Hehe.js Npu.ac vs. Gibi Virüslerin Çözümü

Question

Bir avuç kendini bilmez lamerin eklediği bu kodlardan kurtulmanın yolu veritabanı bilgilerinizin bulunduğu dosyanın iznini 400 yapmaktan geçer. v7 kullananlar baglan.php dosyasını 400 yaparsa sorun çözülür.


Çok önemli not: Önce php my adminden yedek alın, sonra yeni veritabanı oluşturun ismi-şifresi öncekinden farklı olsun. Veritabanını yükledikten sonra mutlaka admin şifresini değiştirin. Sadece chmod 400 yaparsanız yine eklerler çünkü veritabanı bilgilirinizi biryerlere not ediyorlar.

Ayrıca veritabanı bilgilerini içeren herhangi bir dosya varsa(bot dosyaları) onu da 400 yapmalısınız.

CeRaT · Answer

hxxp://www.npu.ac.th/calendar/components/hiyaa/pornovideo21.exe

Bu virüsü indiriyormuş, botnet sanırım. Büyük ihtimal ile bu forumdan birisi olabilir.

CashFlow · Answer

Teşekkürler, bilgi için yararlı olmuş.

Arcade · Answer

Teşekkurler yararlı bilgiler...

Onurss · Answer

Sadece veritabanı bilgilerinin yazılı olduğu dosyadan yayıldığından eminmisiniz ?
 
index.html 'in hiçbir alakası olmadığı halde bulaşabiliyor çünkü.

YALINSAK · Answer

Onurss adlı üyeden alıntı:						mesajı görüntüle									Sadece veritabanı bilgilerinin yazılı olduğu dosyadan yayıldığından eminmisiniz ?
 
index.html 'in hiçbir alakası olmadığı halde bulaşabiliyor çünkü.  		Yayılan birşey değil bu, sunucunuzdaki açıktan dolayı hostunuzdaki dosyaları okuyorlar, db bilgilerini alınca dbye virüs adresi yazıyorlar. DB bilgilerinin yazılı olduğu tüm dosyaları chmod 400 yaparsanız sorun çözülür. chmod 400 yapmadan önce db bilgilerini yeniden oluşturun.

Sizin sorununuzla bu aynı şey mi bilmiyorum, çünkü benim anlattığım dbye kod yazmayı engelliyor, sizin dosyalara kod ekliyorlarsa o ayrı birşeydir.

xFaulz · Answer

chmod 400 yapılınca baglan.php nin okunma izni tamamen kalkıyor mu? eger okunamazsa scriptde çalışmaz yalnız.

YALINSAK · Answer

xFaulz adlı üyeden alıntı:						mesajı görüntüle									chmod 400 yapılınca baglan.php nin okunma izni tamamen kalkıyor mu? eger okunamazsa scriptde çalışmaz yalnız. 		Evet kalkıyor ve script çalışıyor.

Darkcode · Answer

yalinsak adlı üyeden alıntı:						mesajı görüntüle									Evet kalkıyor ve script çalışıyor. 		Bu Çözüm olamaz gibi düşünüyorum çünkü adam shell veya perl dosyalari ile baglaniyorsa db bilgileri oldugu klasörü bilgisayarına indirip zaten istediği gibi okuyabilir.
sölediğiniz mantikli chmod 400 veya 444 vererek okumayi engellersiniz ama bu çözüm değil .
mysql portunu değiştirmek birnevi çözüm olabilir.

YALINSAK · Answer

Darkcode adlı üyeden alıntı:						mesajı görüntüle									Bu Çözüm olamaz gibi düşünüyorum çünkü adam shell veya perl dosyalari ile baglaniyorsa db bilgileri oldugu klasörü bilgisayarına indirip zaten istediği gibi okuyabilir.
sölediğiniz mantikli chmod 400 veya 444 vererek okumayi engellersiniz ama bu çözüm değil .
mysql portunu değiştirmek birnevi çözüm olabilir. 		3-4 aydır süregelen bir sorun bu, sunucudaki açığı kapayabilen çıkmadı henüz. Şimdilik db bilgilerini gizleyerek kod eklenmesini engelliyoruz ve kesin çözümdür. Aynı sorunu yaşayan 80-100k hitli sitesi olan, günde 25-30 defa hacklenenler denedi ve bu beladan kurtuldu. Bu açığın bulunduğu sunucularda özel script de buulundurmamak gerekir diye düşünüyorum.

Darkcode · Answer

yalinsak adlı üyeden alıntı:						mesajı görüntüle									3-4 aydır süregelen bir sorun bu, sunucudaki açığı kapayabilen çıkmadı henüz. Şimdilik db bilgilerini gizleyerek kod eklenmesini engelliyoruz ve kesin çözümdür. Aynı sorunu yaşayan 80-100k hitli sitesi olan, günde 25-30 defa hacklenenler denedi ve bu beladan kurtuldu. Bu açığın bulunduğu sunucularda özel script de buulundurmamak gerekir diye düşünüyorum. 		Bu Açıği iyi bir linux veya  php bilen adam bile sunucuda nasıl eriştiğini veya nasıl attiğini bulamaz.
sunucu ile alakasinin olmasi belki sunucuda shell , cgi perl  veya özel yazilmiş shell yazılımlarin önlemini almamasidir. Yada full güvenlik + firewall aldi diyelim günümüzde her gün bi shell çıkıyor. yani ne kadarda önlemini almaya çalişsada bunlari takip etmen çok zor olacak. 
engeline gelince komple perl'i kapatsan %100 çözüme uLaşirsin hiç bir şekilde erişim olmaz fakat bu seferde cpanel kullanilmaz cpanel bildiğiniz gibi perl den yazilmiş bir sistemdir.
cpanel'i bi tarafa bırak bir çok foksiyon çalişmaz.
Ama Linux bilginiz iyiyse mysql portunu değiştirmenizi öneririm.
eger php bilginiz iyiyse müşterilerinize ufak bir betik yazarak ve o betik'i cronla dk da bir çaliştirmasini sağlamanizi öneririm.
chmod bazi kişiler için çözüm fakat ben çok rastladim bazi yerlerde chmodta işlemiyor.

webloader · Answer

Acıkcası sitelerin hacklenmesi scriptten degil serverdan oldugunu anlamış olduk arkadaşlar  neden webloader serileri daha çok hackleniyor derseniz forum olupda 100 k hiri olan çok zor veya başka sistem

kralburda · Answer

Ben video açıklaması bölümünde kelime süzme yaptım istedikleri kadar eklesinler <script vb. gibi yazılar devdedışı kalıyor

YALINSAK · Answer

kralburda adlı üyeden alıntı:						mesajı görüntüle									Ben video açıklaması bölümünde kelime süzme yaptım istedikleri kadar eklesinler <script vb. gibi yazılar devdedışı kalıyor  		Ya videoları silerse ne olacak  Bence tez elden ilk mesajdakileri uygulayın.