GÜVENLİK AÇIĞI - Tüm wordpress site sahipleri mutlaka okusun.

Evt aynen 6 günümü verdim hocam geceli gunduzlu şu noktaya kadar sistemi çözene kadar.Hadi bakalım hayırlısı devamını getirin işte.Yolculuğa çıkmam gerek yarın öğleden sonra geleceğiim tekrar umarım wp bir yama çıkarmış olur konuyada girince çözüldüğünü okurum ve bu illet biter

Shellin şifresini bulabildim.

Birazdan daha ayrıntılı yazarım shelle ile tüm dosyalara yazma izni sağlanıyor chmod v.s hikaye bir nevi mysql yedek bile alabiliyor shell tablolar v.s silebiliyor.Safe mod oalyı shell için farketmiyor.

Shellden ufak bir görüntü;



Uploaded with ImageShack.us

Evt chmod root
yinede değişen birşey yok.Dedim sunucudamı birşey var formatladım.root yazma hakkına nasıl mudahale eder diye.Konuyuda mod bir arkadaş gorur birmuddet sabitlerse en azından herkes gorur ve fikir uretir.


Haydi selametle kalın izmire doğru yola çıkıyorum.Varınca tekrar bakarım konuya.İnş tam olarak çözülür.

http://www. phpshell.net/shadow/kaydet.js
bendeki shellden bu cıktı ama site kapalı

Hocam aratın taratın demişsiniz. Biraz bilgi verseniz neyi nerde nasıl taratacağımıza dair. Ben okudumda göremedim.

Adını ise lavuklar PhpSpy koymuş bunu hosta nasıl sokabildiklerine bakıyorum şuan fakat shellin çok amaçlı olduğu kesin ve herzaman ki gibi bu çakallığı yapan Çinli ler ile ruslar iş başında kodlara bakarsak bazı yerlere rusça gibi.Umarım birşeyler daha çıkar.

sshla taratacaksın verdiğim komutlarla.Ssh yetkin yoksa komutu yada shellin nerde ekli oldugunu bulmak saatlerini alır.Sshla 10 snde yerini tesbit edersin.
4angelli sitenin shelli kullanılmış sadece yani kullananlarla shelli yazanlar farklı olabilir.Ordaki shelleride gordugum editleyip daha kullanışlı bir hale sokmuşlar.Tüm çin trafiğini ve rus trafiğini bloklamıştım.Yine tekrarlamıştı.En pislik iki millet onlar diye ve shell yazanların çin oldugunu gorunce.Bloklama denemeyin yani işe yaramıyor.

@sametyigit sizinde bahsettiğiniz söz konusu shell bu mudur ?

Bu shelin login kısmı falanda var .

Hocam tarama kodlarını verdimya aynı shell.Şifresinivs kırdım aynı şekilde.Hatta dedimya blogladım çini ve rusları. passowrd ekranı geliyor işte.
Benim enbaştandır kullandıgım tarama kodları

find / -name "*"."*" -type f -print0 | xargs -0 grep http://www.raptorsrepublic.com
find /home -name "*".php -type f -print0 | xargs -0 grep http://www.raptorsrepublic.com
find /home -name "*".js -type f -print0 | xargs -0 grep http://www.raptorsrepublic.com

find /home -name "*".php -type f -print0 | xargs -0 grep http://www.4ngel.net
find /home -name "*".js -type f -print0 | xargs -0 grep http://www.4ngel.net


find /home -type f -print0 -name "*.php*" | xargs -0 grep -l "eval(gzinflate(base64_decode"

şunlar.Tesbit için.2 shell yani.Silsen yine çıkıyor piyasaya ve ilk wpde çıkıyor ordan wp ustune gittim.Çektikleri ne olabilir diye 1 gun log tuttum inceledim vsvs.