha accesso alle variabili di php, quindi i log risultano vuoti. Fondamentalmente tutto ciò che si desidera registrare deve essere salvato nelle variabili di ambiente in php prima di inviare l'e-mail in modo che il logger abbia accesso ai dati. Dal momento che stai cercando di rilevare script di altri utenti, non necessariamente tuoi, non hai alcun controllo sul codice php, quindi devi usare la funzione auto_prepend_file di PHP per assicurarti che tutto il php eseguito esegua il tuo codice di inizializzazione prima di ogni altra cosa. Ho anteposto il seguente codice tramite php.ini per assicurarmi di avere i dati di cui ho bisogno nel logger:
<?php
/**
* This passes all SERVER variables to environment variables,
* so they can be used by called bash scripts later
*/
foreach ( $_SERVER as $k=>$v ) putenv("$k=$v");
?>
Ho messo insieme un tutorial completo su come farlo funzionare qui: http://mcquarrie.com.au/wordpress/2012/10/tracking-down-malicious-php-spam-scripts/
Esiste una patch per PHP che mostrerà quale script sta generando le e-mail aggiungendo un'intestazione all'e-mail inviata. Non l'ho testato dal momento che non sono appassionato di patching core PHP, ma ho sentito cose positive.
Dovrai greppare i log di accesso per qualcosa che si adatti al periodo di tempo in cui i messaggi sono stati aggiunti allo spool.
Può essere solo cercare nei file di origine "sottostringa" (sottostringa?
Abilitali semplicemente sul tuo php.ini
mail.add_x_header = On
mail.log = /var/log/phpmail.log
quindi crea quel file e dai il permesso di scrittura. Dagli un'occhiata dopo.