Bilgi - iÅŸlem, biliÅŸim ve teknoloji üzerine…

Merhaba arkadaÅŸlar ;

Son zamanlarda wordpress ‘in 2.5 sürümünü kullanan birkaç Blogun hacklendiÄŸini gördüm. Malesef ki nasıl hacklendiklerini tam bilmiyorlar. Bir taneside yakın bir arkadaşım. WP yi ben kurmuÅŸtum 2.5 sürümünü 2.6 ya güncellememiÅŸ. Malesef ki bazı aradaÅŸlar sistemlerini güncellemiyor.

Bence en büyük hata aslında bu. Hacklenen sistemi kontrol edemedim sadece hatırladığım kadarıyla sistem de hiç eklenti yok ve CHMOD izinleri normaldi.  Sorun şu ki hackleyenlerin yada hack ettiğini söyleyenlerin birçoğu wp-config.php dosyasını okuyabildiklerini idda ediyorlar.

Wp-config dosyası okunamaz. Okunamaz çünkü Wp-Config bir php dosyasıdır ve PHP dosyaları Ana SERVER makinada yani host aldığınız makinada APACHE tarafından okunur ve Explorer’e yani kullanıcıya HTML olarak çıktı gönderir.  PHP dosyası APACHE de iÅŸlendikten sonra HTML olarak kullanıcıya sunulduÄŸu için hack iÅŸi biraz naÅŸ…  Bu iÅŸin TEORİĞİ…

Fakat pratikte bu dosya okunabiliyor. Nasıl okunabiliyor ? Eğer APACHE kapalı ise o zaman size direkt olarak PHP dosyası gönderilebilir. Yani APACHE kapanırsa o zaman bu dosya okunabilir. Yada CHMOD izinleri bu izinleri WP kuranlar zaten iyi biliyorlar. Özelliklede wp-config.php dosyasını 644 olarak bırakılır. 777  yada 750 olarak bu dosyayı bırakmazsanız sorun olmayacaktır. Zaten 750 veya 777 olarak bıraksanız bile her önüne gelen bu dosyayı okuyamaz.

Anlamadığım ÅŸey ÅŸu… WP-Config dosyasını okuyabilen nasıl okuyabiliyor. EÄŸer apache’yi bir türlü kapatabiliyorsa o zaman HOST firması bunu nasıl fark etmiyor ? Kesinlikle fark edilecek birÅŸeydir. Tamam anladık APACHE ‘yi bir ÅŸekilde kapattı ve hacker Wp-config dosyasını okudu. Sonra APACHE’yi nasıl aktif edecek ? Etmezse WP çalışmaz ki böylelikle Apache açılana kadar sistemi hackleyemez ki ..!

Yada varsayalım ki wp-config ‘i okuyabilen birisi yada birileri var. Fakat bunu yapabiliyorsa o zaman tüm PHP dosyalarını okuyabilir.  Åžu haberde Orhan TOKER abimiz bununla ilgili bir yazı yazmış ve Wp-Config dosyasını nasıl okunamaz hale getireceÄŸimizi anlatmış. Yinede eÄŸer adam PHP okuyabiliyorsa o zaman wp-config.php yi istediÄŸiniz kadar saklayın sistemi %90 ele geçirmiÅŸ demektir.

Eğer birisi yada birileri wp-config dosyasını hack edebiliyorsa o zaman KIYAMET KOPAR dersem yeridir. Ortalıkta bırakın Wordpress Sitesini PHP adına hiçbirşey kalmaz..!

SONUÇ ;

1-   Ortalıkta Wordpress 2.5 sistemlerini hackleyenler var bu kesin.

2-   Bir şekilde Apache kapatılabilir ihtimal olsa bile wp-config bu sayede okunabilir. Fakat sonrası ? Tekrar aktif edip nasıl hackleyecek ?

3-   Birisi veya birileri wp-config’i okuyabiliyor dünyanın sonu geldi…

Neden bilmiyorum ama 2.4 ü iptal etmişler tabi sudan tüyden kıldan sebepler göstermişler ama sanırım gerçek neden Yönetim panelini değiştirmeleri. Evet yanlış duymadınız. 2.5 ile beraber yönetim panelini değiştirip daha güzel bir kullanım ve görsel olarak değişikliğe gidildiğini açıklamışlar..

Eeee ne var ki 2.4 de yönetim panelinin sadece renklerini deÄŸiÅŸtirmiÅŸ olmalarına uyuz gitmiÅŸtim zaten Neyse ÅŸuradaki habere göre 2.5 Mart ayında geliyormuÅŸ… Bekleyelim bakalm