Web Siteniz Hacklendi mi? Adım Adım Ne Yapmalısınız?

1. Adım: Zararı sınırlayın

• Siteyi bakım moduna alın ya da geçici olarak bir bakım sayfası gösterin. Böylece ziyaretçileriniz zararlı yönlendirmelere ve indirmelere maruz kalmaz.
• Kanıtları koruyun. Temizliğe başlamadan önce sitenin dosyalarının ve veritabanının o anki hâlinin bir kopyasını alın. Bu kopya, saldırının nasıl gerçekleştiğini anlamak için gerekir; temiz yedeklerinizle karıştırmayın.
• Hosting firmanızı bilgilendirin. Sunucuda başka siteler etkilenmiş olabilir ve destek ekibi günlük kayıtlarına ulaşmanıza yardım edebilir.

2. Adım: Bütün şifreleri değiştirin

Saldırgan bir şifre ele geçirmiş olabilir. Temiz bir cihazdan şunların hepsini değiştirin:

• Hosting ya da sunucu sağlayıcısı müşteri paneli
• Kontrol paneli (cPanel, DirectAdmin), FTP ve SSH hesapları
• Veritabanı kullanıcı şifresi (ve uygulamanın yapılandırma dosyasında güncelleyin)
• Web sitesinin bütün yönetici hesapları
• API anahtarları, ödeme ve e-posta servislerinin anahtarları

Değiştirdikten sonra açık oturumları sonlandırın ve mümkün olan her yerde iki faktörlü doğrulamayı açın. Kendi cihazınızda zararlı yazılım olabileceğinden şüpheleniyorsanız önce onu kontrol edin; aksi hâlde yeni şifreler de çalınabilir.

3. Adım: Giriş yolunu ve değişiklikleri bulun

Saldırganın nereden girdiğini ve neleri değiştirdiğini bulmak, temizliğin en önemli parçasıdır:

• Son değişen dosyalar: SSH erişiminiz varsa son 7 günde değişen dosyaları listeleyin:

  find /var/www/site -type f -mtime -7 -printf '%TY-%Tm-%Td %p\n' | sort
  

• Yükleme klasörlerindeki betikler: Resim ve belge klasörlerinde PHP dosyası olmamalıdır:

  find /var/www/site/wp-content/uploads -name "*.php"
  

• Şüpheli kod: eval(, base64_decode( ve gzinflate( gibi ifadeler, karmaşıklaştırılmış zararlı kodun sık görülen işaretleridir; tek başlarına kanıt değildir ama incelenmeye değer.
• Yönlendirme kuralları: .htaccess dosyalarında tanımadığınız yönlendirme kuralları olup olmadığına bakın.
• Kullanıcılar ve zamanlanmış görevler: Yönetim panelindeki kullanıcıları, sunucudaki crontab -l çıktısını ve SSH authorized_keys dosyalarını kontrol edin.
• Günlükler: Web sunucusunun erişim günlüklerinde, şüpheli dosyalara yapılan istekler saldırının zamanını ve yöntemini gösterir.

En sık giriş yolları güncellenmemiş eklentiler ve temalar, lisanssız (nulled) yazılımlar, zayıf ya da sızmış şifreler ve yanlış dosya izinleridir.

4. Adım: Temizleyin ya da temiz bir yedeğe dönün

İki yol vardır:

Temiz bir yedekten geri yükleme: Saldırıdan önceki bir yedeğiniz varsa en hızlı ve en güvenilir yol budur. Saldırının ne zaman başladığını bilmiyorsanız yeterince eski bir yedek seçin. Geri yükledikten sonra 2. ve 5. adımları mutlaka uygulayın; açık kapanmazsa saldırı tekrar eder.

Elle temizleme: Temiz bir yedeğiniz yoksa:

1. Uygulamanın çekirdek dosyalarını resmî kaynaktan yeniden yükleyin.
2. Eklentileri ve temaları silip resmî kaynaklarından yeniden kurun; kullanmadıklarınızı hiç geri getirmeyin.
3. Yükleme klasörlerindeki ve diğer içerik dosyalarındaki şüpheli dosyaları temizleyin.
4. Veritabanında tanımadığınız kullanıcıları, zararlı betik içeren yazıları ve ayarları temizleyin.

Bir güvenlik tarayıcısıyla siteyi taramak, gözden kaçan dosyaları bulmanıza yardım eder. Yedeklerin neden test edilmesi gerektiğini Sunucu yedekleme rehberimizde anlattık.

WordPress için özel adımlar

• Çekirdek dosyaları doğrulayın. WP-CLI erişiminiz varsa wp core verify-checksums komutu, WordPress çekirdek dosyalarında değiştirilmiş olanları listeler.
• Güvenlik anahtarlarını yenileyin. wp-config.php dosyasındaki güvenlik anahtarlarını (salt) yenilemek, bütün oturumları geçersiz kılar.
• Yöneticileri kontrol edin. Kullanıcılar sayfasında yönetici rolündeki hesapları gözden geçirin.
• Lisanssız eklenti ve temaları silin. Ücretli eklentilerin "ücretsiz" kopyaları en sık zararlı yazılım kaynaklarından biridir.

WordPress güvenliğinin temellerini WordPress kurulumu rehberimizde anlattık.

5. Adım: Açığı kapatın ve sertleştirin

• Uygulamayı, eklentileri ve temaları güncelleyin; artık geliştirilmeyenleri alternatifleriyle değiştirin.
• Dosya izinlerini düzeltin: dosyalar için 644, klasörler için 755; hiçbir yerde 777 kullanmayın.
• Yönetim paneline erişimi iki faktörlü doğrulama ve güçlü şifrelerle koruyun.
• Kendi sunucunuzu yönetiyorsanız sunucu tarafındaki adımlar için Linux sunucu güvenliği kontrol listemizi uygulayın.

6. Adım: Arama motorlarını ve kullanıcıları bilgilendirin

• Google Search Console: Güvenlik sorunları raporunu kontrol edin, site temizlendikten sonra inceleme isteyin. Spam sayfaları dizine eklendiyse bunların kaldırılmasını da isteyebilirsiniz.
• Kullanıcılar: Kişisel veriler etkilendiyse kullanıcılarınızı bilgilendirin ve şifrelerini değiştirmelerini isteyin. Veri ihlalleri, bulunduğunuz ülkenin veri koruma mevzuatına göre bildirim yükümlülüğü doğurabilir.

Nodesty'de güvenlik

Nodesty web hosting paketleri, kötü amaçlı yazılımlara ve saldırılara karşı Imunify360 güvenlik katmanı ve hesapları birbirinden yalıtan CloudLinux ile çalışır; JetBackup ile yedeklerinize kontrol panelinden ulaşabilirsiniz. Kendi sunucunuzu AMD Ryzen 9 9950X VDS üzerinde yönetiyorsanız 7 gün saklanan ücretsiz günlük yedekler temiz bir noktaya dönmenizi sağlar. Bir saldırıdan şüpheleniyorsanız destek ekibimize ulaşabilirsiniz.