Hacklenmeye Neden Olan Açığı Nasıl Bulabilirim?

[ADİGE]

Merhabalar...

Sitem hacklenmiş ve tüm menü isimleri "Hacked By Over-X" olarak değiştirilmiş. Yani "Ana sayfa", "İletişim", "Foto Galeri" vb yazacağına Hacked by... yazıyor ama üzerine gelip tıklayınca, açılması gereken sayfa açılıyor. Site resmi, gov.tr uzantılı bir site. Google'da aratınca bir çok resmi siteyi hacklemiş olarak güzüküyor.

Tek tek bütün linklerin adlarını değiştirdim ama site tabi ki saldırıya hâlâ açık. Bu saldırının kaynağını, açığı nasıl bulabiliri? Servisi aldığım yer database'e ulaşmışlar dedi ve kayıtlara bakıp cckjSeblod üzerinden olabilir dedi ama emin değil. Bu cckjSeblod bileşen olarak gözüküyor ama ne işe yarar bilmiyorum.

Bir de link isimlerini düzeltip siteyi yayına verince googlesearch uçmuş. Acaba bunda açık olabilir mi? Gerçi kaldırdım ama yenisini kurmak zorundayım.

Yardımcı olursanız sevinirim.

[merkez46]

geçmiş olsun öncelikle sitenizin admin sifresini ftp sfresini vs değiştirdiniz mi öncelikle ikinci konu kullandıgınız bileşen ve modüllerin joola projed dizininde güncel sürümleri varmı bi konrtrol ediniz.veri tabanına veya admin paneline ulasmadan menü isimlerinin değiştirebileceklerini dosyalarla oynayarak sanmıyorum tabi hocalarım bukonuda ne diyecekler merak ediyorum administrator klasörünüze panelden şifre koymanızı tavsiye edebilirim

[Akar]

1. filist.php (http://www.aytugakar.info/joomla-dosyalarimin-dizini/viewdownload/7-diger/15-dosya-listeleme-filist.html) dosyasını indirin (http://www.aytugakar.info/joomla-dosyalarimin-dizini/viewdownload/7-diger/15-dosya-listeleme-filist.html). Bunu joomla dizinine gönderin ve tarayıcıdan çağırın. Böylece dosyaalrın değişiklik tarihlerini görebilirsiniz. Bu ilk iş olmalı; yani hack sonrası kendiniz düzenleme yaptıysanız işe yaramaz. Kendi güncellemelerinizi görürsünüz çünkü. Bununla değişikşlik yapılanları tarihlerine göre görünce nerelerden girilmiş anlamanız büyük ölçüde mümkün olur.

2. Orayı burayı düzeltmekle sorunu giderdiğinizden emin olamazsınız ve 3 gün sonra yeniden yanı sorunla karşılaşabilirsiniz. Virüs temizleme prosedürünü uygulamanızda fayda var. Bununla birlikte genel güvenlik tedbirlerinizi gösden geçirmelisiniz.

3. Geçmiş olsun.

[mhusty]

abi filist.php dosyası forumda var ama indirilmiyor yenilerseniz çok sevincem lazım da bana..

[spdial]

Şuradan indirebilirsiniz: http://www.boxca.com/fqr0ffotbv5g/filist.zip.html

[mhusty]

teşekkür ederim abi çok saol..

[Akar]

http://www.aytugakar.info/joomla-dosyalarimin-dizini/viewdownload/7-diger/15-dosya-listeleme-filist.html

[acipatlican]

merhaba sayın akar
sitenizde bulunan dosyalist.php ana dizine atıp tarayıcıda çağırıyorum ancak boş sayfa geliyor. site dizinine attığım için www.siteadi.ccom/dosyaliste.php olarak çağırmayacak mıyız???

teşekkürler...

[Akar]

merhaba sayın akar
sitenizde bulunan dosyalist.php ana dizine atıp tarayıcıda çağırıyorum ancak boş sayfa geliyor. site dizinine attığım için www.siteadi.ccom/dosyaliste.php olarak çağırmayacak mıyız???

teşekkürler...Tabii dosyayı hangi dizine atıyorsanız o dizinden çağırmanız lazımç Ana dizine atıyorsanız -ki bu dosya orada işe yarar- dediğiniz gibi çağırılır. Zatenh dosyayı sistem bulamasa 404 verir. Sizin sistemde dosyanın çıktı vermesini engelleyen bir şey olabilir. Ayrıca dosyanın çıktı vermesi bazen biraz zaman alabilir.

[ADİGE]

Konuyu açarkenki mesajımda da belirttiğim gibi açığı bulamamıştım ve yine hacklendim. :(

Adrese gittiğimde bomboş beyaz bir sayfa açılıyordu. Sol üst köşede "ggg" yazısı vardı, o kadar. O da iptidai bir yazı, anlaşılan boş kalmasın diye. İndex mi atmış oluyorlar anlamadım.

Şimdi biz "Bakımda" diye bir index attık ve yukarıdaki değişiklikleri gösteren dosyayı attık. Liste şu şekilde;

http://c1111.hizliresim.com/r/p/nnkd.jpg

Mavi kısım bizim haberimiz olmadan değiştirilmiş kısım. O tarihte hiç bir yönetici siteye giriş yapmadı, haliyle değişiklikte yapılmadı. Sizce sorun ne olabilir? Yardımcı olursanız çok sevinirim.

[Akar]

Kullanılan sürüm nedir?

[ADİGE]

1.5.22
Sürüm yükseltmeyi ihmal etmişiz ama sorunun esas kaynağı bu mu bilmiyoruz tabi.

Bir kullanıcının adını ve parolasını değiştirerek admin panele girilmiş sanıyorum. Çünkü yöneticilerden birinin kullanıcı adı "admin" olarak değiştirilmiş ve bu kullanıcı pazar günü yani 20 sinde, gece 00:30 gibi çevrimiçi olmuş gözüküyor. Halbuki o saatte siteye girmemiş.

İlave:5.25 e güncelledim ama hala ana sayfa bembeyaz, bomboş... Ne yapmış ki bu elemanlar site toparlanmıyor?
İlave2: Temayı değiştirdiğimde sayfa varsayılan temaya göre geri geliyor ama olması gereken temayı seçtiğimde bomboş bir sayfa geliyor! Anlamadım gitti...

[ADİGE]

Ne yapsam? Yedekten geri mi dönsem? Soruna çare olmaz ki...

[Arfmin]

Sanırım kurulumla gelen şablonda (Beez) bulunan bir açıktan giriş yapıldığını düşünüyorum. Daha önce bu konuda güvenlik açığı rapor edilmişti. Google'de "templates/beez/index.php" olarak arama yaptığınızda olumsuz bazı örnekleri görebilirsiniz.

Sitenizi eski hale getirdikten sonra listede belirtilen ve kullanılmayan diğer şablonları silmenizi önerebilirim.

[ADİGE]

Sanırım kurulumla gelen şablonda (Beez) bulunan bir açıktan giriş yapıldığını düşünüyorum. Daha önce bu konuda güvenlik açığı rapor edilmişti. Google'de "templates/beez/index.php" olarak arama yaptığınızda olumsuz bazı örnekleri görebilirsiniz.

Sitenizi eski hale getirdikten sonra listede belirtilen ve kullanılmayan diğer şablonları silmenizi önerebilirim.

Bilgi için teşekkür ederim.
Bu temayı kullanmıyorduk zaten, kaldırdım şimdi.
İlginç olan beez dahil diğer temaları varsayılan yaptığımda site çalışıyor ama asıl olması gereken ja seleni yi varsayılan yaptığımda sayfa bomboş...

[sparta38]

joomla sitenizin bekçisi

konuyu burdan takip edebilirsiniz
joomla Güvenlik Eklentisi - CMSTURK.NET İYS (CMS) Forumları (http://www.cmsturk.net/forum/showthread.php?p=291164#post291164)