Hehe.js Npu.ac vs. Gibi Virüslerin Çözümü

Bir avuç kendini bilmez lamerin eklediği bu kodlardan kurtulmanın yolu veritabanı bilgilerinizin bulunduğu dosyanın iznini 400 yapmaktan geçer. v7 kullananlar baglan.php dosyasını 400 yaparsa sorun çözülür.


Çok önemli not: Önce php my adminden yedek alın, sonra yeni veritabanı oluşturun ismi-şifresi öncekinden farklı olsun. Veritabanını yükledikten sonra mutlaka admin şifresini değiştirin. Sadece chmod 400 yaparsanız yine eklerler çünkü veritabanı bilgilirinizi biryerlere not ediyorlar.

Ayrıca veritabanı bilgilerini içeren herhangi bir dosya varsa(bot dosyaları) onu da 400 yapmalısınız.

hxxp://www.npu.ac.th/calendar/components/hiyaa/pornovideo21.exe

Bu virüsü indiriyormuş, botnet sanırım. Büyük ihtimal ile bu forumdan birisi olabilir.

Teşekkürler, bilgi için yararlı olmuş.

Teşekkurler yararlı bilgiler...

Sadece veritabanı bilgilerinin yazılı olduğu dosyadan yayıldığından eminmisiniz ?

index.html 'in hiçbir alakası olmadığı halde bulaşabiliyor çünkü.

__________________
www.joomla.gen.tr

Yayılan birşey değil bu, sunucunuzdaki açıktan dolayı hostunuzdaki dosyaları okuyorlar, db bilgilerini alınca dbye virüs adresi yazıyorlar. DB bilgilerinin yazılı olduğu tüm dosyaları chmod 400 yaparsanız sorun çözülür. chmod 400 yapmadan önce db bilgilerini yeniden oluşturun.

Sizin sorununuzla bu aynı şey mi bilmiyorum, çünkü benim anlattığım dbye kod yazmayı engelliyor, sizin dosyalara kod ekliyorlarsa o ayrı birşeydir.

chmod 400 yapılınca baglan.php nin okunma izni tamamen kalkıyor mu? eger okunamazsa scriptde çalışmaz yalnız.

Evet kalkıyor ve script çalışıyor.

Bu Çözüm olamaz gibi düşünüyorum çünkü adam shell veya perl dosyalari ile baglaniyorsa db bilgileri oldugu klasörü bilgisayarına indirip zaten istediği gibi okuyabilir.
sölediğiniz mantikli chmod 400 veya 444 vererek okumayi engellersiniz ama bu çözüm değil .
mysql portunu değiştirmek birnevi çözüm olabilir.

3-4 aydır süregelen bir sorun bu, sunucudaki açığı kapayabilen çıkmadı henüz. Şimdilik db bilgilerini gizleyerek kod eklenmesini engelliyoruz ve kesin çözümdür. Aynı sorunu yaşayan 80-100k hitli sitesi olan, günde 25-30 defa hacklenenler denedi ve bu beladan kurtuldu. Bu açığın bulunduğu sunucularda özel script de buulundurmamak gerekir diye düşünüyorum.