Scriptte shell var mı yok mu öğrenme

herkese merhaba elimdeki scriptte shell var ve bunu kullanarak siteden ftp erişimi yapılıp dosyaları değiştirebiliyorlar bu shell açığının tespiti ve engellemesi adına neler yapabilirim nasıl tarattırabilirim ?

dosyaları bilgisayarınıza indirip virüs programı ile tarayın. bir sonuç alamazsanız error_log dosyasını açıp inceleyin. gene bir sonuç alamazsanız tek tek elle kontrol edin. scriptteki shelli bulmaktan ziyade ilk önce açığı bulup kapatmanız daha yararlı olur sanırım. sitenizi pm ile iletin bir inceliyeyim istiyorsanız.

Sitenin bütün dosyalarında belirtilen bir kelimeyi arayan php dosyası vardı.
Bunu siteye atıp scripte “shell, base64” gibi kelimeleri aratıp bulma ihtimaliniz vardır diye düşünüyorum.

güvenlik amacıyla o scripti kullanamıyorum denemeye yapabileceğimiz bir yer varsa dosyaları atıp deneyebiliriz



sağolun deneyeceğim

Merhaba, arzu ederseniz bu tip sorun veya işler ile ilgili çalışmalarım mevcut imzam üzerindeki konular vasıtasıyla iletişime geçebilirsiniz.

base64 ile arama yaptığımda bazı dosyalarda geçen şeyler şunlar oldu fakat shell ile ilgili bir şey bulunamadı:

$refreshicon = "<img src=\"data:image/png;base64,
iVBORw0KGgoAAAANSUhEUgAAAAkAAAAKCAIAAADpZ+PpAAAAAX NSR0IArs4c6QAAAARnQU1BAACx
jwv8YQUAAAAJcEhZcwAADsMAAA7DAcdvqGQAAAEQSURBVChTY/gPBkevHfRrtjMsU9bJ05+5eylE
kAGI117fKFsqYzhTNeSQY8xhP8vJJmVrK3eeP8Bw58kt03rTkH nRxdvrnKd4m83SCTtsaLZI1K7H
mGH2xpnHLh+GGPL7/7/S1dVKU2Usd6roTZBh+Pj3M0QCCL78+Fw6v1ooR1myWU2zzpjBb 2Ko8xwf
91l+gRNDLzw6f+nepcsPrl14cPXW8wcMWqVaEYdtPdZYubUHww 0AMs5cusygU68UtVUr87CPWbdd
9Ly83TcO7Lq2I7ozoXfZTAalCjWZemnlaYo2u0wVFkoJdwoyZD OZNDi//vqRwbkjac+dC827p2h3
Gyh3S6m0a0Qszrnz6RnQWAAxV5tT/VAiNQAAAABJRU5ErkJggg==\">";


$refreshicon = "<img src=\"data:image/png;base64,
iVBORw0KGgoAAAANSUhEUgAAAAkAAAAKCAIAAADpZ+PpAAAAAX NSR0IArs4c6QAAAARnQU1BAACx
jwv8YQUAAAAJcEhZcwAADsMAAA7DAcdvqGQAAAEQSURBVChTY/gPBkevHfRrtjMsU9bJ05+5eylE
kAGI117fKFsqYzhTNeSQY8xhP8vJJmVrK3eeP8Bw58kt03rTkH nRxdvrnKd4m83SCTtsaLZI1K7H
mGH2xpnHLh+GGPL7/7/S1dVKU2Usd6roTZBh+Pj3M0QCCL78+Fw6v1ooR1myWU2zzpjBb 2Ko8xwf
91l+gRNDLzw6f+nepcsPrl14cPXW8wcMWqVaEYdtPdZYubUHww 0AMs5cusygU68UtVUr87CPWbdd
9Ly83TcO7Lq2I7ozoXfZTAalCjWZemnlaYo2u0wVFkoJdwoyZD OZNDi//vqRwbkjac+dC827p2h3
Gyh3S6m0a0Qszrnz6RnQWAAxV5tT/VAiNQAAAABJRU5ErkJggg==\">";
$refreshiconfrm = "data:image/png;base64,
iVBORw0KGgoAAAANSUhEUgAAAAkAAAAKCAIAAADpZ+PpAAAAAX NSR0IArs4c6QAAAARnQU1BAACx
jwv8YQUAAAAJcEhZcwAADsMAAA7DAcdvqGQAAAEQSURBVChTY/gPBkevHfRrtjMsU9bJ05+5eylE
kAGI117fKFsqYzhTNeSQY8xhP8vJJmVrK3eeP8Bw58kt03rTkH nRxdvrnKd4m83SCTtsaLZI1K7H
mGH2xpnHLh+GGPL7/7/S1dVKU2Usd6roTZBh+Pj3M0QCCL78+Fw6v1ooR1myWU2zzpjBb 2Ko8xwf
91l+gRNDLzw6f+nepcsPrl14cPXW8wcMWqVaEYdtPdZYubUHww 0AMs5cusygU68UtVUr87CPWbdd
9Ly83TcO7Lq2I7ozoXfZTAalCjWZemnlaYo2u0wVFkoJdwoyZD OZNDi//vqRwbkjac+dC827p2h3
Gyh3S6m0a0Qszrnz6RnQWAAxV5tT/VAiNQAAAABJRU5ErkJggg==";

.ie9 div.village1 .colorLayer,.ie9 div.village2 div#village_map div#levels div.colorLayer{background-image:url(data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5 vcmcvMjAwMC9zdmciIHdpZHRoPSIxMDAlIiBoZWlnaHQ9IjEwM CUiIHZpZXdCb3g9IjAgMCAxIDEiIHByZXNlcnZlQXNwZWN0UmF 0aW89Im5vbmUiPgo8bGluZWFyR3JhZGllbnQgaWQ9Imc5ODQiI GdyYWRpZW50VW5pdHM9InVzZXJTcGFjZU9uVXNlIiB4MT0iMTA wJSIgeTE9IjEwMCUiIHgyPSIxMDAlIiB5Mj0iMCUiPgo8c3Rvc CBzdG9wLWNvbG9yPSIjNjA2MDYwIiBvZmZzZXQ9IjAiLz48c3R vcCBzdG9wLWNvbG9yPSIjYzhjOGM4IiBvZmZzZXQ9IjEiLz4KP C9saW5lYXJHcmFkaWVudD4KPHJlY3QgeD0iMCIgeT0iMCIgd2l kdGg9IjEiIGhlaWdodD0iMSIgZmlsbD0idXJsKCNnOTg0KSIgL z4KPC9zdmc+)}
div.village1 .colorLayer.notNow,div.village2 div#village_map div#levels .colorLayer.notNow{border:1px solid #988b42;background-color:#fdf15f;background-image:-moz-linear-gradient(bottom,#988b42,#fdf15f 100%);background-image:-webkit-linear-gradient(bottom,#988b42,#fdf15f 100%);background-image:linear-gradient(to top,#988b42,#fdf15f 100%)}
.ie9 div.village1 .colorLayer.notNow,.ie9 div.village2 div#village_map div#levels .colorLayer.notNow{background-image:url(data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5 vcmcvMjAwMC9zdmciIHdpZHRoPSIxMDAlIiBoZWlnaHQ9IjEwM CUiIHZpZXdCb3g9IjAgMCAxIDEiIHByZXNlcnZlQXNwZWN0UmF 0aW89Im5vbmUiPgo8bGluZWFyR3JhZGllbnQgaWQ9Imc2NjciI GdyYWRpZW50VW5pdHM9InVzZXJTcGFjZU9uVXNlIiB4MT0iMTA wJSIgeTE9IjEwMCUiIHgyPSIxMDAlIiB5Mj0iMCUiPgo8c3Rvc CBzdG9wLWNvbG9yPSIjOTg4YjQyIiBvZmZzZXQ9IjAiLz48c3R vcCBzdG9wLWNvbG9yPSIjZmRmMTVmIiBvZmZzZXQ9IjEiLz4KP C9saW5lYXJHcmFkaWVudD4KPHJlY3QgeD0iMCIgeT0iMCIgd2l kdGg9IjEiIGhlaWdodD0iMSIgZmlsbD0idXJsKCNnNjY3KSIgL z4KPC9zdmc+)}
div.village1 .colorLayer.good,div.village2 div#village_map div#levels .colorLayer.good{border:1px solid #506d00;background-color:#c7e94f;background-image:-moz-linear-gradient(bottom,#7da100,#c7e94f 100%);background-image:-webkit-linear-gradient(bottom,#7da100,#c7e94f 100%);background-image:linear-gradient(to top,#7da100,#c7e94f 100%)}
.ie9 div.village1 .colorLayer.good,.ie9 div.village2 div#village_map div#levels .colorLayer.good{background-image:url(data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5 vcmcvMjAwMC9zdmciIHdpZHRoPSIxMDAlIiBoZWlnaHQ9IjEwM CUiIHZpZXdCb3g9IjAgMCAxIDEiIHByZXNlcnZlQXNwZWN0UmF 0aW89Im5vbmUiPgo8bGluZWFyR3JhZGllbnQgaWQ9ImcyMTYiI GdyYWRpZW50VW5pdHM9InVzZXJTcGFjZU9uVXNlIiB4MT0iMTA wJSIgeTE9IjEwMCUiIHgyPSIxMDAlIiB5Mj0iMCUiPgo8c3Rvc CBzdG9wLWNvbG9yPSIjN2RhMTAwIiBvZmZzZXQ9IjAiLz48c3R vcCBzdG9wLWNvbG9yPSIjYzdlOTRmIiBvZmZzZXQ9IjEiLz4KP C9saW5lYXJHcmFkaWVudD4KPHJlY3QgeD0iMCIgeT0iMCIgd2l kdGg9IjEiIGhlaWdodD0iMSIgZmlsbD0idXJsKCNnMjE2KSIgL z4KPC9zdmc+)}
div.village1 .colorLayer.maxLevel,div.village2 div#village_map div#levels .colorLayer.maxLevel{border:1px solid #0d648e;background-color:#b1e4ff;background-image:-moz-linear-gradient(bottom,#0d648e,#b1e4ff 100%);background-image:-webkit-linear-gradient(bottom,#0d648e,#b1e4ff 100%);background-image:linear-gradient(to top,#0d648e,#b1e4ff 100%)}
.ie9 div.village1 .colorLayer.maxLevel,.ie9 div.village2 div#village_map div#levels .colorLayer.maxLevel{background-image:url(data:image/svg+xml;base64,PHN2ZyB4bWxucz0iaHR0cDovL3d3dy53My5 vcmcvMjAwMC9zdmciIHdpZHRoPSIxMDAlIiBoZWlnaHQ9IjEwM CUiIHZpZXdCb3g9IjAgMCAxIDEiIHByZXNlcnZlQXNwZWN0UmF 0aW89Im5vbmUiPgo8bGluZWFyR3JhZGllbnQgaWQ9ImczMTMiI GdyYWRpZW50VW5pdHM9InVzZXJTcGFjZU9uVXNlIiB4MT0iMTA wJSIgeTE9IjEwMCUiIHgyPSIxMDAlIiB5Mj0iMCUiPgo8c3Rvc CBzdG9wLWNvbG9yPSIjMGQ2NDhlIiBvZmZzZXQ9IjAiLz48c3R vcCBzdG9wLWNvbG9yPSIjYjFlNGZmIiBvZmZzZXQ9IjEiLz4KP C9saW5lYXJHcmFkaWVudD4KPHJlY3QgeD0iMCIgeT0iMCIgd2l kdGg9IjEiIGhlaWdodD0iMSIgZmlsbD0idXJsKCNnMzEzKSIgL z4KPC9zdmc+)}



$data = base64_encode(json_encode(array_merge(compact('pub lic_key'), $params)));
$signature = base64_encode(sha1($private_key.$data.$private_key , 1));



merhaba site adresini iletsem oradan bir çalışma yapabilir misiniz yoksa direkt dosyalar üzerinden mi çalışıyorsunuz ?

Merhaba, sorunu çözdünüz mü bilmiyorum ancak site adresini özelden veya buradan verebilirseniz bir bakmak isterim.

script dosyasını virustotalde taratabilirsin.
scriptte shell varsa mutlaka bir panele scriptin kurulduğuna dair log gönderiyordur localde scripti kurup wireshark ile dinlemeye alıp dışarıya log gönderiyormu bakabilirsin.
belirli kelimeleri aratırken sublime texti kullanabilirsin tüm alt klasördeki php dosyalarında arama yapabiliyor çok daha kolay olur.

Ben bu programı kullanıyorum dosyaları taramak için.
https://www.emsisoft.com/en/