Bir web sunucusunun hacklenmesi, hem şirketin verilerini hem de kullanıcıların güvenliğini ciddi şekilde tehdit eder. Hacklenmiş bir sunucuyu doğru şekilde analiz etmek, saldırının kaynağını tespit etmek ve gelecekteki saldırıları önlemek için kritik öneme sahiptir. Bu makalede, hacklenmiş web sunucularını adım adım inceleme yöntemlerini, tespit araçlarını ve güvenlik önlemlerini detaylı olarak ele alıyoruz.
1. Hacklenmiş Sunucunun Belirtileri
Hacklenmiş sunucular genellikle sessizce zarar verir. İşte dikkat edilmesi gereken belirtiler:
- Performans düşüklüğü: Sunucu aniden yavaşlayabilir veya sık sık çökebilir.
- Anormal trafik: Şüpheli IP’lerden gelen yoğun trafik veya bilinmeyen kaynaklara veri gönderimi.
- İzinsiz dosya değişiklikleri: Dosya boyutları veya tarihleri normalden farklı olabilir.
- Web sayfalarında değişiklik: Ana sayfada veya alt sayfalarda izinsiz içerik, yönlendirme veya reklamlar.
- Giriş loglarındaki şüpheli aktiviteler: Brute force veya SQL injection denemeleri loglarda görünür.
Bu belirtiler saldırının türü ve süresi hakkında ipucu verir.
2. Log Analizi
Loglar, sunucudaki saldırıları anlamanın en önemli kaynağıdır.
-
Erişim Logları (access.log):
IP adreslerini, istek yöntemlerini ve HTTP durum kodlarını inceleyin. Şüpheli örnekler:
Tekrarlayan POST istekleri brute force veya otomatik saldırıyı gösterebilir.192.168.1.101 - - [03/Mar/2026:12:23:45 +0300] "POST /wp-login.php HTTP/1.1" 200
-
Hata Logları (error.log):
Kod hataları, eksik dosya çağrıları veya izinsiz erişim denemeleri saldırganın girişimlerini gösterebilir. -
Uygulama Logları (CMS, e-ticaret vs.):
WordPress, Joomla veya Magento gibi sistemlerin loglarını kontrol etmek, admin paneline izinsiz erişimi tespit etmeye yardımcı olur.
3. Dosya ve Dizin Kontrolü
Hacklenen sunucularda saldırganlar genellikle:
- Yeni web shell dosyaları ekler (ör. r57.php, c99.php)
- Mevcut dosyaları değiştirir veya eval/base64 ile kodu gizler
- .htaccess veya yapılandırma dosyalarını değiştirir
Kontrol Yöntemleri:
- find /var/www/html -type f -mtime -7 → son 7 gün içinde değişen dosyaları listele
- Dosya hash değerlerini karşılaştırma ile orijinalleri kontrol etme
4. Malware ve Backdoor Tespiti
Sunucuda gizlenen malware ve backdoor’lar kritik tehditlerdir:
- Backdoor Örnekleri: PHP veya JS dosyalarıyla sunucuya tekrar erişim sağlama
- Base64 veya eval kodları: Kötü amaçlı komutları gizler
- Cron Joblar: Otomatik olarak saldırgan scriptlerini çalıştırır
Araçlar:
- rkhunter veya chkrootkit → rootkit tespiti
- Web shell tarayıcıları → PHP Malware Finder
5. Ağ ve Trafik Analizi
Sunucunun ağ trafiğini inceleyerek saldırganın hedeflerini ve veri sızdırma girişimlerini tespit edebilirsiniz:
-
Netstat ve lsof: Açık portları ve aktif bağlantıları kontrol edin
netstat -tulnp
lsof -i - Anormal dış IP bağlantıları: Sunucudan sürekli veri gönderen IP’ler
- DDoS veya brute-force aktiviteleri: Trafik yoğunluğu ve log analizi ile belirlenebilir
6. Güvenlik Önlemleri ve Kurtarma
Hacklenmiş sunucudan sonra yapılması gerekenler:
- Yedekten geri yükleme: Temiz bir yedek üzerinden sunucuyu tekrar kurun.
- Şifreleri değiştirin: Admin, FTP, veritabanı ve API anahtarlarını yenileyin.
- Güncellemeler: Sunucu OS, web sunucu yazılımı ve CMS eklentilerini güncelleyin.
- Güvenlik araçları kurun: Firewall, IDS/IPS, malware tarayıcıları.
- Düzenli izleme: Log ve dosya değişikliklerini otomatik takip edin.
7. Proaktif Önlemler
- Güçlü parola ve 2FA kullanımı
- Web uygulama güvenlik duvarı (WAF)
- Düzenli yedekleme ve yedek testleri
- Saldırı simülasyonları ve penetrasyon testleri
Hacklenmiş Web Sunucu Analizi