Birisi, ikinci kez, çalıştırmasına yardım ettiğim bir siteye bir javascript parçası ekledi. Bu javascript Google adsense’i ele geçirir, kendi hesap numaralarını ekler ve her yere reklamları yapıştırır.
Kod her zaman, her zaman belirli bir dizinde (bir üçüncü taraf reklam programı tarafından kullanılan) eklenir, bu bir reklam dizininin içinde (20 ya da öylesine) bir dizi dizindeki bir dizi dosyayı etkiler ve kabaca aynı gecede eklenir saati. Adsense hesabı, Çin’in web sitesine ait (bir ay içinde bir kasabada, gelecek ay Çin’de olacağım yerden değil. Belki de büstü kafaya gitmeliyim ... şaka, tür), btw ... site: http://serversiders.com/fhr.com.cn
Peki bu dosyalara nasıl metin ekleyebilirler? Dosyalarda ayarlanan izinlerle ilgili mi (755 ila 644 arasında)? Web sunucusu kullanıcısına (MediaTemple'da yani güvenli olması gerekiyor, öyle mi?)? Demek istediğim, 777'ye ayarlanmış izinleri olan bir dosyanız varsa, hâlâ sadece kod ekleyemiyorum ... bunu nasıl yapıyorlar?
İşte izleme zevkiniz için gerçek kodun bir örneği (ve gördüğünüz gibi ... pek bir şey değil. Gerçek hile oraya nasıl girdiler):
<script type="text/javascript"><!--
google_ad_client = "pub-5465156513898836";
/* 728x90_as */
google_ad_slot = "4840387765";
google_ad_width = 728;
google_ad_height = 90;
//-->
</script>
<script type="text/javascript"
src="http://pagead2.googlesyndication.com/pagead/show_ads.js">
</script>
Bir çok kişi bahsettiğinden, kontrol ettiklerim (ve kontrol ettiğimde, dosyaların herhangi bir tuhaflık için değiştirildiği zamana baktım ve POST deyimleri ve dizin geçişleri için dosyaları okudum:
- access_log (normal (yani aşırı) msn bot trafiği dışında zaman içerisinde hiçbir şey)
- error_log (normal dosyadan başka bir şey yok, masum görünen dosyalar için hata yok)
- ssl_log (normalden başka bir şey değil)
- messages_log (benden başka FTP erişimi yok)
* GÜNCELLEME: ** Tamam, çözüldü. Çin'den bilgisayar korsanları sitemize fiziksel olarak her türlü yönetimsel şeyi yapmalarına izin veren bir dosya yerleştirmişlerdir (veritabanı erişimi, dosyaları silme ve oluşturma, adlarını verdiniz, erişimi vardı). Daha yıkıcı bir şey yapmadıkları için şanslıydık. Normal apache günlük dosyalarında hiçbir şey yoktu, ancak bir web sunucusu günlük analizöründe farklı bir günlük dosyaları kümesi buldum ve kanıtlar oradaydı. Bu dosyaya kendi yönetici kullanıcı adı ve şifreleriyle erişiyorlardı ve ardından sunucuda ihtiyaç duydukları şeyi düzenliyorlardı. Onların dosyası "apache" olarak ayarlanmış olup sitemizdeki diğer tüm dosyalar farklı bir kullanıcı adına sahiptir. Şimdi bu dosyayı fiziksel olarak sistemimize nasıl aldıklarını bulmam gerekiyor. Bunun suçlanmasından şüpheliyim, sonunda web sunucumuzla (Media Temple),