Wordpress Saldırısı

Olay kaldırılmasında değil çünkü. Temalarda yer alan .php dosyaları aynı şekilde tekrar üretebiliyor. .phplere müdahale edemeyeceğinden dolayı da sürekli döngü halinde üretim yapıyor.

sunucuda php üzerinden email gönderimini kapatsanızda sonuçta mail kuyruğunda bekliyor emailler. kaynak tüketimine sebep oluyor. Bu sıkıntıyı yaşatan siteleri askıya alıp sahiplerine sitelerini güncellemelerini söyleyebilirsiniz eğer tekrarlanırsa tema dosyalarındada sıkıntı olabilir.

/home için nosuid, /tmp için nosuid ve noexec ile mount edilmeli.

ardından perl çalışmaz.

php için ise localhostun exim e bağlanmasını exim.conf dan engelleyebilirsiniz. webmailler de çalışmaz, php mail scriptleri de.

Sunucularda perl çalışmıyor zaten. Şuanda yaşanılan bu olayında perl ile herhangi bir alakası yok.
WordPress'in yada eklenti ve temalarında bulunan açıklarından dolayı .php upload ediyorlar bu php'ler üzerinden spam email çıkışı yapıyorlar. Sunucu kaynaklı değil tamamen wordpress kaynaklı bir sıkıntı mevcut.

farzedelim ki shell scripti ile perl dosyası yüklediler

http://www.exploit-db.com/exploits/23651
http://www.exploit-db.com/exploits/23652

İncelemenizde fayda var.

Engin Bey perl dosyası çalışmadıktan sonra FTP'yi verip yüklesinler ne farkeder ki ? Coşkun Bey'in belirtiği gibi Wordpress kaynaklı durumdan öte sunucuda perl komutları çalışmamasına rağmen 150bin mail gönderimi sıraya girmişti dün gece bir anda.

CXS; LiteSpeed, Nginx gibi web serverlar da tam işlevsel çalışmıyor ve CXS exploit radarlarını çok sık ara ile geliştirmiyorlar. Hatta adamlar fırsattan istifade işi gücü bırakıp Noel'e tatiline çıkmışlar, böyle bir durumdan haberdar olacaklarını sanmıyorum da.

Büyük ihtimal timthumb exploitidir.
Fakat loglara bakıp açığın ne olduğunu bulmak lazım.Daha sonra mod security'den kural tanımlanır.
Tarama yapan ip adreslerini banlamak.
Taramalar çin'den yapılıyorsa ülke bloklamak.(Subnet'i iptables ile banlamak)
Müşterileri wordpress,tema ve plugin sürüm yükseltmeleri için uyarmak.
Bunlar geçici olarak problemleri çözer.
Tabi hali hazırda sunucuda backdoor varmı taramakta gerekir.
Özellikle spam mailler başa çok büyük bela ip adresini black list'ten çıkarmak ızdırap.

Şu plugini denememekte neden ısrar ediyorsunuz anlamıyorum : =)