Sunucuda tanımadığım işlemler çalışıyor, hosting firması 'temizleyin' dedi — nereden başlamam lazım?

bende de aynı şey olmuştu geçen yıl, wordpress plug-in exploiti ile girmişlerdi bir de o zamanlar wpdb ile sorgu yaptım, wp_users tablosuna admin hesabı eklenmişti... o admi sildim snra yine de shell kodu vardı dosya sisteminde bnc bi .jpg dosyasıydı aslında executabledı. hosting firması bitti dedi...

Webshell'i bulmak için find ile şu sorgu çalıştırın: find /var/www -name '*.php' -newermt '3 months ago' | xargs file | grep 'PHP script'. Erişim loglarında POST request'leri filtered grep edin, özellikle file upload endpoints'ini. Zafiyet taraması için WPScan çalıştırabilirsiniz ama önce ağı izole etmek kritik. Veritabanındaki wp_options tablosundaki siteurl ve home URL'lerini kontrol edin, değiştirilmiş olabilir.

vay be çok kötü bi durum. neyse çok paniklemişsin gibi görünüyorsun ama ilk yapacak şey hakikaten backup almak sonra pluginleri ve themeleri teker teker disable et... wP admine gir, userları kontrol et. yeni bi admin hesabı bulmuş olabilirler... sonra güvenlik eklenitsi kur, WP güncellemeleri kur. bi sure sonra tekrar problem yaşarsa o zaman hosting firması ile iletişime geç.

Siber güvenlik incelemesi yapıyorum diye düşün: sıra 1) Ağ trafiği kapat, 2) Sistem snapshot al, 3) Zafiyet bulma (web shell, database user, cron job), 4) Giriş mekanizmasını tespit et (hangi plugin, hangi hesap, ne zaman), 5) Silme ve restoration. WordPress'te genellikle plugin güncellemesi eksikliği veya weak password'dan dolayı oluyor. Geçen hafta bir siteye benzer durum yaşattık, wp-config.php'de database password hardcoded'di, phpmyadmin açıktı...

Biraz garip geldi bana hosting firması hemen sana söylüyor mu zararlı kod varsa? Kendi sistemlerinde algıladılar yani. SSHye giriş yapabildiysen hala accessin var demek... Veritabanına da girip bakabildin mi? Yani exploit hala aktif mi yoksa sadece shelli unuttular mı? Backup ne zaman aldın son? Restore yoluna gitmek istiyorsan eski bir backuptan restore edebilir misin?

oh hyaır wordpress hackleme... çok kötü şey bu. ama sen sadeleştir: git en son bckupa dön yani. mysql ve dosyaları restore et. snra wp update et hepsini. iyice temizlenmiş olur öyle. bi de hosting firması kontrol etsin yani geç

Sağ olun, aradığım cevap buydu. valla unutulmuş test ortamları canlı sistemden daha sık kapı oluyor.

Yanlışım varsa düzeltin.

Bir uyarı bırakayım. Bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.

Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur. Kolay gelsin.

Kaydettim.

bu cevabı okuyunca rahatadım demek sadece bende değilmiş. kayıt tutmayan hiçbi süreç düzelmiyor çünkü neyi düzelteceğinizi bilmiyorsunuz.

bu kadar uzattıysam kusura bakmayın.

Haklısınız. Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.

Ben olsam bu yoldan giderdim.

Yukarıdaki cevap işin özünü söylemiş. Bunu tek başına yapmaya çalışmak en pahalı yol.

Kendi durumunuz farklıysa tabii değişir.

Kafamdaki soru işareti kalktı, teşekkürler.

Bunu bilmiyordum.

Aynen öyle, üstelik bu kadar bilinmiyor. Yanlış alarmı azarlarsanız bir daha kimse bildirim yapmıyor.

Haklısınız, ben de aynı yoldan geçtim. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.

sunucuma virüs bulaştı konusunda hiç tecrübem yok, o yüzden soruyorum. Ödeme bilgisi değişikliği asla geldiği kanaldan doğrulanmaz.

Başka türlü yapan varsa onu da merak ederim.

Haklısınız. İnsanlar süreci değil, alışkanlığı savunur. Direnç oradan gelir.

Sonucu buraya yazarsanız başkalarına da faydası olur.