☰

Как определить, какой PHP-скрипт рассылает СПАМ

tag-icon • tag-icon apache-2.2 php email spam
Как определить, какой PHP-скрипт рассылает СПАМ

Скрипт php отправляет тонны писем. Я хочу определить, что является источником. Все письма отправляются с использованием www-data, который пользователь использовал apache. Когда я проверяю процесс, у меня такой результат:

www-data 16220  0.7  4.7 402508 95924 ?        S    09:37   0:06 /usr/sbin/apache2 -k start
www-data 16352  0.4  3.8 402132 78064 ?        S    09:39   0:03 /usr/sbin/apache2 -k start
www-data 16725  0.6  3.8 402472 78624 ?        S    09:46   0:02     /usr/sbin/apache2 -k start
www-data 16840  0.8  4.2 410744 87204 ?        S    09:48   0:01 /usr/sbin/apache2 -k start
www-data 16949  1.0  4.5 417560 93436 ?        S    09:49   0:01 /usr/sbin/apache2 -k start
www-data 16958  1.0  3.5 402120 72748 ?        S    09:50   0:01 /usr/sbin/apache2 -k start
www-data 16978  1.2  4.6 425160 94864 ?        S    09:51   0:00 /usr/sbin/apache2 -k start
www-data 16980  0.8  3.5 402140 72208 ?        S    09:51   0:00 /usr/sbin/apache2 -k start
www-data 16983  0.4  2.6 402160 54400 ?        S    09:51   0:00 /usr/sbin/apache2 -k start

Apache использует много процессов, и я не знаю, какой скрипт отправляет почту.

Есть ли способ сделать это?

решение1

Вы можете выполнить strace, чтобы сохранить все запущенные процессы Apache в файл, а затем, как только спам разойдется, попытаться отследить, что именно происходило (например, сохраняя частые дампы состояния сервера с помощью mod_status, если это не очевидно из strace, просматривая пути к файлам).

Вы можете попробовать что-то вроде следующего - хотя учтите, что это может быть ресурсоемко. Отрегулируйте параметр -sпо мере необходимости.

pidlist=''; \
for pid in `ps ax | grep apache2 |grep /usr/sbin/apache2 | awk '{print $1}'`;\
    do pidlist="$pidlist -p $pid"; \
done; \
strace -s 1024 -tt -F -f $pidlist  > strace_apache2.out 2>&1

Связанный контент