Arka kapı nedir?
Arka kapı (backdoor), saldırganın bir sisteme normal kimlik doğrulamayı atlayarak gizlice yeniden erişmesini sağlayan yöntem, hesap veya yazılım parçasıdır. İlk sızmadan sonra kalıcı erişim için bırakılır.
Saldırgan bir açık kapatıldığında bile içeri girebilmek için arka kapı yerleştirir. Bu yüzden bir ihlalden sonra yalnızca açığı yamalamak yetmez; bırakılmış kalıntıların da temizlenmesi gerekir.
Nasıl çalışır?
Arka kapılar birçok biçimde olabilir: sunucuya eklenen gizli bir kullanıcı, yetkili anahtarlar listesine eklenmiş SSH anahtarı, zamanlanmış görev, web sitesi dosyalarına gizlenmiş betik, değiştirilmiş bir servis ya da yazılıma sonradan eklenmiş kötü niyetli kod.
Amaç gizlilik ve süreklilik olduğundan arka kapılar genellikle meşru dosya adlarına benzetilir, düşük trafik üretir ve günlüklerde iz bırakmamaya çalışır.
Sunucu ve hosting ortamında
Web sitelerinde en sık rastlananı, tema veya eklenti dosyalarına yerleştirilen ve bir parametreyle tetiklenen gizli PHP kodudur. Linux sunucularda ise ek kullanıcılar, SSH anahtarları, cron görevleri ve değiştirilmiş sistem ikilileri kontrol edilmelidir.
authorized_keysdosyalarında tanımadığınız anahtarları arayın.- Beklenmeyen kullanıcılara, özellikle yönetici yetkisine sahip hesaplara bakın.
- Zamanlanmış görevleri ve başlangıç servislerini inceleyin.