Sunucumdan Dışarı Saldırı Yapılıyor

16-07-2015, 14:50:25

Merhabalar,

Müşterime ait olan Centos 6 ve üzerinde direct admin kurulu olan bir sunucudan dışarıya sürekli atack yapıldığı ile ilgili mail geldi.

Karşı tarafta bulunan wordpress sitelerden birine brutforce atak yapılıyor benim müşterime ait sunucudan.

Müşteri sunucusunda da bir adet site kurulu ve o da wordpress site.

Bu brutforce atağı nasıl engelleyebilirim? Konu hakkında fikir verebilecek yada şu kaynak sana yardımcı olabilir diyecek arkadaşlar bilgi verirse sevinirim.

16-07-2015, 14:52:38

#2

~~Brook~~

Üyeliği durduruldu

Müşterinizin hesabını suspend edip kendisinden bir açıklama istediniz mi?

16-07-2015, 14:56:37

#3

MetropolMedya

Brook adlı üyeden alıntı: mesajı görüntüle

Müşterinizin hesabını suspend edip kendisinden bir açıklama istediniz mi?

Öncelikle cevabınız için teşekkürler, ancak müşterim bu işlerden pek anlayan biri değil, hatta müşteride sayılmaz benimde üyesi olduğum bir espor takımının yöneticisi bende ücretsiz olarak bir nevi sponsor olarak makinayı hediye ettim kendilerine sunucu şifreleri dahi yok kendilerinde sadece wordpress üzerinden haber girişi ve güncelleme işlemi yapıyorlar

16-07-2015, 14:58:11

#4

~~Brook~~

Üyeliği durduruldu

MetropolMedya adlı üyeden alıntı: mesajı görüntüle

Öncelikle cevabınız için teşekkürler, ancak müşterim bu işlerden pek anlayan biri değil, hatta müşteride sayılmaz benimde üyesi olduğum bir espor takımının yöneticisi bende ücretsiz olarak bir nevi sponsor olarak makinayı hediye ettim kendilerine sunucu şifreleri dahi yok kendilerinde sadece wordpress üzerinden haber girişi ve güncelleme işlemi yapıyorlar

O zaman sisteme bir shell/virüs bulaşmış olabilir.

16-07-2015, 15:55:00

#5

Elazığlı168

sunucuoptimizasyon.com

2 ihtimal olabilir.

Sunucu rootlanmış olabilir. Kolay bir root şifresi varsa bu şifre brute force ile bulunup otomatik olarak rootlanıp dışarı saldırı yapıyor olabilir. Root şifresi harici sunucu güvenliği zayıf ise yine rootlanma durumu olabilir.

Bu durumda en sağlıklı yol sunucunun formatlanmasıdır.

Diğer seçenek ise sunucudaki sitelerden birine tema yada eklenti açığıyla girilmiş olabilir, içeri atılan udp shell ile dışarıya saldırı gerçekleştirilebilir.

Bunun çözümü içinde maldet yazılımı root yetki ile kurulup genel bir tarama yapılıp zararlı dosyalar tespit edilebilir.

16-07-2015, 17:43:25

#6

MetropolMedya

Elazığlı168 adlı üyeden alıntı: mesajı görüntüle

2 ihtimal olabilir.

Sunucu rootlanmış olabilir. Kolay bir root şifresi varsa bu şifre brute force ile bulunup otomatik olarak rootlanıp dışarı saldırı yapıyor olabilir. Root şifresi harici sunucu güvenliği zayıf ise yine rootlanma durumu olabilir.

Bu durumda en sağlıklı yol sunucunun formatlanmasıdır.

Diğer seçenek ise sunucudaki sitelerden birine tema yada eklenti açığıyla girilmiş olabilir, içeri atılan udp shell ile dışarıya saldırı gerçekleştirilebilir.

Bunun çözümü içinde maldet yazılımı root yetki ile kurulup genel bir tarama yapılıp zararlı dosyalar tespit edilebilir.

Şu anda clamav ile tarama yapıyorum.

şöyle bir şey dikkatimi çekti
/home/kullanıcıadi/Maildir/new/1434173620.H121181P15858.srv.domain.com şeklinde binlerde dosya var 2 saatir bu klasör içinde tarama yapıyor
(Ki direct admin host açtığında böyle bir klasör açmıyor) ve içindeki dosyaları görmek istediğimde winscp, puty hepsi kilitleniyor.

Clamav şu anda o klasörün içindeki dosyaları taramak ile meşkul. Bakalım sonuç ne olacak.

17-07-2015, 01:10:15

#7

zoeken

Merhaba,

DirectAdmin konusunda uzmanlık bilgim var, directadminde 1.48 sürümünden sonra wordpress brute force saldırılarını loglaya bilme özellği geldi. Bunun yaninda brute forceları logladığı gibi ekstra custom edilebilir yapısı ile brute forceki IP adresslerini kalıcı olarak TCP den engelleyebilirim.

Konu ile ilgili ücretli destek almak isterseniz
Skype adresim: emrahciftcibasi

iyi bayramlar