GÜVENLİK AÇIĞI - Tüm wordpress site sahipleri mutlaka okusun. - Sayfa 6

11-09-2010, 03:09:00

#46

sametyigit adlı üyeden alıntı: mesajı görüntüle

İşte bas bas bağırdığım konu bu dosyaların wpye otomatik çağrıldığı kaçgundur şimdilik buyuk hitli siteler ama tam olarak yayılmadan bu wpdeki açıkmıdır yada herneyse kapatılıp çözülmeli.2 tane 15k-40k hitli wpde sorun var bizdeLoglarda gordugum w00tw00t diye birsistemle shell sokulu yada daha once sokulan siteleri tarayıp devamlı işlemi tekrarlamaları.6 gündür kafayı yiyecek noktaya kadar uğraştm 6 senedir whm linux guvenlik uzerine uğraşıyorum ama kafayı yedirtecekler.Host firması farketmiyor ahmettede barınsan var sorun mehmettede.Trde tarama yapan birkaç sunucu tesbit ettim onlarada bayramdan sonra dava açacağım.Onunda isteyenle ekran goruntusunu paylaşabilirim.Sitelerde tarama yapan sistemin logunu.Aslen çok karışık yani ifade etmektede zorlanıyorum.

tarama yapan sunucuların logunu paylaşabilirmisiniz acaba

11-09-2010, 03:09:35

#47

~~MehmetEmin~~

Üyeliği durduruldu

mecbur siteler 2-3 gun suspend yemiş halde kalacak bir çözüm bulunana kadar

11-09-2010, 03:13:13

#48

cryptosam

Uploaded with ImageShack.us

resimdeki log şu devamlı ipdeğiştirebiliyor tr kokenli tesbit ettiğim ip şu dava açmaya hazırlanıyoruz bayramdan sonra bu ip sahibine.
İuda ipnin bulunduğu firmaya yaptığımız yazışma.

Merhabalar.
Ben www.centoshost.com şirketi'nin server güvenliğinden sorumlu Samet Yiğit
Firmamız üstündeki sunuculardan biri üzerinde devamlı surette 4 gündür
hackleme amaçlı taramalar yapan ipleri tesbit ederken firmanızda
yeralan bir vps ipsine ulaştık.Ekteki resimde size log kaydını
gönderiyorum.Mevcut ip'yi kullanan kişinin isim,soyod,telefon ve adres
bilgilerini mümkünse paylaşabilirseniz yasal süreç için
kullanacağız.Kullanıcı taraflı görüşerekte işlemi halletme yoluna
gidebileceğimiz için bilgiler gerekli.Yaptıkları taramalar ile
sunucularımız üzerinde ki açıkları bulmaya çalışmakta ve
sunucularımıza zarar verilmektedir.2 ader 80.000 tekil hitli sitemiz
bu ip adresinden tarama yapılarak iframe kodu eklenmiştir.

Eğerki şahsın bilgilerini vermeniz mumkun değilse 05416904145 nolu
telefondan Samet Yiğit ile görüşmesini bildirirseniz memnun
olurum.Yasal süreç başlatıldıgında bu tur durumlarda genelde Kamu
davası olarak sonuçlanıyor ve iptali söz konusu olamıyor.Bu nedenle
öncelikle kişiyle görüşmek istiyoruz.Dönüş yapılmadığında Telekom
iletişim başkanlığına adınıza suç duyurusunda bulunarak şahıs
hakkında da gerekli yasal işlemleri başlatacağız.

İşbirliğiniz için şimdiden teşekkürler.

Samet Yiğit
www.centoshost.com
Server Administrator

Ayrıca ustteki tarama sistemi belirli log analiz programlarıyla engellenebiliyor ama anında yapısal farklılık gosteriyor.Yani kısaca adamlar tarayacaksa tarıyor.

11-09-2010, 03:23:39

#49

VARDAR

Bu kodu yiyen sitelerin hepsi ddos korumalı sunucularda mı barınıyor ?

mod_security ddos makinalarında genelde kapalı oluyor farklı birşey ile çakıştığı için, yinede net bilgim yok, bilen bir arkadaşımız yanıtlarsa mutlu olurum.

11-09-2010, 03:25:12

#50

cryptosam

Genelde donanımsal olarak kaynak tuketmemesi için aktif etmeyebiliyorlar.16 cpu sunucudayız ve gotroot ruleleriyle mod_security aktif.Sunucuda değiştirdik denedik.Fromatladık.Ddos musterisini farklı sunucuya aldık vs.Datacenteri,cpanel supportu ve litespeed supportu sizdemiaçık var diye ayağa kaldırdık.Kendileri kontrol etti herşeyi.Hesap bazlı açık dediler.Müşteriniz kendisi yüklüyor olabilir dediler.Sonuç olarak sunucu tabanlı değil.Yani host değişip format atmakla vs ftp şifresi değişmekle kurtulunmuyor.

11-09-2010, 03:26:45

#51

VARDAR

sametyigit adlı üyeden alıntı: mesajı görüntüle

Genelde donanımsal olarak kaynak tuketmemesi için aktif etmeyebiliyorlar.16 cpu sunucudayız ve gotroot ruleleriyle mod_security aktif.Sunucuda değiştirdik denedik.Fromatladık.Ddos musterisini farklı sunucuya aldık vs.

Anladım, daha öncelerden de gerek digitalpoint olsun gerek diğer yabancı webmaster platformları olsun araştırdım sadece biz Türkler de bu sorun mevcut.Açıkcası yapanında Türk birisi olduğunu düşünüyorum.

11-09-2010, 03:29:33

#52

cryptosam

Olabilir tarama yapan iplerden biri türk ipsi.Sitelerden birindede tr sistem bir upload sistemi bulmuştuk.Ama israil kaynaklı olabileceğinide duydum.Ana raptors sitesi zarars@hotmail.com diye bir adamın ve yabancı.Ama kökeni israil demişti araştır dediğim bir güvenlikçi.Adamın bilgilerinden ulaşmış face vs.Ayrıca adamın dcsi ilede gorustuk.Abuse departmanına ticket gonderdik.3 gun oldu donus olmadı canlı destekleri abuselerde direk işlem yapıldıgını belirtmişti.Ama adamın sitesi halen aktif.

11-09-2010, 03:30:28

#53

~~MehmetEmin~~

Üyeliği durduruldu

işin ilginç tarafı beniim siteye attıkları shelle hiç girmemişler bile az önce logları kontrol ettim benden baska kimse girmemiş buda demek oluyorki wordpress sitelere otomatik olarak atıyorlar yada tarayıcı kullanmadan bir şekilde dosyayı sunucuya yukluyorlar.

11-09-2010, 03:31:57

#54

cryptosam

o shele tarayıcıda gezersen adres satırının hiç değişmeyeceğini gorursun shellde log silme vsde entegre shelle işini bitirip anında shellide siliyorlar.Mod_security gezinmeleri engelliyor.Adam komutlarını rahatca verebiliyor mod_secde engellide olsa.İşte wpde dizinleri genelde sabit.Bizim buldugumuzda o.Ve ilk giriş yaptıkları site wp oluyor.Ayrıca bazı sitelere farklı birshellde kullanabiliyorlar.Onu bulmak içinde

find /home/userineyse  -name "*".php  -type f -print0 | xargs -0 grep http://www.4ngel.net
find /home/userineyse  -name "*".js  -type f -print0 | xargs -0 grep http://www.4ngel.net

şu ikisini tarayın.