Ha sido una semana larga intentando, a veces cuando puedo, averiguar qué está sucediendo en un servidor / sitio web que estoy manteniendo. El sitio fue hackeado previamente, supuestamente limpiado por propietarios anteriores, y luego de transferirlo, en cuestión de horas, fue hackeado nuevamente.
De todos modos, la pregunta: si hay 0000 archivos de permisos en el servidor, ¿puedo asumir que el hacker tiene acceso de root?
(Ni siquiera tengo acceso de root ...)
Para mayor claridad de un comentario a continuación: "Pero lo que quise decir fue: ¿por qué un intruso haría un archivo 0000? Me imagino que querrían acceder al archivo en algún momento. Así que si hicieran este archivo, lo haría ¿Imagina que sería seguro adivinar que tienen acceso de root? "
[ACTUALIZACIÓN] En caso de que no estuviera claro, este sitio comenzó a funcionar desde otro servidor aproximadamente a mediados de mayo. Regresé y revisé los registros, y unas horas después de que el sitio se activó, vi un POST sospechoso en una url de aplicación que debería haber devuelto un 404. Al revisar, ese archivo era una puerta trasera; fue marcado al mismo tiempo que el resto de los archivos. Por lo tanto, es seguro asumir que el sitio nos llegó a puerta trasera (otras puertas traseras tenían marcas de tiempo más recientes). Así que he rastreado los archivos de registro y escaneado los directorios y encontré las puertas traseras.
Estaremos configurando una nueva cuenta para este sitio y revisaremos los archivos limpios. Todavía estoy confirmando con los antiguos administradores, pero parece que pensaron que el hackeo estaba confinado al 'blog' (WP) y no había revisado la aplicación del sitio principal por maliciosos ...