ハックされて割られてSPAMメールサーバーにされてからのの復旧

割れたきっかけ

情けないことに、残してしまった Coppermine Photo Gallery の lib だった。
最初アルバムとして使っていたのだが、Google photo の方が使いやすくなったのでメインのディレクトリだけを消して移行していたが、libが残っていた。
そこに大量アクセスされ、バグか何かでファイルを上納された。あるいは、他のユーザから属性 755 の lib めがけて同じレンタルサーバーの他のユーザーから upload された。

wordpressは無事だった。最近更新していない MovableType は管理ディレクトリは .htpasswd で保護されているのも助かったのか。

緊急対策

怪しいディレクトリの名前変更。ざっと見た限りフォルダでメールサーバーをインストールされたようだ。httpでアクセスして動作させているようなので、こちらで勝手にディレクトリ名を変えてアクセスを遮断する。
いきなり消すとどんな影響があるか分からないからだ。
lib を lib_2022hacked , ty_ を ty__2022hacked とした。(現在は抹消)

ルートにある怪しいファイルの退避。元々ルートには index.html と .htaccess と SEO 対策のキーワードくらいしか無かったので、怪しいファイルは直ぐに分かった。
ついでにSEO対策のファイルも消してしまおう。もう一回やり直しだ。