هک شدن سرور سی پنل

سلام
ما یکی از سرور های سی پنلمون خورد
رو هیچ هاستی هم شل نبود نمی دونم چطوری سرور رو زده و تونسته وارد پنل شه
شایدم من خبر نداشتم اما فک کنم از هاست نزده
تاحدودی جلو بای پس و اینا رو کرفته بودیم
یکی گفت فایل کانفیگ whm رو تونسته بخونه
یکی گفت cgi رو محدود یا کلا با پرل خاموش کن خواستم ببینم خاموش کنم مشکلی ایجاد نمی شه (پرل و cgi()
چون یکی دادم بررسی کرد گفت از cgi
خوردیم گفت خاموشش کن به همراه پرل
گفتم ببینم مشکل ساز نمی شه
یا چطوری محدودش کنم
من موندم چطور تونست وارد پنل whm شه
قبلا ی بار بای پس شدیم اما نتونستن وارد پنل whm شن
ب نظرتون چیکار کنم راهنمایی (توروخدا نگید بدید کانفیگر ک دادم و دوباره هک شدم )
کمک کنید
هر راهی برا جلوگیری از هک میرسه بگید
میشه دستورات محدود سازی پرل و cgi بدید
یا خاموششون کنم خراب نمی شه
با از کجا بفهمم از سرور اکسس گرفتن اگر گرفتن چطوری پاک کنم
کلا هر راهی هرچی ب ذهنون می رسه بگید
ممنون میشم

می تونم حدس بزنم که سرور شما از هتزنر بوده

سلام

دسترسی ارسال کنید تست انجام بدیم بگیم بهتون از چی هستش

نقل قول:

---

نوشته اصلی توسط viasky

می تونم حدس بزنم که سرور شما از هتزنر بوده

---

سلام
ایا هک شدن ایشون مربوط به دیتاسنتر میشه؟
اگر خیر چه فرقی داره ایشون از کجا سرور گرفته اند


دوست گرامی
لاگ های سرور را دقیقا در ساعتی که این اتفاق افتاده است چک کنید
این مورد میتونه اطلاعات خوبی به شما بده
مواردی مثل
perl , cgi
هم که اشاره کردید بسیار مهم هستند و دست کم نگیرید
انتی شلر روی سرور شما نصب هست؟

نقل قول:

---

نوشته اصلی توسط behravesh

سلام
ایا هک شدن ایشون مربوط به دیتاسنتر میشه؟
اگر خیر چه فرقی داره ایشون از کجا سرور گرفته اند


دوست گرامی
لاگ های سرور را دقیقا در ساعتی که این اتفاق افتاده است چک کنید
این مورد میتونه اطلاعات خوبی به شما بده
مواردی مثل
perl , cgi
هم که اشاره کردید بسیار مهم هستند و دست کم نگیرید
انتی شلر روی سرور شما نصب هست؟

---

آنتی شلر داشتن همیشه به معنای امنیت بالا نیست.
متاسفانه مشکل از امنیت اسکریپت ها هست.

نقل قول:

---

نوشته اصلی توسط mizban97

آنتی شلر داشتن همیشه به معنای امنیت بالا نیست.
متاسفانه مشکل از امنیت اسکریپت ها هست.

---

درسته صحبت شما
هدف من از پرسیدن این سوال این بود که سطح امنیتی سرورشون تا حدی بوده که
جلوی شل های ساده را بگیره یا نه
تا بشه موارد بعدی را بررسی کرد

نقل قول:

---

نوشته اصلی توسط behravesh

سلام
ایا هک شدن ایشون مربوط به دیتاسنتر میشه؟
اگر خیر چه فرقی داره ایشون از کجا سرور گرفته اند

---

اگر بنده درست حدس زده باشم پس حتما یک حکمتی داره
لاگ و فرمودید
کسی که هک می کنه سرور و حذف کردن لاگ ها براش کار دشواری نیست
حتی می تونه رد غیرواقعی و فریبنده ثبت کنه
موفق باشید

احتمالا کرک شده دوست عزیز خیلی راحت اگه یه سی پنل خورده باشه

نقل قول:

---

نوشته اصلی توسط viasky

می تونم حدس بزنم که سرور شما از هتزنر بوده

---

اره سرورا هتزنر مشکل دارن ؟

- - - Updated - - -

نقل قول:

---

نوشته اصلی توسط behravesh

سلام
ایا هک شدن ایشون مربوط به دیتاسنتر میشه؟
اگر خیر چه فرقی داره ایشون از کجا سرور گرفته اند


دوست گرامی
لاگ های سرور را دقیقا در ساعتی که این اتفاق افتاده است چک کنید
این مورد میتونه اطلاعات خوبی به شما بده
مواردی مثل
perl , cgi
هم که اشاره کردید بسیار مهم هستند و دست کم نگیرید
انتی شلر روی سرور شما نصب هست؟

---

متاسفانه انتی شلر نصب نیست

- - - Updated - - -

نقل قول:

---

نوشته اصلی توسط mizban97

آنتی شلر داشتن همیشه به معنای امنیت بالا نیست.
متاسفانه مشکل از امنیت اسکریپت ها هست.

---

یعنی از اسکریپت خوردیم ؟

- - - Updated - - -

!!

نقل قول:

---

نوشته اصلی توسط 8110829

احتمالا کرک شده دوست عزیز خیلی راحت اگه یه سی پنل خورده باشه

---

یک احتمالم بروت فورس بوده اما پسورد هم ضعیف نبوده!
دوم ابعضی ادیزابل فانکشن ها رو بستیم طوری شل دهایی مثل اینا اجرا نمی تا حدی جلو و سیمیلنک طوری دادیم هکرگفت نمی شه سیمیلنک و اینا
موندم چطوری خورده یکی گفت از cgiشل گرفته
اگر محدودش کنم مشکل ساز یا اصلا مشکل ساز نمی شه ؟
اگر هیهاست سی پنل بدونه چیی
خودش رو دیف نوشت مشکل امنیتی داری تونستهبود وارد whm شه

نقل قول:

---

نوشته اصلی توسط Ali_faraji

سلام
ما یکی از سرور های سی پنلمون خورد
رو هیچ هاستی هم شل نبود نمی دونم چطوری سرور رو زده و تونسته وارد پنل شه
شایدم من خبر نداشتم اما فک کنم از هاست نزده
تاحدودی جلو بای پس و اینا رو کرفته بودیم
یکی گفت فایل کانفیگ whm رو تونسته بخونه
یکی گفت cgi رو محدود یا کلا با پرل خاموش کن خواستم ببینم خاموش کنم مشکلی ایجاد نمی شه (پرل و cgi()
چون یکی دادم بررسی کرد گفت از cgi
خوردیم گفت خاموشش کن به همراه پرل
گفتم ببینم مشکل ساز نمی شه
یا چطوری محدودش کنم
من موندم چطور تونست وارد پنل whm شه
قبلا ی بار بای پس شدیم اما نتونستن وارد پنل whm شن
ب نظرتون چیکار کنم راهنمایی (توروخدا نگید بدید کانفیگر ک دادم و دوباره هک شدم )
کمک کنید
هر راهی برا جلوگیری از هک میرسه بگید
میشه دستورات محدود سازی پرل و cgi بدید
یا خاموششون کنم خراب نمی شه
با از کجا بفهمم از سرور اکسس گرفتن اگر گرفتن چطوری پاک کنم
کلا هر راهی هرچی ب ذهنون می رسه بگید
ممنون میشم

---

آیا شما از سی پنل آخرین نسخه استفاده میکنید ؟ ( پ ، به دلیل باگ Remote که در نسخه ی جدید رفع شده است )
آیا وب سایت خودتون روی همین سرور بود ؟ ( پ ، سیستم WHMCS خود شما )
بله perl , cgi را دست کم نگیرید.
اگر سوال دوم بله هست آیا سرور به WHMCS متصل بوده است ؟ ( ت ، هیچ کاری جهت ایمن کردن WHMCS انجام داده اید ؟ )
لاگ هارا همانطور که دوست عزیزمون فرمودند در تاریخ و ساعتی که این اتفاق افتاده هست بررسی کنید. ( پ ، درسته حذف کردن لاگ ها کار دشواری نیست { به گفته دوستمون } ولی ممکن هست لاگ هارو پاک نکرده باشند. )
نتیجه را اعلام کنید تا بیشتر بتوانیم شمارا راهنمایی کنیم.

نقل قول:

---

نوشته اصلی توسط samihost

آیا شما از سی پنل آخرین نسخه استفاده میکنید ؟ ( پ ، به دلیل باگ Remote که در نسخه ی جدید رفع شده است )
آیا وب سایت خودتون روی همین سرور بود ؟ ( پ ، سیستم WHMCS خود شما )
بله perl , cgi را دست کم نگیرید.
اگر سوال دوم بله هست آیا سرور به WHMCS متصل بوده است ؟ ( ت ، هیچ کاری جهت ایمن کردن WHMCS انجام داده اید ؟ )
لاگ هارا همانطور که دوست عزیزمون فرمودند در تاریخ و ساعتی که این اتفاق افتاده هست بررسی کنید. ( پ ، درسته حذف کردن لاگ ها کار دشواری نیست { به گفته دوستمون } ولی ممکن هست لاگ هارو پاک نکرده باشند. )
نتیجه را اعلام کنید تا بیشتر بتوانیم شمارا راهنمایی کنیم.

---

از ورژن 58
بله سایت همین سرور بود ولی whmcs سرور نبود
منظورتون اینه perl و cgiخاموش نکنم؟ روش محدود سازیشو بلدید بگید؟ اگر cgiاز پکیج حذف مشکل نمی شه؟
میگم چطوری میشه برا سرور whm رمز دوم تعیین کرد همون ورود مرحله ای
لاگ ها رو ک به هکر بررسی کرد گفت احتمالا از cgi شل گرفته
پسوردم اونقدر اسون نبود ک کرک شه
فک می کنید چطوری خورده
وب سرور هم اپاچی هندلر suphp بود

نقل قول:

---

نوشته اصلی توسط Ali_faraji

یعنی از اسکریپت خوردیم ؟

---

100% اصلا شک نکنید.
تو شرکت های خارجی به امنیت اسکریپت خیلی بیشتر از امنیت سرور اهمیت میدن
اما تو ایران برعکس می باشد.

سی پنل اورجینال هست؟

نقل قول:

---

نوشته اصلی توسط mizban97

100% اصلا شک نکنید.
تو شرکت های خارجی به امنیت اسکریپت خیلی بیشتر از امنیت سرور اهمیت میدن
اما تو ایران برعکس می باشد.

---

چطوری سرور زدن اخه تو دیف نوشته بودن مشکل امنیت سرور داری
وروددو مرحله ای بلدی چطوری فعال کنم
در مورد perl و cgi نظرتون چیه
سی پنل هم لایسنسش اورجیناله (البت از یسایتی با قیمت حدود بیستومن می خریم فک نکنم مشکل از لایسنس باشه)

- - - Updated - - -

نقل قول:

---

نوشته اصلی توسط m2n

سی پنل اورجینال هست؟

---

اره از لایسنس فک نکنم باشه

نقل قول:

---

نوشته اصلی توسط Ali_faraji

از ورژن 58
بله سایت همین سرور بود ولی whmcs سرور نبود
منظورتون اینه perl و cgiخاموش نکنم؟ روش محدود سازیشو بلدید بگید؟ اگر cgiاز پکیج حذف مشکل نمی شه؟
میگم چطوری میشه برا سرور whm رمز دوم تعیین کرد همون ورود مرحله ای
لاگ ها رو ک به هکر بررسی کرد گفت احتمالا از cgi شل گرفته
پسوردم اونقدر اسون نبود ک کرک شه
فک می کنید چطوری خورده
وب سرور هم اپاچی هندلر suphp بود

---

بنده احتمال نفوذ به سرور شمارا نفوذ به WHMCS میدانم ، شاید لینک زیر به دردتون بخورد :
http://samihost.com/%D8%A7%D9%81%D8%...C%D8%AA-whmcs/
نحوه ی فعال سازی 2FA در لینک زیر :
https://confluence2.cpanel.net/display/ALD/Two-Factor+Authentication#Two-FactorAuthentication-Enable2FA
اگر برای فعال سازی سوالی داشتی همینجا مطرح کن تا راهنمایی کنیم.
بهتره perl , cgi ایمن شود ( پ ، از طریق تجربه باید انجام شود ، محدود سازی های مفید برای سرور های سامی هاست ممکن است در عین حال برای شما مضر باشند. )
پیشنهاد میکنم از همین الان سرور های خود را به سیستم عامل Cloudlinux ، پلاگین CageFS ، پلاگین Kernel Care ، آنتی شلر (cXs) و وب سرور لایت اسپید مجهز کنید.
همچنین کانفیگ حرفه ای در اولویت میباشد.

سرور دارای اپاچی هندلر suphp کلود لینوکس پلاگین cagefsمی باشد
بعد یسوال موقعی ک پکیج میسازیم اگر تیک cgiبردارم مشکل ساز نمی شه؟
سطح دسترسی پرل 700گداشتم
یکی گفت کانفیگ whmقابل خوندن بوده بکنش 400
چطوری
احتمال نمی دم از whmcs خوردیم
اگر هم با شل زده خدا میدونه همین راه شل میشه بدون انتی شلر بست؟ مثلا یا نزاریم اجرا شه یا اجرا شه کامندها کار نکنن
درمورد ورود دو مرحله شرمنده متوجه نشدیم اگر وقتشو دارید خودتون ی اموزش کوچیک بدید
----------
در مورد perlو cgiمیشه یکم توضیح بدید چ فرقی داره مثلا رو سرور من یا شخص دیگر

- - - Updated - - -

همچنین سطح دسترسی های سرور میشه بگید چند بزارم

نقل قول:

---

نوشته اصلی توسط Ali_faraji

سرور دارای اپاچی هندلر suphp کلود لینوکس پلاگین cagefsمی باشد
بعد یسوال موقعی ک پکیج میسازیم اگر تیک cgiبردارم مشکل ساز نمی شه؟
سطح دسترسی پرل 700گداشتم
یکی گفت کانفیگ whmقابل خوندن بوده بکنش 400
چطوری
احتمال نمی دم از whmcs خوردیم
اگر هم با شل زده خدا میدونه همین راه شل میشه بدون انتی شلر بست؟ مثلا یا نزاریم اجرا شه یا اجرا شه کامندها کار نکنن
درمورد ورود دو مرحله شرمنده متوجه نشدیم اگر وقتشو دارید خودتون ی اموزش کوچیک بدید
----------
در مورد perlو cgiمیشه یکم توضیح بدید چ فرقی داره مثلا رو سرور من یا شخص دیگر

- - - Updated - - -

همچنین سطح دسترسی های سرور میشه بگید چند بزارم

---

درود
اگر فایل کانفیگ WHMCS شما قابل خواندن بوده باشه پس تمامی انگشت ها به طرف WHMCS شما میروند.
با لینکی که عرض کردم و دوباره براتون قرار میدهم میتوانید تا حدودی امنیت WHMCS خود را بالا ببرید. ( در صورت تمایل با هزینه اندکی WHMCS شما ایمن خواهد شد و تا 30 روز ضمانت و پشتیبانی خواهد شد )
http://samihost.com/%D8%A7%D9%81%D8%...C%D8%AA-whmcs/
هنگام ساخت پکیج حتما تیک cgi را بردارید.
بدون آنتی شلر میتوانید شل های ساده را تا حدودی محدود کنید با بستن تابع های خطرناک PHP و فعال سازی php sushin در سرور !
یک پیشنهاد : وب سایت خود را در یک سرور جدا قرار دهید ، هاست های صفحه اصلی سایتتون و پورتال ( WHMCS ) را از یکدیگر جدا کنید.
جهت فعال سازی 2FA به مسیر زیر بروید و سپس آنرا فعال کنید.
Home >> Security >> Two-Factor Authentication

اگر من هاست سایتمو جدا کنم مزیتش چیه؟یعنی فکر میکنید از whmcs خوردیم اخه سرور به این اسکریپت وصل نبود
ب نظرتون اگر هم با شل خورده باشیم میتونن رمز سرور بدست بیارن؟
درمورد 2FA
وقتی فعال کردم دیع بعد ورود پسورد دوم رو می خواد
ممنون بابت کمک

نقل قول:

---

نوشته اصلی توسط Ali_faraji

اگر من هاست سایتمو جدا کنم مزیتش چیه؟یعنی فکر میکنید از whmcs خوردیم اخه سرور به این اسکریپت وصل نبود
ب نظرتون اگر هم با شل خورده باشیم میتونن رمز سرور بدست بیارن؟
درمورد 2FA
وقتی فعال کردم دیع بعد ورود پسورد دوم رو می خواد
ممنون بابت کمک

---

مزیت های زیادی دارد. ( میتونید انجام ندهید ، فقط یک پیشنهاد بود )
تا جایی که بنده میدونم خیر امکانش نیست با شل رمز سرور را بتوانند بدست بیارن
ممکن است :
از WHMCS Killer جهت بدست آوردن پسورد سرور شما استفاده کرده باشند. ( پ ؛ در صورتی که سرور به سیستم WHMCS شما متصل باشد )
از باگ Remote جهت دسترسی به WHM استفاده کرده باشند. ( پ ؛ این مشکل در نسخه 58 سی پنل رفع شده است )
پسورد را در یک فایل نگهداری کرده باشید و به آن فایل دسترسی پیدا کرده باشند. ( ن ؛ دسترسی به سیستم شما )
پسورد را در یکجا برای یکنفر ارسال کرده اید و به آن دسترسی داشته باشند. ( ن ؛ دسترسی به اکانت تلگرام ، ایمیل و ... شما یا شخص دریافت کننده )
احتمالات بسیار زیاد میباشد که فعلا تنهای چیزی که به نظر من امکانش از همه بیشتر میباشد ایمن نبودن WHMCS شماست.

یکی هی میگفت اکسس دارم ازت و اینا چک کردیم نبود راهی به ذهنتون میرسه برای پیدا کردن یوزر مدیر ب جز روت
یا اکسس و اینا
الان یکی گفت بک دور شاید داشتی دقیقا منظورش نفهمیدم راهی برا پاک کردنش هست

نقل قول:

---

نوشته اصلی توسط Ali_faraji

یکی هی میگفت اکسس دارم ازت و اینا چک کردیم نبود راهی به ذهنتون میرسه برای پیدا کردن یوزر مدیر ب جز روت
یا اکسس و اینا
الان یکی گفت بک دور شاید داشتی دقیقا منظورش نفهمیدم راهی برا پاک کردنش هست

---

احتمال دارد کسی یک یوزر در سرور شما با دسترسی روت ایجاد کرده باشد.
دستور زیر را در خط فرمان اجرا کرده و تمامی خروجی را ارسال کنید. ( بهتر است پ.خ کنید و اطلاع دهید )

کد:

---

visudo

---

ببخشید 2faرو فعال کردم اما هنگام لوگین رمز دوم نخواست ک
علتش چیه
........

راهنمایی های تاپیک زیر رو هم با دقت عمل کنید:

http://www.webhostingtalk.ir/showthread.php?t=175806

نقل قول:

---

نوشته اصلی توسط Ali_faraji

ببخشید 2faرو فعال کردم اما هنگام لوگین رمز دوم نخواست ک
علتش چیه
........

---

دوست عزیز شما فقط 2FA را فعال کرده اید.
باید در قسمت Manage My Account هم تنظیمات لازم را انجام دهید.

- - - Updated - - -

نقل قول:

---

نوشته اصلی توسط samihost

احتمال دارد کسی یک یوزر در سرور شما با دسترسی روت ایجاد کرده باشد.
دستور زیر را در خط فرمان اجرا کرده و تمامی خروجی را ارسال کنید. ( بهتر است پ.خ کنید و اطلاع دهید )

کد:

---

visudo

---

---

اینکار را انجام دادید ؟

د ر مورد بک دور ک کلا سرور انتقال دادیم به فرانسه و دوباره در حال کانفیگشیم
2-ما ب همون قسمتی ک گفتی منیج مای اکانت رفتیم سپس یک کد داد دربخش پایین زدیم درست بودا حتی رنگش سبز شد ولی هنگامی ک رو دکمه کانفریم زدیم نوشت
The security code is invalid

ببخشید لرور ماله چیه

نقل قول:

---

نوشته اصلی توسط Ali_faraji

د ر مورد بک دور ک کلا سرور انتقال دادیم به فرانسه و دوباره در حال کانفیگشیم
2-ما ب همون قسمتی ک گفتی منیج مای اکانت رفتیم سپس یک کد داد دربخش پایین زدیم درست بودا حتی رنگش سبز شد ولی هنگامی ک رو دکمه کانفریم زدیم نوشت
The security code is invalid

---

دوست عزیز و گرامی لینک زیر را کمی مشاهده میکردید میفهمیدید.
https://confluence2.cpanel.net/display/ALD/cPanel+Two-Factor+Authentication
ابتدا نرم افزار Google Authenticator. بر روی گوشی خود نصب کنید و سپس بارکد را با گوشی اسکن کنید تا کد را به شما بدهد.
دقت کنید کد های امنیتی فقط 30 ثانیه اعتبار دارند.

نوشته اگر نرم افزار بار کد خوان رو ندارید گزینه دوم داشت خودش رمز داده بود با اون زدم نشد بارکدم تست می کنم خبر می دم

نقل قول:

---

نوشته اصلی توسط Ali_faraji

نوشته اگر نرم افزار بار کد خوان رو ندارید گزینه دوم داشت خودش رمز داده بود با اون زدم نشد بارکدم تست می کنم خبر می دم

---

دقت کنید Key که به شما داده است برای برخی از گوشی های قدیمی میباشد که نرم افزار Google Authenticator بر روی آنها امکان خواندن بارکد را ندارد.
Key مورد نظر هم که مشاهده میکنید باز باید در نرم افزار Google Authenticator وارد شود.
بهترین راه استفاده از بارکد میباشد.
حتما با نرم افزار Google Authenticator باید اسکن کنید.
استفاده از این نرم افزار امنیتی بالاتری نسیب شما خواهد کرد.

چشم ممنون بابت راهنمایی فقط ی سوال بعد انجام اینکارا ورود دو مرحله ای میشه به سرور whm
بعد اینجا چطور برا مرحله دومش رمز تعیین کنم همین اسکن می کنیم میشه رمز؟
شرمنده این موصوع طولانی شد

نقل قول:

---

نوشته اصلی توسط Ali_faraji

چشم ممنون بابت راهنمایی فقط ی سوال بعد انجام اینکارا ورود دو مرحله ای میشه به سرور whm
بعد اینجا چطور برا مرحله دومش رمز تعیین کنم همین اسکن می کنیم میشه رمز؟
شرمنده این موصوع طولانی شد

---

خواهش میکنم.
شما هنگام کانفیگ کردن اکانت خود با اسکن کردن این بارکد توسط نرم افزار امنیتی Google Authenticator یک حساب کاربری برای شما با هاست نیم سرور شما در Google Authenticator ایجاد میشود.
از این سپس شما هنگام ورود به whm پس از وارد کردن یوزر نیم و پسورد روت سرور به صفحه ی وارد کردن رمز امنیتی یا همان کد امنیتی یکبار مصرف هدایت خواهید شد.
کد یکبار مصرف در گوشی شما در نرم افزار Google Authenticator نمایش داده خواهد شد و شما فقط 30 ثانیه وقت دارید تا کد را جهت ورود به whm استفاده کنید.