Siteler sürekli Hackleniyor bir çözüm var mı?

Merhaba siteler yaklaşık 15 gündür temizlenmesine rağmen sürekli Japon Çin illegal reklamları ile hackleniyor. Veritabanı wp admin şifreleri C panel hem şifreleri sürekli değişmemize rağmen siteleri temizlememize rağmen her gün hackleniyor yardımcı olabilecek var mı?

hocam sunucuyu tarattınızmı ssh erişimi vermiş olabilirler eğer loglar silinmiyorsa logları kontrol edip öyle deneyin ve bütün erişimleri gözden geçirin ftp ssh şifrelerini değiştirin 2fa ekleyin sorun nerede onu anlamaya çalışırsanız faydası olucaktır

İyi günler,
Sorununuzu çözüme ulaştırabiliriz. Kısaca detay bırakın, dönüş yapalım.
+90 542 572 26 46
İyi günler.

Önceliğiniz kullandığınız bi eklentide açık olabilir wordpress ve eklentilerinizi son sürüme güncelleyin ek olarak wordfence security eklentisi + cloudflare kurarak belli başlı açıkları kapatmmış olursunuz ek olarak hosting sunucunuzda mod security varsa onuda aktif etmenizi öneririm

Ardından açığı bulmak için

cpanel de kök dizinde lastlogin dosyasına bakmanızı yabancı ip varsa cpanelinizde erişiliyor demektedir bazı durumlarda kullanıcıların bilgisayarı / tarayıcısında keylogger oluyor siz ne kadar cpanel şifresi değiştirsenizde kendi bilgisayarınızdan cpanele girince şifreniz sızıyor olabilir.

cpanelde ki access_log larına bakarak hangi dosyalara ne istekler geliyor diye bakıp açığı bulmanıza yardımcı olabilir

çözüm php script temiz bir script satın al rahatına bak

Ya plugin / wp core exploittir ya da webshell bırakmışlardır ya da sunucu sizinse o tarafda bir backdoor vardır. Sunucusu sizinse alınması gereken çok fazla güvenlik önlemi var. Son 1 ayda onlarca patch çıktı mesela. Eğer sizin değilse, wordpress için güncellemeler ve belirli erişim kısıtlamaları + en önemlisi güncel rules içeren waf düşünün.

Geçtiğimiz yıl benzer bir problemimizi @webgiller; arkadaşımız çözmüştü, bi göz atsın derim.

Hemen ilgileniyorum teşekkürler.

Hocam selamlar, yaşadığınız durum bir 'virüs temizliği' döngüsüdür. Siz dosyaları temizlediğinizi sanıyorsunuz ama saldırgan sistemde bir 'Cron Job' (zamanlanmış görev) veya veritabanında 'wp_options' tablosuna enjekte edilmiş bir kod (malicious hook) bırakmış. Siz dosyayı temizleseniz bile, sistem her çalıştığında o gizli kod tekrar zararlı dosyayı oluşturuyor.
Bu durumda yapılacak teknik yol haritası:

1. Dinamik Dosya Analizi: Sadece dosyaları taratmakla olmaz. FTP veya SSH üzerinden modified date (değiştirilme tarihi) sorgusu atarak, son 24-48 saat içinde değişen tüm PHP dosyalarını listeleyin. Büyük ihtimalle wp-includes veya wp-admin içerisinde, isminde alakasız karakterler olan bir PHP dosyası bulacaksınız.
2. Veritabanı Hijacking: wp_options tablosunda siteurl, home ve özellikle blogname gibi kısımlara enjekte edilen 'Base64' kodlanmış scriptleri aratın. Japonca karakterler genelde buraya gizlenir.
3. Backdoor Avı: Eğer bir 'Web Shell' (genellikle 1-2 satırlık şifrelenmiş kod) bir kez sisteme girdiyse, sunucudaki tüm eval(), base64_decode(), gzinflate() fonksiyonlarını kullanan dosyaları özel bir tarama ile ayıklamanız gerekir.
4. Local Compromise: Sadece siteniz değil, bilgisayarınızda bir 'Keylogger' veya 'FTP şifrelerinizi çalan' bir virüs de olabilir. Siz şifreyi değiştirseniz bile saldırgan yeni şifreyi anında alıyor. Bilgisayarınızı 'Kaspersky' veya 'Malwarebytes' ile temizleyip ardından şifre değişikliği yapın.

Tavsiyem: Eklenti kurup taratmak bu seviyedeki bir 'persistence' (kalıcılık) saldırısında işe yaramaz. Sisteminize bir profesyonel müdahale etmeli veya tüm sitenizi tamamen yeni bir 'clean install' yapıp, veritabanınızı satır satır temizleyerek taşımanız gerekir. Bu işin ticaretinde değilim, işiniz görülsün diye teknik notlarımı paylaştım.