OLAY MÜDAHALESİ • CPANEL • WEB SHELL

cPanel Sunucu Hacklendi: Web Shell Nasıl Tespit Edilir ve Temizlenir?

Shell dosyasını bulup silmek yalnız belirtinin kaldırılmasıdır. Profesyonel müdahale; kanıt koruma, giriş noktasını belirleme, kalıcılığı temizleme, hesapları döndürme, güvenli yedekten karşılaştırma ve izleme adımlarının tamamını kapsar.

İlk kural: Şüpheli dosyayı hemen silmeyin, çalıştırmayın ve tarayıcıdan açmayın. Önce hash, zaman, sahiplik ve ilgili logları kaydedin.

İzole et

Yazma ve dış erişim riskini sınırla.

Kanıtla

Hash, süreç, bağlantı ve logları koru.

Kök nedeni bul

Açık, hesap veya eklenti yolunu belirle.

Temizle

Kalıcılık ve zararlı içeriği kaldır.

Güçlendir

Yama, erişim ve izleme kurallarını uygula.

Hacklenme belirtileri

Google’da bahis veya casino başlıkları? parametreli spam URL’lerTanımadığınız PHP dosyalarıwp-admin hesabı veya cPanel kullanıcısı.htaccess içinde gizli yönlendirmeGece çalışan bilinmeyen cronindex.php dosyasının tekrar bozulmasıCPU kullanan lsphp veya perl süreci/tmp ve /dev/shm altında executable

Kanıtları bozmadan ilk müdahale

Canlı saldırı sürüyorsa firewall ve uygulama katmanında erişim sınırlandırılabilir; ancak sunucuyu körlemesine kapatmak volatile süreç ve bağlantı kanıtlarını kaybettirebilir. Kritik sistemlerde disk snapshot veya adli imaj, normal hosting vakalarında en azından dosya hashleri, süreç listesi, açık bağlantılar ve ilgili log aralığı korunmalıdır.

Silmeden karantinaya alın: Dosyayı web kökü dışındaki root erişimli bir alana taşıyın, çalıştırma iznini kaldırın ve SHA-256 hashini kaydedin. Hedef yolu ve zaman damgasını olay kaydında tutun.

Güvenli inceleme komutları

İlk olay kaydı

date -Is
hostname -f
uptime
last -ai | head -n 40
lastb -ai | head -n 40
who
w

Son değişen web dosyaları

find /home -xdev -type f \( -name '*.php' -o -name '.htaccess' -o -name '*.js' \) -mtime -7 -printf '%TY-%Tm-%Td %TH:%TM %u %m %s %p\n' | sort -r | head -n 500

Şüpheli PHP kalıpları

grep -RIlE --include='*.php' 'eval[[:space:]]*\(|base64_decode[[:space:]]*\(|gzinflate[[:space:]]*\(|shell_exec[[:space:]]*\(|passthru[[:space:]]*\(|proc_open[[:space:]]*\(' /home/*/public_html 2>/dev/null

Yürütülebilir ve yazılabilir alanlar

find /home -xdev -type f -perm /0111 -ls
find /home/*/public_html -xdev -type d -perm -0002 -ls
find /tmp /var/tmp /dev/shm -xdev -type f -mtime -7 -ls

Cron ve systemd kalıcılığı

crontab -l
for u in $(cut -d: -f1 /etc/passwd); do crontab -u "$u" -l 2>/dev/null | sed "s/^/$u: /"; done
find /etc/cron* /var/spool/cron /etc/systemd/system -type f -mtime -30 -ls 2>/dev/null
systemctl list-timers --all --no-pager

Aktif bağlantı ve süreçler

ps auxfww
ss -plant
lsof -nP +L1
find /proc -maxdepth 2 -name exe -type l -ls 2>/dev/null | grep deleted

cPanel erişim logları

tail -n 300 /usr/local/cpanel/logs/access_log
tail -n 300 /usr/local/cpanel/logs/login_log
tail -n 300 /usr/local/cpanel/logs/error_log
tail -n 300 /var/log/secure

Dosya bütünlüğü ve tarama

/usr/local/cpanel/scripts/check_cpanel_rpms
rpm -Va
clamscan -ri --infected /home 2>/dev/null

İlk giriş noktası nasıl bulunur?

Olası yol	Kanıt	Kontrol
Upload açığı	Web kullanıcısı sahipliğinde yeni PHP	Access log, upload endpoint ve MIME doğrulaması
Eski WordPress eklentisi	Plugin yolunda zararlı dosya	Sürüm, CVE, eklenti logu ve temiz paket diff
Çalınmış FTP/cPanel hesabı	Başarılı uzak giriş ve dosya yükleme	Login log, IP, cihaz ve parola rotasyonu
Zayıf admin hesabı	Yeni yönetici ve içerik değişikliği	Uygulama audit logu ve veritabanı
Komşu site geçişi	Aynı kullanıcı veya gevşek izinler	Sahiplik, grup izinleri, symlink ve CageFS
Yapay zekâyla üretilmiş güvensiz kod	Yetkisiz upload, SQLi, RCE veya debug endpoint	Kod inceleme, dinamik test ve log korelasyonu

Kalıcılık noktalarını temizleyin

Web shell kaldırıldıktan sonra root ve kullanıcı crontabları, systemd unit/timer dosyaları, shell başlangıç dosyaları, SSH authorized_keys, yeni kullanıcılar, sudoers, PHP auto_prepend_file, .user.ini, .htaccess, veritabanındaki yönetici hesapları ve CMS mu-plugin dizinleri kontrol edilmelidir.

Zararlı süreç silinmiş executable kullanıyorsa lsof +L1 ve /proc/PID/exe yoluyla görünür. Süreç sonlandırılmadan önce komut satırı, çevre, açık dosya ve ağ bağlantıları kaydedilmelidir.

Temizlik sonrası zorunlu işlemler

İşletim sistemi, cPanel, PHP, CMS, tema ve eklentileri güvenilir kaynaktan güncelleyin.
Root, WHM, cPanel, FTP, SSH, veritabanı, e-posta ve API anahtarlarını döndürün.
Meşru dosyaları temiz paket veya doğrulanmış yedekle karşılaştırın.
Gevşek 777 izinlerini ve yanlış sahiplikleri düzeltin.
ModSecurity, firewall, brute-force koruması ve malware taramasını doğrulayın.
Google Search Console spam URL ve manuel işlem durumunu inceleyin.
En az 7–14 gün dosya değişimi, cron, giriş ve outbound bağlantıları izleyin.

Sık sorulan sorular

Şüpheli dosyayı hemen silmeli miyim?

Hayır. Önce hash, sahiplik, zaman damgası ve erişim logları kaydedilmelidir. Silmek saldırı yolunu ve tekrar bulaşma nedenini gizleyebilir.

Hacklink temizlenince sorun biter mi?

Hayır. Zararlı dosya, cron, admin hesabı, veritabanı içeriği, .htaccess yönlendirmesi ve açığın kaynağı birlikte temizlenmezse tekrar oluşabilir.

Dosya tarihi güvenilir midir?

Tek başına değildir. Saldırgan mtime değiştirebilir. Log, hash, yedek karşılaştırması ve paket bütünlüğü birlikte kullanılmalıdır.

Bütün PHP dosyalarını grep ile bulmak yeterli mi?

Hayır. Meşru yazılımlar da benzer fonksiyonlar kullanabilir; obfuscation farklı biçimlerde olabilir. Sonuçlar bağlamla incelenmelidir.

Şifreleri ne zaman değiştirmeliyim?

Kanıt ve erişim kapsamı belirlendikten sonra güvenilir cihazdan root, WHM, cPanel, FTP, e-posta, veritabanı, API ve uygulama anahtarları döndürülmelidir.

Temiz yedekten dönmek yeterli mi?

Yalnız yedeğin bulaşma öncesi olduğu doğrulanır ve ilk giriş noktası kapatılırsa. Aksi halde eski açık yeniden kullanılabilir.

Özel Sunucu Hizmetleri

Standart Sunucular