PhpShell vb. zararlı php dosyaları her zaman var oldular ve varlıklarıda doğru düzgün çözüm yollarını anlatan bir makale olmamasından dolayı sürekli artıyor. Bu dökümanda PHPShell tarzı scriptlerden, Php yolu ile hacklenmekten veyahut dosyalarınızın zarar görmesi ya da çalınmasından büyük ölçüde kurtulacaksınız. Lütfen makalede yazan çözümleri sırasıyla uygulayınız. Aksi takdirde çözümler yetersiz kalabilir.
Phpshell Nedir?
PhpShell; php’ nin execute yetkilerini kullanarak, sunucuya sanki SSH yolu ile bağlanmışız gibi shell erişimi sağlayan bir hazır korsan scriptidir. Birçok internet sitesinde linki mevcuttur ve yapılması gereken hiçbir ayarı yoktur. Yani dosyayı bulup webserverınıza upload edip herhangi bir browser yoluyla çalıştırıp ( eğer aşağıda yazılan önlemler alınmamış ise) serverda doyasıya gezebilir ve herkesin dosyalarına erişebilirsiniz. Tabi sadece sizden başka kullanıcıların dosyalarına erişmekten bahsetmiyorum root userı dahil herkesten ve her dosyadan bahsediyorum. Phpshell scripti çalıştırıldığında Apache programına ait kullanıcı hakları ile çalışır. Bu yüzden birçok yere girip çıkma hakkı mevcuttur.
Kaynaklar
İnternetteki kaynaklara baktığımız zaman hemen hiçbirinin tam anlamıyla bir çözüm olamadığını bu makaleyi okuyan herkes bilir. Biraz yaratıcılık biraz şans biraz tecrübe ile bu bilgilerin hepsini bir araya getirdim ve kendim bizzat deneyerek çözüm olduğunu gördüm.
Bu makale Php4 ve üzeri php versiyonları ve apache web serverı için geçerlidir.
Sistem
Kendi test ettiğim sistemde Apache ve Php linux dağıtımın en temel şekliyle kuruldu. Yani kullandığınız işletim sistemi Redhat, Fedora, Centos ise yum ile kurabilirsiniz, debian ise apt ile kurabilirsiniz….
Yapılması Gereken İşlemler;
Adım-1. php.ini dosyasını herhangi bir text editörü ile açın.
Örneğin; pico php.ini ya da vi php.ini
Safe_Mod=Off
satırını bulun ve aşağıdaki şekilde değiştirin
safe_mod=On
;disable_function =
satırını bulun ve aşağıdaki şekilde değiştirin
disable_functions = “system,exec,shell_exec,passthru,escapeshellcmd,popen,pcntl_exec,proc_open”
;open_basedir =
satırını bulun ve aşağıdaki şekilde değiştirin
open_basedir = /var/www/vhosts:/tmp
burada dikkat etmeniz gereken benim tüm domain lerim /var/www/vhosts dizini altında sizinkiler farklı bir dizinde olabilir. Doğru pathi girmeniz gerekiyor.
Burada amaçlanan ikinci bir güvenlik önlemidir. Az sonra göreceğiniz üzere basedir olayını domain başına indirgeyeceğiz. Ama fazla güvenlik sorun çıkartmaz 😉
Adım-2. httpd.conf (ya da domainleri apacheye hangi dosyada ekliyorsanız o dosya) dosyasını herhangi bir metin editörü ile açın.
<VirtualHost 212.175.22.98:80>
ServerAdmin info@dinopsys.net
ServerName www.dinopsys.net
DocumentRoot /var/www/vhosts/www.dinopsys.net/
TransferLog /var/www/vhosts/logs/www.dinopsys.net-access_log
</VirtualHost>
şeklinde domainlerinizin ekli olduğunu göreceksiniz. Şimdi her bir domain için tek tek ayar yapalım.
<VirtualHost 212.175.22.98:80>
ServerAdmin info@dinopsys.net
ServerName www.dinopsys.net
DocumentRoot /var/www/vhosts/www.dinopsys.net/
TransferLog /var/www/vhosts/logs/www.dinopsys.net-access_log
<IfModule mod_php4.c>
php_admin_flag engine on
php_admin_flag safe_mode on
php_admin_value open_basedir “/var/www/vhosts/www.dinopsys.net:/tmp”
</IfModule>
</VirtualHost>
şeklinde gerekli eklemeleri yapın. Şimdi buraya biraz açıklık getirelim. Öncelikle şunu görüyoruz her domain için ayrı php ayarları yapabiliyoruz. Yani Safe_mod genelde açıkken burda kapatabiliriz. Yaşasın teknoloji. Ayrıca php yi domainin içine hapis ediyoruz. Ne güzel..
Şimdi apacheyi yeniden başlatalım.
/etc/inet.d/apache2 reload
Artık PHPShell scriptlerinden korkmanıza gerek kalmadı.
Makale hakkında yorumlarınızı bekliyorum.
Fikri DAL
07/03/2007
4 Responses
Disable_Function parametresi asagidaki sekilde guncellenmistir.
disable_functions = “system,exec,shell_exec,passthru,escapeshellcmd,popen,pcntl_exec,
proc_open,ini_restore,proc_close,dl,show_source,highlight_file,pcntl_exec,allow_url_fopen,
proc_get_status,proc_nice”
mod_php4.c yoksa ne yapabiliriz aramadım modülü bulamadım php sürümü 4.4.6 yazı için teşekkürler
Bulamadimdan kastiniz nedir? Cunku sistemde php varsa mod_php4 veya mod_php5 vardir..
Eyvallah bilader kodlar işe yaradı fakat “TrYaG Team” diye bir Shell var o Shell de “read file CURL:” diye bir kısım var o kısımda “/etc/passwd” yazıyor ve “Show” butonuna basınca “passwd” dosyasını okuyor, bunu nasıl engelleriz?