Halkali Merkez Viertel Fatih Str. Ozgur Apt. No. 46, Kucukcekmece, Istanbul, 34303, TR
Eine gefundene Shell-Datei zeigt möglicherweise nur die letzte Phase. Entscheidend sind Erstellungszeitpunkt, vorherige URL/HTTP-Methode, ungewöhnliche Panel-/FTP-/SSH-Anmeldungen und passende WAF-Ereignisse. Dieser Leitfaden erklärt defensive Log-Korrelation in cPanel und Plesk.
Türkei (Türkisch)
Germany (German)
Worldwide (English)
02:14:31 POST /admin/upload.php 200
02:14:32 public_html/uploads/supheli.php mtime
02:14:33 GET /uploads/supheli.php 200
02:14:45 POST /uploads/supheli.php 200Logs werden rotiert und alte Einträge können verschwinden. Raw Access, Error, ModSecurity, Panel-Action und Authentifizierungslogs exportieren, bevor Änderungen vorgenommen werden.
Zeitzonen vor der Korrelation normalisieren; Serverdatei, CDN und Panel können unterschiedliche Zeitzonen verwenden.
cPanel dokumentiert Metrics → Raw Access für komprimierte Apache-/NGINX-Access-Logs.
IP, Zeit, HTTP-Methode, Pfad, Status, Referrer und User-Agent prüfen; POST/PUT kurz vor Dateierstellung und Folgezugriffe auf neue PHP-Dateien sind besonders relevant.
zgrep -Ei "POST|PUT|/upload|\.php" example.com-Aug-2026.gz | tail -200awk '$9 ~ /200|201|302/ {print}' access.log | tail -200Die offizielle cPanel-Referenz listet Standardpfade und weist auf mögliche Konfigurationsänderungen hin. Domain-, Panel-, SSH/FTP- und Service-Aktivität kann in unterschiedlichen Logs stehen.
Pfad passend zur Serverversion verifizieren, Logs kopieren und Analyse auf der Kopie durchführen.
Bei Änderung um 02:14:32 ein enges Fenster auf Upload-/Admin-/API-POSTs, erfolgreiche Antworten und unmittelbare Folgeaufrufe prüfen.
Besitzer und Rechte der Datei geben zusätzlichen Kontext zum schreibenden lokalen Konto/Prozess.
stat public_html/uploads/supheli.phpfind public_html -type f -newermt "2026-08-18 02:10" ! -newermt "2026-08-18 02:20" -lsgrep "18/Aug/2026:02:1" access.log | grep -E "POST|PUT|uploads|php"Ein WAF-Hit beweist keinen erfolgreichen Exploit. Mit HTTP-Status, Backend-Logs und Dateisystem-Auswirkung korrelieren.
Vollständiges Transaction-Logging nicht dauerhaft aktivieren; cPanel warnt vor hohem Speicherverbrauch und möglicher Erfassung privater Daten.
Plesk dokumentiert den Domain Log Browser unter Websites & Domains → Domain → Logs. Manage Log Files zeigt oder lädt verfolgte Logs; Echtzeitaktualisierung ist möglich.
Apache/nginx access/error und rotierte Dateien rund um den Vorfall prüfen.
Action Log kann Zeitpunkt, Quell-IP, Plesk-Benutzer und Details anzeigen; serverweite und websitegefilterte Ansichten sind verfügbar.
Hilfreich bei gestohlenen Panel-Konten, die File Manager, Zeitpläne oder Konfiguration missbrauchen.
Unter Linux liegt der detaillierte Audit-Log laut Plesk bei /var/log/modsec_audit.log, Domain-Apache-Fehler unter /var/www/vhosts/DOMAIN.TLD/logs/error_log.
Unter Windows sind Audit-Logs domainbezogen im Plesk-Installationspfad. Event- und Rule-IDs helfen bei der Zuordnung.
grep -n "HOST: alanadi.com" /var/log/modsec_audit.log | tail -50grep -Ei 'ModSecurity|Access denied|id \"[0-9]+\"' /var/www/vhosts/alanadi.com/logs/error_log | tail -100Gestohlene FTP/SFTP/SSH- oder Panel-Zugänge können Dateien direkt schreiben, ohne einen Web-Upload-Exploit.
Unerwartete erfolgreiche Logins, neue SSH-Keys, ungewöhnliche Zeiten/Standorte und Aktivitätsspitzen priorisieren.
Ohne korrekte Trusted-Proxy-Konfiguration kann der Webserver nur Proxy-IPs protokollieren; blindes Vertrauen in Client-Header ist ebenfalls riskant.
Prüfen, wie die Anwendung echte IPs protokolliert. Historisch nicht gespeicherte Client-IPs lassen sich später eventuell nicht rekonstruieren.
Sie kann VPN, Residential Proxy, Tor, Botnet oder ein anderer kompromittierter Server sein.
Im Bericht besser „mit dem Vorfall verbundene Quell-IP“ verwenden; Personenattribution benötigt weitere Belege.
Dateizeitstempel, Weblogs, WAF, cPanel/Plesk-Aktionen und verfügbare SSH/FTP-Logs werden in eine Zeitachse normalisiert. Ziel ist der Zusammenhang zwischen Eintritt, Persistenz und Folgeaktivität.
Bericht enthält Zeitfenster, URL/Methode/Status, technische IP-Indikatoren, geänderte Dateien, Hardening und Grenzen durch fehlende/rotierte Logs.
Logzeilen unten einfügen. Die Verarbeitung erfolgt nur im Browser und fasst IPv4-Adressen sowie POST/PUT/PATCH-Zeilen zusammen; dies ersetzt keine forensische Analyse.
Standardfälle werden nach der Vorprüfung normalerweise in ein Analysefenster von 24–72 Stunden eingeplant. Die Dauer hängt von Dateimenge, Logzugriff, Schadcode-Verbreitung und Anwendungsarchitektur ab.
Wichtiger Hinweis: Nur eigene oder ausdrücklich autorisierte Systeme testen.
Unter Metrics → Raw Access.
Websites & Domains → Domain → Logs.
Laut Plesk können Zeit, IP, Benutzer und Details enthalten sein.
Nein. Eintrittspunkt und Persistenz müssen behoben werden.
Teilweise über Datei-/Anwendungsbelege, aber mit geringerer Sicherheit.
Nein. Mit HTTP-Status und tatsächlicher Auswirkung korrelieren.