Sanırım Hacklendim. Enteresan bir hikaye var.

Question

Selam arkadaşlar, iyi forumlar...
Hobi olarak kullandığım, bir nevi kişisel blogum mevcut. Blogumda bir adet editör kullanıcı var. Bazen buradan arkadaşlardan makale satın alıyorum. Her neyse, problem şu ki; bugün saat 07:32'de editör kullanıcısından şöyle bir içerik girişi olmuş.

Başlık: 0x1c8c5b6a
İçerik: 0x1c8c5b6a Çok anlamsız. Sonrasında Google'da bu anahtar kelimeyi arattım ve birçok WordPress sitesinde olduğunu gördüm. Acaba hangi eklentiden gol yedim?

Mevcut'da eklentilerim ;Akismet Anti-spam
AutoWP - AI Content Writer & Rewriter < Forum'dan bir arkadaşın uygulaması fakat pasif kullanmıyorum.
Code Snippets
Converter for Media
Cookie Notice & Compliance for GDPR / CCPA
Easy Table of Contents
GenerateBlocks
Google tarafından Site Kit
GP Premium
Health Check & Troubleshooting
Klasik düzenleyici
Popular Posts by Webline
SEO Manage
Starter Templates
WordPress Popular Posts
WP Mail SMTP
WP Rocket
WPForms Lite
Yet Another Related Posts Plugin (YARPP)
Yoast SEO
Bu arada ne çok eklenti kullanıyormuşum böyle  search console den url kaldırma isteği gönderip, içeriği özele çektim ve editör kullanıcısının yetkilerini aboneye çevirip, şifre değiştirme işlemi uyguladım.
Not: Default olarak gelen bir loglama sistemi mevcutmu, kayıtları görebilirmiyim? en kötü iP adresi vb.

Girilen İçerik Ekran Görüntüsü

RakipsizHizmet · Answer

Öncelikle geçmiş olsun. Hack olayı sadece kullandığın eklenti ile bağlantılı değildir. Başta sunucudan tut, veri tabanı, php, wordpress, eklenti ve temalar ve şifreler ile alakalıdır. Net bir şey demek mümkün değil. Giren kişi bilgili ise log kayıtlarını da silebilir. Log kayıtları genel olarak Apache ve Nginix için /var/log/ klasöründe olur. Cpanel vb falan kullanıyorsan user kısmındaki logs klasöründe yer alıyor.

Backpacker · Answer

RakipsizHizmet adlı üyeden alıntı:						mesajı görüntüle									Öncelikle geçmiş olsun. Hack olayı sadece kullandığın eklenti ile bağlantılı değildir. Başta sunucudan tut, veri tabanı, php, wordpress, eklenti ve temalar ve şifreler ile alakalıdır. Net bir şey demek mümkün değil. Giren kişi bilgili ise log kayıtlarını da silebilir. Log kayıtları genel olarak Apache ve Nginix için /var/log/ klasöründe olur. Cpanel vb falan kullanıyorsan user kısmındaki logs klasöründe yer alıyor. 		Değerli yorumunuz için teşekkür ediyorum evet haklısınız guzel net kullanıyorum belki sunucu kaynaklı'da olabilir. Guzel net e bir ticket açtım, söylediğiniz dizini de kontrol edeceğim birazdan.

RakipsizHizmet · Answer

srhtyldz adlı üyeden alıntı:						mesajı görüntüle									Değerli yorumunuz için teşekkür ediyorum evet haklısınız guzel net kullanıyorum belki sunucu kaynaklı'da olabilir. Guzel net e bir ticket açtım, söylediğiniz dizini de kontrol edeceğim birazdan. 		Hosting firması size diyeceği bizden kaynaklı değil yazılımcı bulun siteyi kontrol edin olacaktır.  Imunify360 olmasa zaten hosting firmaları perişan olur.  Imunify360  tespit ettikleri de artık günümüzde yeterli değildir. 2 satır kod ile atlatılabilmektedir. Projeniz önemliyse benim gibi güvenlik hizmeti veren birine inceletin.    Kendiniz kontrol etmek isterseniz access_log  ve  error_log  dosyalarını kontrol edeceğiniz ilk yerlerdir.  Kolay gelsin.

Backpacker · Answer

C-Panel > Dosya Yöneticisi > .lastlogin üzerinden C-Panel'inize giriş yapmış IP adreslerini görüntüleyebilirsiniz. Sonu 10 ile biten IP adresi bize ait olmaktadır diye bir feedback de bulundular.
Çok önemli bir konu değil, sadece mide bulandırdı işte. Teşekkürler.

Messi · Answer

Eklentiler guncel degilse bundan kaynakli olabilir.

trhero · Answer

çok garip 0x1c8c5b6a olarak aratınca bir çok index çıkıyor hepside son 2 haftada olmuş gibi indexelerinde hepsi wordpress sitesi sitelerin ortak eklenti kullanıyormu diye biraz inceledim ortak tek 1 eklentide bulamadım

Backpacker · Answer

Messi adlı üyeden alıntı:						mesajı görüntüle									Eklentiler guncel degilse bundan kaynakli olabilir. 		Hepsini otomatik güncellemeleri açık kullanıyorum, teşekkürler.

Backpacker · Answer

trhero adlı üyeden alıntı:						mesajı görüntüle									çok garip 0x1c8c5b6a olarak aratınca bir çok index çıkıyor hepside son 2 haftada olmuş gibi indexelerinde hepsi wordpress sitesi sitelerin ortak eklenti kullanıyormu diye biraz inceledim ortak tek 1 eklentide bulamadım 		Gerçekten garip,anlamsız ve saçma bende benzer bir araştırma yaptım söylediğiniz gibi bir ortak bağlam bulamadım.

trhero · Answer

en iyi tahminim spam ile site açıklarını bu şekilde bulup daha sonra kodu google aratıp kendilerine saldırabilecekleri siteleri buluyorlar bu yüzden güvenlik kısmına dikkat etmenizi öneririm

cetin61 · Answer

Yani normal bir virüslü eklenti ana kullanıcıya girer direkt içeriği, bir daha ayrı bir içerik oluşturmaz. Yani tabii girebilir ama bence girmez. Editör kullanıcılarını falan her zaman kapalı tutun. Açık bırakmayın. Bir editörünüzün pcye virüs girer tüm şifreler çalınır ondan sonra geçmiş olsun siteye..