PHP Shell hakkında

Question

Merhaba, herkese iyi günler dilerim. Satış konumda bulunan projenin bilgilerini whatsapp üzerinden bir arkadaş istedi. Ben her bir kişi için admin heesabı açıyorum. Kullandığım bir log paneli var ve oradan kontrol ettiğimde bu arkadaş önce php uzantılı dosya yüklemeye çalıştı ve yükleyemeyince uzantısını silip yükledi. Dosyayı sunucudan sildim fakat herhangi bir zararı olur mu olmaz mı bilmek istiyorum. Dosya içeeriğinde shell olduğu yazıyordu. Şifrelenmiş php kodları da dahil.
Not: Yüklenilen dosya <img src="dosya"> şeklinde açılıyor.

Proxcis · Answer

Burpsuite kullananlardan kim kaldı be...
Arkadaş amatörmüş hocam, yetkisini alırsan bir şey yapabileceğini sanmıyorum ama backdoor oluşturup oluşturmadığını bilmiyoruz.

leaver · Answer

Bir adam manyak gibi bizede musallat olmuştu bi ara. Kurumsalların demo bilgilerini değişince sorun kalmamıştı. Dosyanın uzantısı .php değilse sunucuda çalıştıramaz, ek olarak hostinginizde imunify varsa bunu algılayıp gerekli işlemi çoktan yapmıştır bile

Proxcis · Answer

leaver adlı üyeden alıntı:						mesajı görüntüle									Bir adam manyak gibi bizede musallat olmuştu bi ara. Kurumsalların demo bilgilerini değişince sorun kalmamıştı. Dosyanın uzantısı .php değilse sunucuda çalıştıramaz, ek olarak hostinginizde imunify varsa bunu algılayıp gerekli işlemi çoktan yapmıştır bile  		Teknik olarak doğru hocam, sunucun kodu yorumlaması gerekiyor ama günümüzde .pdf uzantısını sunucuya yüklenmeden .php çevirebiliriz ama sunucu bunu pdf olarak algılayacağı için shell olarak görmez ve yüklemeye izin verir.
Wordpress alt yapısında ya da normal sitelerde pek olmasa da zaman zaman böyle açıkları maalesef halen bırakmaktalar.

leaver · Answer

Misafir adlı üyeden alıntı:						mesajı görüntüle									Teknik olarak doğru hocam, sunucun kodu yorumlaması gerekiyor ama günümüzde .pdf uzantısını sunucuya yüklenmeden .php çevirebiliriz ama sunucu bunu pdf olarak algılayacağı için shell olarak görmez ve yüklemeye izin verir.
Wordpress alt yapısında ya da normal sitelerde pek olmasa da zaman zaman böyle açıkları maalesef halen bırakmaktalar. 		böyle birşey olduğunu bilmiyordum hocam, ama demoya sızmaya çalışacak kadar akılsız birisinin bunu yapabileceğini düşünmüyorum

Proxcis · Answer

leaver adlı üyeden alıntı:						mesajı görüntüle									böyle birşey olduğunu bilmiyordum hocam, ama demoya sızmaya çalışacak kadar akılsız birisinin bunu yapabileceğini düşünmüyorum  		Bu yöntem çok fazla bilinmez hocam, deneyenler de sadece uzantı değiştirerek atmayı denerler 
Genelde siteler yemez bunu ama zamanında edu uzantılı sitelerin kabuğuna kadar erişebiliyorduk, zone kayıtları vs de var subdomaindi ama yine de tatmin ediyordu  .
Demodan dahi bir bir şekilde kabuğa erişim sağlarsa gerisi çorap söküğü olarak gidebiliyor.

canseworks · Answer

Valla uzantısı kesinlikle php değil. İnceledim iyice sadece içeriği php kodu. Sorun yaşatırmı nasıl anlarım? Çok teşekkür ederim.

EmreZeriX · Answer

Eğer upload başarılı olduysa ve kendi bilgisayarında aktif bir oturum başlattıysa backdoor yemiş olabilir sunucu bunun çözümü malesef dosyayı silmekle geçmez hocam sunucuyu kapatıp açınca düzelir kullanıcının bağlantısını anca bu şekilde kesebilirsiniz tabi kullanıcı bağlı iken sizin görmediğiniz bir yere shell yerleştirmiş olabilir.

canseworks · Answer

EmreZeriX adlı üyeden alıntı:						mesajı görüntüle									Eğer upload başarılı olduysa ve kendi bilgisayarında aktif bir oturum başlattıysa backdoor yemiş olabilir sunucu bunun çözümü malesef dosyayı silmekle geçmez hocam sunucuyu kapatıp açınca düzelir kullanıcının bağlantısını anca bu şekilde kesebilirsiniz tabi kullanıcı bağlı iken sizin görmediğiniz bir yere shell yerleştirmiş olabilir. 		ImunifyAV ile tarattığımda temiz gözüküyor hocam. Bu taramadan sonra ne yapmamı önerirsiniz.

EmreZeriX · Answer

canseworks adlı üyeden alıntı:						mesajı görüntüle									ImunifyAV ile tarattığımda temiz gözüküyor hocam. Bu taramadan sonra ne yapmamı önerirsiniz. 		Hosting firması ile iletişime geçip sunucuyu uygun zamanda yeniden başlatmalarını backdoor süphenizin olduğunu iletin gerekeni yapacaklardır diyee düşünüyorum onun dışında bence geçmiş yedeklerden birini indirin sunucuyu komple sıfırlatıp o yedeği teekrardan kurun en tmizi bu olacaktır.

canseworks · Answer

EmreZeriX adlı üyeden alıntı:						mesajı görüntüle									Hosting firması ile iletişime geçip sunucuyu uygun zamanda yeniden başlatmalarını backdoor süphenizin olduğunu iletin gerekeni yapacaklardır diyee düşünüyorum onun dışında bence geçmiş yedeklerden birini indirin sunucuyu komple sıfırlatıp o yedeği teekrardan kurun en tmizi bu olacaktır. 		Çok teşekkür ederim hocam.