Acil Yardım! Suudi Arabistanlı Hackerler!!!

Question

öğlenden beri HaCkEd By J.T isimli forumumuza saldırı var. ilk saldırı forum klasörü altına index.html saldırısıydı. index.html yı sıldık den sonra duzeldı. fakat bıraz once sanıyorum index.php nin de ustune saldırdılar index.php nın kodlarına bakıyorum sorun yok ama sayfalarda hacked yazısı cıkıo varmı bı onerısı fıkrı olan ? beklıyorum arkadaslar ?

ucankarga · Answer

HayroLa adlı üyeden alıntı:						mesajı görüntüle									.httaccesi değiş.. 		nasıl ?

OfisTech · Answer

arkadaşta kayıp yok sadece  index atmışlar bundan ibarettir.

CashAsiq · Answer

OfisTech adlı üyeden alıntı:						mesajı görüntüle									siteyi firmamız host etmektedir. Hacklenen siteye baktığımda chmod 777 ayrıca başka bir forum sitemiz yine oda smf kullanmakta aynı açık kendilerinindede mevcuttu hacklenmişler. Diğer sitelerde herhangi bir sorun bulunmamaktadır. Sistemdeki bütün smflerde aynı sorun meydana gelmiştir ama bunun serverle alakası bulunmamaktadır. Aynı kişi diğer sitelerede saldırı düzenlemiş ancak amacına ulaşamamıştır. 		
Klasor ve dosyalarin chmod larininn 777 olmasi hacklenmesi icin bir nedendir.
Fakat Bu saldirganin chmodu 777 olan yerde bir listpatchi varsa bir nedendir
yani saldirgan zaten bir sekilde girmistir sisteme.Sisteme girme sebebi server
zafiyati olabilir dedim ben script te te acik vardir.Serverda Da Bunun Tartismasini yapmadan once loglari inceleyiniz. Attacker nereden ne sekilde girmis bir nebze anlasilir.

Cyrax · Answer

OfisTech de söylemiş zaten.

smf de açık yoktur. açığı yapan admindir.

şu şekillerde herşeyi yapabilirler;

- chmod 777 bırakırsan normal istediğini yapar adam.

- admin şifresi eğer şifren kolay bişeyse bunu tahmin eder ve panelindede deneyerek paneline girebilir.

- eğer hostta ayarlari_onar.php dosyasını bulundurduysan bu dosyaya girildiğinde mysql vs . bilgilere ulaşabilir.

eğer herhangi bi kaybın yoksa chmod ları düzenle bişey olmaz. klasörleri(attanments, Themes, sources vs.) bunları 755 yap.   geriye kalanları( settings, settings_bak, agreement vs .) bunlarıda 644 yap. 

eğer kaybın varsa (konu, mesaj , yada forum açılmıyorsa)  , ama sanırım yok anladığıma göre sadece index atmışlar. eğer varsa kur temizden smf yi, söyle host firmana yedekleri yüklesin.

OfisTech · Answer

siteyi firmamız host etmektedir. Hacklenen siteye baktığımda chmod 777 ayrıca başka bir forum sitemiz yine oda smf kullanmakta aynı açık kendilerinindede mevcuttu hacklenmişler. Diğer sitelerde herhangi bir sorun bulunmamaktadır. Sistemdeki bütün smflerde aynı sorun meydana gelmiştir ama bunun serverle alakası bulunmamaktadır. Aynı kişi diğer sitelerede saldırı düzenlemiş ancak amacına ulaşamamıştır.

CashAsiq · Answer

Hacklenme Durumun Nedenleri ;

1- Server Security Problemleri 

1-1 > Safe Mode Off Dur > Dizinler Arasi Gecis Vardir.

2-2 > Safe Mode Ondur > Server Bypass ile gecilip Smf Configi Okunabilir.

3-3 > Script Vulnerables > (Script aciklari)

3-4  Smf Aciklari Mevcuttur. Son Olarak uyelere attachments den dosya yukleme izini vermisseniz oradan hacklenmis olabilirsiniz. yahut da index.php?sourcedir=Shel? Seklin de de
yeni kurulan smf sistemlerin bir bolumunde remote file include bugu mevcuttur.

4-4 Ne Yapicam? Server icin dediklerimi server sahibine iletin

5-5  Scriptinizin Tamamen Guvenli Oldundan Emin Olun.

FeYSuMMeR · Answer

özellikle settings.php ve settingsbak.php yi 644 den değiştirme diğerleri içinde mod kurdukdan sonra paketlerden seçeneklere gir mümkün olacak en az sayısı da dosya yazılabilir olarak ayarlansın seçeneğini seç

woeofautumn · Answer

Evet Shell olabilir attığın bir temada vs.
CHMOD olayında tam bir bilgim yok. 
Geçmiş olsun.

Cenk · Answer

Smf açığı bulmuşlardır. Google dan da smf siteleri ararken seninkini bulmuşlardır. Belli bir amaçları yada profesyonelliği yok sanırsam.

bi çoğu 777 ise oralardan açık bulmuşlardır. shell sokulmuş olabilir (c91,r57) 777 leri düzeltmen, siteyi silip yeniden yüklemen halinde düzelebilir.

RakishTurks · Answer

index.php 'yi sil baştan ftpye at..
ayrıca chmod lar 777 'ise değiştir çünkü yazma izni veriyosun.
smf 'de çok az açık var belki smf dosyalarında shell vardır.bi virüs taraması yap.

HayroLa · Answer

.httaccesi değiş..

KenaNeoN · Answer

777 ise hacklenmesi normal

klasörler 755 dosyalar 644 olmalı.Yoksa hacklemeye devam ederler

ucankarga · Answer

ForumAlemi adlı üyeden alıntı:						mesajı görüntüle									hostunuza söyleyin index açığını kapatsın..
yada daha güvenli bir hosta geçin.
geçmiş olsun 		Kurtuluş Mümkün değil yani ?

ucankarga · Answer

KenaNeoN adlı üyeden alıntı:						mesajı görüntüle									bence sen hostunu değiş ya da chmodları 777 yapma
2 ihmalden biri yüzünden olmuştur 		777 bi cogu.. gerı donus mumkunmu ? cunku tekrarlıyorum ama dosyaların ve index.php nin ıclerınde sorun yok ... saglamlar ftp den bakıyorum hepsı normal ?

Abraxas · Answer

hostunuza söyleyin index açığını kapatsın..
yada daha güvenli bir hosta geçin.
geçmiş olsun

KenaNeoN · Answer

bence sen hostunu değiş ya da chmodları 777 yapma
2 ihmalden biri yüzünden olmuştur

ucankarga · Answer

yedek medek yokda... bılmemkı sıtede ***** yok cart yok curt yok  anlamadım bende onu merak edıyorum haa guc gosterısı yapıyor desem ole ahım sahım bısıde deııl uc bes gun oldu kuralı ? ama neden yapsın onu merak edıyorum sılsem yuklesem gene yapar cunku... ilk index.htm atmısdı onu kaldırdım duzeldı su an dosların hepsı saglam kodlarda bı sorun yok ama bunun indexi cıkıyor buna anlam veremedım ondan sılmıyorum bu olayı cozmedende sılmıcem...

ForzaAltay · Answer

Saudi Arabic Hackers 

ne istiyor senden ?

aslinda SMF aciklik pek yok  reklam kodlarindan olmus olabilir yedeklerin varsa smf sil yenikten yükle yedegide ve reklamlari kaldir

ucankarga · Answer

arkadaslar bu arada sıstem smf ve hıc bı eklentı yuklu dııldı.. yanlızca reklamlar ıcın bı kac kodda degısıklık yapmısdım  ? ? ? evet bı fıkrı olan arkadas yokmu arkdaslar ?