'ps' e 'bin / bash su' na saída ps aux

Question

Eu tenho um servidor compartilhado (amazon ec2 micro alimentado por bitnami) com um aplicativo da web (Wordpress), que está mostrando baixo desempenho ultimamente (com tráfego e uso relativamente estáveis). As únicas linhas suspeitas em apache2 / logs / access.log que vejo são de forma

$ tail --lines=1000 /opt/bitnami/apache2/logs/access_log
93.120.84.31 - - [06/Nov/2013:03:02:54 +0000] "POST /cgi-bin/php-cgi?%2D%64+%61%6C%6C%6F%77%5F%75%72%6C%5F%69%6E%63%6C%75%64%65%3D%6F%6E+%2D%64+%73%61%66%65%5F%6D%6F%64%65%3D%6F%66%66+%2D%64+%73%75%68%6F%73%69%6E%2E%73%69%6D%75%6C%61%74%69%6F%6E%3D%6F%6E+%2D%64+%64%69%73%61%62%6C%65%5F%66%75%6E%63%74%69%6F%6E%73%3D%22%22+%2D%64+%6F%70%65%6E%5F%62%61%73%65%64%69%72%3D%6E%6F%6E%65+%2D%64+%61%75%74%6F%5F%70%72%65%70%65%6E%64%5F%66%69%6C%65%3D%70%68%70%3A%2F%2F%69%6E%70%75%74+%2D%64+%63%67%69%2E%66%6F%72%63%65%5F%72%65%64%69%72%65%63%74%3D%30+%2D%64+%63%67%69%2E%72%65%64%69%72%65%63%74%5F%73%74%61%74%75%73%5F%65%6E%76%3D%30+%2D%6E HTTP/1.1" 504 249

e em ps aux output

daemon   29369  0.0  0.2  17688  1500 ?        S    10:52   0:00 /bin/bash ./su 57.54
daemon   29377 30.5  0.0   1780   544 ?        R    10:52   3:14 ./ps 57.54 22

quais são esses processos, e se essa é uma exploração / vulnerabilidade [conhecida], como eu a fecho? Eu pesquisei esta menção , mas não consigo descobrir se isso é aplicável em meu caso.

Se esta questão pertence a outro site da SE, por favor me ajude a perguntar onde for apropriado.

Muito obrigado antecipadamente!

UPDATE

Seguidas dicas do @Ladadadada, os resultados estão abaixo. Sim, é intrusão. Servidor parado, reiniciado a partir de backup semanal (todo o banco de dados e outras coisas estavam em unidades separadas e espero que não tenha sido comprometido) e sendo monitorado. Todas as sugestões sobre o que está acontecendo e como evitar isso no futuro são bem-vindas.

para ps proc:

$ sudo ls -l /proc/30633/fd
total 0
lr-x------ 1 daemon daemon 64 2013-11-06 13:05 0 -> /dev/null
l-wx------ 1 daemon daemon 64 2013-11-06 13:05 1 -> pipe:[2010646]
l-wx------ 1 daemon daemon 64 2013-11-06 13:05 2 -> pipe:[1918347]
lr-x------ 1 daemon daemon 64 2013-11-06 13:05 255 -> /tmp/.ssh_auth/.b/.ssh_auth/.b/su
lr-x------ 1 daemon daemon 64 2013-11-06 13:05 3 -> /opt/bitnami/apache2/cgi-bin/php-cgi

para /bin/bash su proc

$ sudo ls -l /proc/30641/fd | more
total 0
lr-x------ 1 daemon daemon 64 2013-11-06 13:04 0 -> /dev/null
l-wx------ 1 daemon daemon 64 2013-11-06 13:04 1 -> pipe:[2010646]
lrwx------ 1 daemon daemon 64 2013-11-06 13:04 10 -> socket:[5538939]
lrwx------ 1 daemon daemon 64 2013-11-06 13:04 100 -> socket:[5539029]
lrwx------ 1 daemon daemon 64 2013-11-06 13:04 101 -> socket:[5539030]
lr-x------ 1 daemon daemon 64 2013-11-06 13:04 3 -> /opt/bitnami/apache2/cgi-bin/php-cgi

e muito mais. Conteúdo da pasta temp:

/tmp/.ssh_auth/.b/.ssh_auth/.b$ ll
total 1848
drwxr-xr-x 2 daemon daemon    4096 2013-11-06 13:04 ./
drwxr-xr-x 3 daemon daemon    4096 2013-11-06 01:34 ../
-rw-r--r-- 1 daemon daemon       0 2013-11-06 13:04 246.120.pscan.22
-rw-r--r-- 1 daemon daemon       0 2013-11-06 03:42 .a
-rwxr-xr-x 1 daemon daemon 1384518 2005-06-05 20:24 brute*
-rwxr-xr-x 1 daemon daemon    1161 2013-03-13 20:22 dns-pool*
-rwxr-xr-x 1 daemon daemon      73 2013-11-05 04:14 pass.txt*
-rwxr-xr-x 1 daemon daemon     154 2013-11-05 04:13 print*
-rwxr-xr-x 1 daemon daemon   16071 2012-08-12 16:19 ps*
-rwxr-xr-x 1 daemon daemon  453972 2011-03-21 15:15 ss*
-rwxr-xr-x 1 daemon daemon     520 2013-11-06 01:33 su*

UPDATE 2

Vencedor por segundo, com a Amazon, logo após o encerramento da instância:

Hello,
We have detected that your instance(s):
i-xxxxxxxx
have been behaving in the following way that is against our AWS Customer Agreement:
Port Scanning

    

Answer 1

Essa longa cadeia em seus registros de acesso é codificada por URL e decodifica para isso:

-d allow_url_include=on -d safe_mode=off -d suhosin.simulation=on -d disable_functions="" -d open_basedir=none -d auto_prepend_file=php://input -d cgi.force_redirect=0 -d cgi.redirect_status_env=0

Parece-me que está a passar várias opções para php-cgi que desativam todas as funcionalidades de segurança, como a não inclusão de URLs, a exclusão de determinadas funções e o modo de segurança. Ele também permite que o código PHP seja transmitido no STDIN, o que provavelmente permite que o invasor simplesmente forneça código para ser executado como os parâmetros POST.

Isso é quase certamente malicioso.

A vulnerabilidade neste caso é provavelmente que php-cgi esteja em um diretório acessível pela web e / ou possa ser solicitado diretamente.

As duas linhas na sua saída ps também são suspeitas. Você pode investigá-los ainda mais, procurando no sistema de arquivos /proc .

sudo ls -l /proc/29377/fd

Ou usando strace no PID:

sudo strace -f -p 29377 -s400

A saída de strace pode ser muito grande e difícil de ler, mas não deve ser muito difícil detectar tentativas de conexão de spam ou de rede. Você pode limitar a saída com opções como -e trace=file ou -e trace=file,network .

Depois de determinar que o é malicioso e você sabe como ele chegou, siga as instruções nesta questão para limpar depois . Simplesmente remover os arquivos que você encontra não é suficiente porque o invasor poderia ter feito qualquer coisa para se esconder no sistema.