PHP açığından sonra kontrol

Riskli bir açık çıktı yamalar yayınlandı bir çok kurumsal global siteler etkilendi peki websitesi etkilenmeyen bundan nasıl emin olacak, bunla ilgili kontrol mekanizmaları, sunucular özelinde yapılması gereken taramalar testler ne olur. bu konu hakkında kime birşey paylaşmadı mesela cpanel/plesk için imunify360 tarama yapmak yeterli olacakmıdır. Bunla ilgili de bilgi paylaşamı yapabilirsek herkes sunucusunu kontrol eder, arka planda eklenen bir shell,link,script v.s varmı görmüş oluruz

https://php2shell.aikido.io/

cloudflarede güvenlik önlemleri ip kısıtlamaları yapılmış artılışmış siteleri test edemiyor

imunify tek başına yeterli değil bence o bilinen imzaları yakalıyor yeni bırakılmış bir shell temiz görünebiliyor

ilk iş sunucudaki tüm php sürümlerinin yamalı builde güncellendiğinden emin ol sadece varsayılan sürüm değil sitelerin kullandığı hepsi. cpanelde ea-php paketleri yum update ile gelir plesk tarafında güncellemeler ekranından php handlerlar güncellenir

sonra son günlerde değişen php dosyalarına bak plesk ise yolu /var/www/vhosts/*/httpdocs yap

find /home/*/public_html -name "*.php" -mtime -5 -ls

uploads gibi resim klasörlerinde php dosyası olmamalı

find /home/*/public_html -path "*uploads*" -name "*.php"

içinde eval base64_decode gzinflate geçen dosyaları da tara eklentilerden yanlış alarm çıkar tek tek bakmak lazım

grep -rlE "eval\(|base64_decode\(|gzinflate\(" /home/*/public_html --include=*.php

access loglarda tanımadığın php dosyalarına giden POST isteklerine, crontablara ve wp kullanıcılarında yeni admin var mı ona da bak. şüpheli bir şey çıkarsa dosyayı silmek yetmez panel ftp db şifrelerini ve wp salt anahtarlarını da değiştir

araçlar dışarıdan bakınca cloudflare duvarına takılır normal, sunucuya girip içeriden bakmak lazım

1. php sürümüne bak

php -v

2. son günlerde değişen dosyalara bak

find public_html -type f -mtime -3 -ls

imunify tek başına yetmez bence, access loglara da göz at derim

Kontrol için sıralama önerim şöyle: önce her alan adının hangi PHP sürümüyle çalıştığına bakın, çünkü php -v yalnızca komut satırındaki sürümü gösterir ve ispmanager gibi sürümü alan adı başına seçtiren panellerde sitelerin hepsi aynı sürümde olmayabilir.
Sonra son birkaç günde değişen ya da yeni oluşan PHP dosyalarını tarayın; Imunify gibi araçlar bilinen imzalara bakar, yamadan önce bırakılmış yeni bir dosyayı kaçırabilir. En sona da servislerin güncellemeden sonra yeniden başladığını teyit etmeyi unutmayın.

Hocam Imunify360 tek başına yeterli değil; PHP’yi yamaladıktan sonra logları, cron görevlerini, yeni dosyaları ve şüpheli PHP scriptlerini de kontrol etmek gerekiyor, çünkü temiz tarama sunucunun kesinlikle etkilenmediğini garanti etmiyor.