wp-content üzerinde malware taraması

“Malware taraması” (Almanca: „Malware-Scan“) altında wp-content dizini üzerinde bir kalıp araması çalışır. PHP dosyalarını okur ve web shell'ler ya da gizlenmiş kod için tipik olan yerleri bildirir. Arayüz her eşleşmeyi açıkça şüpheli olarak işaretler, doğrulanmış olarak değil.

Taramayı başlatmak ve bulguları görmek

1. “Kötü amaçlı yazılım taraması” maddesi, “Kakapo Security” içinde solda “Tarayıcılar” grubunda yer alır.
2. “Şüphe taraması” kartında “Taramayı başlat” düğmesine tıklayın.
3. Sondaki mesaj, taranan dosyaların sayısını, bulgu yerlerinin sayısını ve saniye cinsinden süreyi belirtir.
4. “Bulgu yerleri” kartında dosya, satır, kalıp ve alıntı sütunlarına bakın.
5. Bildirilen her dosyayı kendiniz açın ve bir şey silmeden ya da değiştirmeden önce ilgili yeri değerlendirin.

Neyin arandığı

• base64_decode, gzinflate, gzuncompress, str_rot13 veya rawurldecode ile birlikte kullanılan eval
• assert, shell_exec veya passthru gibi sistem çağrıları ve doğrudan $_POST, $_GET ya da $_REQUEST verileriyle kullanılan call_user_func
• e değiştiricisiyle kullanılan preg_replace ve base64_decode ile birlikte create_function
• uzun bir Base64 metnine uygulanan eval veya assert
• c99shell, r57shell veya b374k gibi bilinen shell imzaları
• gizlemeye işaret olarak, bir dosyada \xNN biçiminde 60'tan fazla onaltılık dizi
• uploads klasöründeki PHP dosyaları — içeriklerinden bağımsız olarak bildirilirler

Meşru kod da aynı kalıplara benzeyebilir; arayüzdeki her eşleşmeyi elle kontrol etme uyarısı bu yüzden vardır. Tarama dosyaları yalnızca okur; hiçbir şeyi değiştirmez, taşımaz veya silmez. Yalnızca düğmeye basıldığında başlar — otomatik olarak her gün çalışan tek şey çekirdek kontrolüdür.