هکر جدید ایرانی Sir.H4m1D - درخواست همکاری از با تجربه ها

درود بر شما
حدوداً چند روزی میشه یکی از سایتهای ما صفحه اولش یا همون index توسط این جوجه هکر تغییر پیدا میکنه ، بارها سایت فوق رو ویروس یابی کردم و برای تست کل اطلاعات روی هاست رو حذف و یه index.html صرفاً برای لود شدن دامنه قرار دادم و دوباره همین فایل نیز تغییر پیدا کرد عملاً ارتباطی بین cms های قبلی یا امکان نفوذ از پلاگین های سایت با این اتفاق وجود نداره و نفوذ احتمالاً از طریق دسترسی به روت هاست هست تمام رمزهای ftp , دسترسی به هاست قبل از اتفاق دوم تغییر داده شده و بارها سایت اسکن شد ، امروز بکاپ قبلی رو روی سرور ویروس یابی کردم و هر فایل مشکوک که وجود داشت حذف کردم و سایت رو بحالت قبل برگردوندم که باز فایل index.html بروی روت سایت قرار گرفت و هنگام اجرای آدرس دامنه طبیعتاً index اجرا میشه !!! اگر این جوجه هکر دسترسی داشته باشه خب خیلی راحت فایلها و سایر فولدرها و حتی دیتابیس و ... هم باید دچار تغییرات بشه چرا فقط index.html آپلود میکنه !؟
چندتا سایت دیگر هم از طریق جستجوی گوگل یافتم و ظاهراً فقط سایت ما نبوده !
http://www.asarehteam.ir/
http://farsi.irancyber.org/blog/tag/...1%DB%8C%D9%86/

لینکها زیادن نمیخوام داخل انجمن قرار بدم و شلوغ کاری بشه این تاپیک رو زدم اگه مورد مشابه و راه حلی بود اعلام کنید در نهایت این اتفاق تکرار بشه ناچارم سرور رو کلاً تغییر بدم و هاست جدید تهیه کنم >:)

------------------------------------------------------------
بزودی اطلاع رسانی در باره روش نفوذ این جوجه هکر ها انجام میشه روش نفوذ دقیقاً مربوط به اسکریپت فریر هست و این علمای تازه کار افتادن به جونه هر چی سایته که این اسکریپت روی هاستشون قرار گرفته ... ! >:)

آقای رامین خان دمتم گرم شبانه روز تو انجمن هستی و تمام تلاشتو میکنی این انجمن بهترین باشه اما وقتی تیتر میزنم جوجه هکر لطفا ویرایش نکن که همه بدونن اینا و کل تیمشون جوجه هکرن و یه باگ که سرتاسر اسکریپت Bayram باگه اینا پیدا کردن ( به زودی تاپیک مربوطه با اطلاع رسانی کامل ایجاد میشه ) و تمام سایتهایی که میزنن قربانی استفاده از اسکریپت freer هستن دیگه کسی نیاد بگه اینا با سابقه و حرفه ایی هستن !

آدرس سایت تون ؟

نقل قول:

---

نوشته اصلی توسط gharibion

آدرس سایت تون ؟

---

چون بکاپ برداشتم آدرس رو قرار میدم :-&


http://forums.irserv.net/

الان دقیقا میخوای چیکارش کنی؟

نقل قول:

---

نوشته اصلی توسط vatan3da

الان دقیقا میخوای چیکارش کنی؟

---

درود بر شما ، هدف پیشگیری یا شناسایی روش آپلود در روت هاسته این تاپیک رو زدم شاید یکی از شما عزیزان ، مخصوصاً ارائه کنندگان هاست با این مشکل مواجه شده باشید و اطلاع رسانی کنید چون این موضوع به یک سایت ختم نمیشه و تا اونجا که توانایی داشتم نکات امنیتی رو رعایت کردم ...

سلام
پیشنهاد میکنم از ایشون کمک بگیرید
http://www.webhostingtalk.ir/member.php?u=165

احتمالا از نسخه نال شده vBulletin استفاده میکنید برای همین یه سری مشکلات فنی ایجاد میکنه . 100 درصد قالب سایتتون هم هفره امنیتی داره. حتمی انجمن رو با اخرین نسخه بروز کنید. و یه گزینه دیگه از گواهی ssl استفاده کنید این مشکل هم بلکل از بین میره. طبق تجربه بنده.

نقل قول:

---

نوشته اصلی توسط salar123-user8

احتمالا از نسخه نال شده vBulletin استفاده میکنید برای همین یه سری مشکلات فنی ایجاد میکنه . 100 درصد قالب سایتتون هم هفره امنیتی داره. حتمی انجمن رو با اخرین نسخه بروز کنید. و یه گزینه دیگه از گواهی ssl استفاده کنید این مشکل هم بلکل از بین میره. طبق تجربه بنده.

---

درود
بسیار به نکته مهمی اشاره فرمودین و اصلاً فراموش کرده بودم برای تست ربات تلگرام از ssl رایگان 1 ساله سایت خارجی استفاده کردم ، به نظر شما دلیل دسترسی به روت و امکان آپلود فایل index از همین ssl میتونه باشه چون تنها تغییر اخیر همین ssl بوده و دقیقا از زمانی این ssl بروی سایت قرار گرفت این مشکلات بوجود آمده !!! فعلاً که unistall شد بازم ممنون از نکته سنجی و دقت شما دوست عزیز :53:

نقل قول:

---

برای تست کل اطلاعات روی هاست رو حذف و یه index.html صرفاً برای لود شدن دامنه قرار دادم و دوباره همین فایل نیز تغییر پیدا کرد

---

اگر همه چی را پاک میکنید فقط یک ایندکس میگذارید پس مشکل باگ مدیریت محتوا و .. ندارید و ارتباطی هم با گواهی که نصب کردید ندارد، اگر بروی سرور، سایت های دیگری میزبانی میشوند چک کنید احتمال symlink زیاد هست که مشکل از امنیت سرویس دهنده شما میباشد.

این هکر را میشناسم و همچنین محمد نفوذی که زیرش نوشته اینا جوجه نیستند عزیز خیلی وقت هست تو این کار هستند سایت های شاخی هم زدند . اما در کل ندیده نمیشه اینجا کسی کمکی بده باید یک متخصص امنیت برسی کنه اسکریپت و سرور را ببینه مشکل کجاست هم از طریق لاگ هم اسکنر ها هم باگ هایی خودش بلده بره سراغشون ببینه تو ماله شما پچ هست یا نه یعنی کسی که این کاره باشه دسترسی ها پوشه ها قفل گذاری ها پیکربندی اینا همه باس انجام بشه باگ هایی که تالا کشف شده یا جدید همه را باس چک کنه مشکلی نباشه سپس بره سراغ سرور هاست . اینا هم که سایت شما را زدند میخوان هزینه بدید درست کنند واستون اما خوب نمیشه اعتماد کرد من توصیه میکنم به https://fullsecurity.org
یا
secure-host.ir