Konuyu Açan
#1
Sitede tanımadığınız bir yönetici hesabı gördüğünüzde ilk refleks hesabı silip parolaları değiştirmek oluyor. Ama saldırgan başka bir kalıcılık noktası bıraktıysa bu, kapıyı kapatıp anahtarı içeride bırakmak gibi.
Ben olsam önce mevcut durumu not eder, mümkünse erişim ve sunucu günlüklerini saklarım; sonra şu sırayla ilerlerim:
Siz böyle bir durumda önce temiz yedeğe mi dönüyorsunuz, yoksa mevcut kurulumu inceleyip temizlemeyi mi tercih ediyorsunuz? Yedeğin ne kadar eski olması kararınızı değiştiriyor mu?
Ben olsam önce mevcut durumu not eder, mümkünse erişim ve sunucu günlüklerini saklarım; sonra şu sırayla ilerlerim:
- Erişimi kesmek: Şüpheli hesabı kaldırır, tüm yönetici parolalarını değiştirir ve wp-config.php içindeki güvenlik anahtarlarını yenilerim. Anahtarların değişmesi mevcut oturumları geçersiz kılar; fakat tek başına arka kapıyı temizlemez.
- Kalıcılık noktalarını aramak: Yönetici listesinin yanı sıra mu-plugins klasörünü, zamanlanmış görevleri, yakın zamanda değişmiş dosyaları ve veritabanındaki beklenmedik kullanıcıları kontrol ederim. Eklentileri mümkünse resmî kaynaklardan yeniden kurarım.
- Temiz dönüşü değerlendirmek: Güvenilir ve olay öncesine ait yedek varsa, temiz bir ortama geri yüklemek şüpheli dosyaları tek tek ayıklamaktan daha sağlam olabilir. Yedeğin kendisini de kontrol etmeden doğrudan canlıya dönmem.
Siz böyle bir durumda önce temiz yedeğe mi dönüyorsunuz, yoksa mevcut kurulumu inceleyip temizlemeyi mi tercih ediyorsunuz? Yedeğin ne kadar eski olması kararınızı değiştiriyor mu?