Blog Yazıları

Sunucunuza SSH (Puty) ile bağlanıyoruz

Aşağıdaki komutu çalıştırıyoruz,

nano /etc/mailips

Karşımıza siyah boş bir sayfa gelebilir, öncelikle WHM panelden birkaç ayar yapmamız gerekebilir,

Resimdeki şekilde Whm panelden ayarlamamızı yapıyoruz,

SSH ekranımıza geri döndüğümüzde komutu tekrar çalıştırıyoruz, Yazmak istediğimiz ip adresini resimdeki şekilde yazıp ctrl-x-y diyip kayıt ediyoruz,

Bu bölüme her site için ayrı mail ip adreside atayabiliriz, böylelikle atamış olduğumuz her site farklı ip adresinden çıkış yapacaktır,

Maldet uygulaması Linux için malware algılama yazılımıdır. Ücretsiz olan bu yazılım Linux için kötü amaçlı yazılımları sunucunuzda tespit etmenize olanak sağlar. R-fx Networks tarafından yazılmış olan Linux Malware Detect yazılımı ile ilgili daha detaylı bilgilere http://www.rfxn.com/projects/linux-malware-detect/ adresinden ulaşabilirsiniz.Lafı fazla uzatmadan programın kurulumu ve kullanımı ile alakalı sizlere bilgi vermek istiyorum.

Kurulum

Kurulum için aşağıdaki komutları çalıştırmanız yeterlidir.

wget http://www.rfxn.com/downloads/maldetect-current.tar.gz

tar zxvf maldetect-current.tar.gz

cd maldetect-*

sh install.sh

Kurulum bu komutlarla sorunsuz tamamlandıktan sonra yazılımın kullanımı ile ilgili örneklere geçmeden önce bir uyarıda bulunmak gerekir. Linux Malware Detect, kısa adı ile maldet tarama işlemi yaparken sabit diskinizde oldukça fazla I/O tüketmektedir. Yavaş veya yoğun işlem olan sabit disklerde işlem yaparken sisteminizde ciddi performans sorunları oluşturabilir.

Kullanım

maldet –help tüm maldet parametrelerini ekrana basacaktır.

Hack edilmiş veya backdoor bulaşmış bir web sitesini taramak için örnek komut uygulaması yapalım. cPanel bir sunucuda netinternet.com.tr örnek alan adının cPanel kullanıcısı netinter ise;

maldet -a /home/netinter/public_html

komutu ile ilgili web sayfasının dosyalarında malware taraması başlatabilirsiniz.Tarama işlemine başladığınızda maldet size dosya sayısını göstermektedir.

maldet(9174): {scan} 653⁄14045 files scanned: 0 hits 0 cleaned

İşlem devam ederken alınmış bu örnekte 14045 adet dosya içerisinde henüz 653 dosyanın tarandığını görebilirsiniz. Bulunan zararlı bir içerik varsa hits, temizlenen içerik varsa cleaned kısmında ayrıca görüntülenecektir.

Bu işlemin sonucunda yine tarama bitince maldet raporlama ve temizleme için size kodları ekrana basacaktır. Bununla ilgili örnekler alt kısımda yer almaktadır.

maldet(9174): {scan} scan completed on /root/: files 14045, malware hits 1, cleaned hits

Yukarıdaki satırdan çıkartacağımız anlam 1 adet zararlı içeriğin tespit edildiğidir.

maldet(9709): {scan} scan report saved, to view run: maldet –report 081513-2051.9709

Yukarıdaki satırdan çıkartacağımız anlam, zararlı içerik ile ilgili rapor, isim ve diğer bilgileri görmek için konsolumuza maldet –report 081513-2051.9709 komutunu yazmamız gerektiğidir. Bu komut da yer alan rakamsal değer her taramada sistem tarafından otomatik olarak üretilmektedir.

maldet(9709): {scan} quarantine is disabled! set quar_hits=1 in conf.maldet or to quarantine results run: maldet -q 081513-2051.9709

Yukarıdaki satırdan çıkartmamız gereken anlam ise raporda yer alan tüm dosyaları temizlemek veya silmek yada karantina altına almak için maldet -q 081513-2051.9709 komutunu konsoldan çalıştırmamız gerektiğidir.

Bu örnek anlatımdan sonra bazı ayarlar ile ilgili de sizlere maldet hakkında bilgi vereceğiz.

maldet –report list

komutu daha önce yapmış olduğunuz tarama işlemlerini ekrana basar.

maldet –monitor

komutu sürekli olarak tarama işlemi yapar (Ör: maldet –monitor /home sürekli olarak /home dizinine yüklenen dosyaları tarar kapatmak için maldet -k komutunu kullanmanız yeterlidir bu işlem background da çalışmaya devam edeceğinden yavaş veya yoğun sabit disklerde çok ciddi performans sorunları oluşturabilir.)

maldet -a /home/?/public_html

komutunda kullanılan soru işareti yıldız yerine geçmekte ve /home klasörü içerisindeki tüm klasörlerin içerisinde bulunan public_html klasörlerini taramanıza olanak sağlamaktadır. Bu sayede daha az dosyayı daha hızlı tarayarak tüm sunucunuzda malware taraması yapmış olacaksınız.

maldet -b : Uzun sürecek tarama işlemlerini background da gerçekleştirir. Böylece tarama başlatıp SSH bağlantısını kapatabilirsiniz. (Ör: maldet -b -a /home/)


maldet -u : Maldet virüs veri tabanını güncelleştirecektir.

maldet -r : Sadece belirli bir gündeki eklenen değişen dosyaları taramaktadır (Ör: maldet -r /home/?/public_html 2 komutu 2 günlük dosyaları taramaktadır.)

maldet –restore : Temizlenen veya karantinaya alınan dosyaları geri yükler. Virüs temizlerken yazılımlarınıza zarar vermesi durumunda tarama numarası ile restore yapılır (Ör: maldet –restore 081513-2051.9709)

maldet -p : Tüm karantinaya alınan dosyaları, logları ve açık oturumları siler.

Maldet yazılımını kendinize göre özelleştirmek için conf dosyasını açarak içerisindeki bilgileri de düzenlemeniz mümkündür.

nano -w /usr/local/maldetect/conf.maldet

nano editörü ile yukarıda yazan dizini ve komutu olduğu gibi konsola yazarsanız maldet conf dosyasını editleyebilirsiniz.Maldet konfigürasyon dosyasını editlerken monitor olarakçalıştırdığınızda
bulduğu virüsleri size e-posta göndermesini, otomatik karantinaya almasını, tarama ile ilgili olarak işlem detaylarını değiştirmenize olanak sağlamaktadır.

cPanel sunucular üzerinde çalıştırılan maldet yazılımında dilerseniz konfigürasyon dosyasındaki quar_susp değerini 1 yaparak virüs bulunan hesapların otomatik olarak suspend edilmesinide sağlayabilirsiniz.

Müşteri Panelimize mail adreimize gelen bilgile ile giriş yapıyoruz,

Sol bölümdeki sekmelerden Hizmetler -  Tüm Hizmetler sekmesine tıklayıp hizmetlerimizi listeliyoruz,

Şifresini değiştirmek istediğimiz Hizmetin Detaylarını görüntüle sekmesine tıklıyoruz,

Bu bölümden Şifremizi değiştirebiliriz,

Bir önceki sekmeden Panelimize cPanel / Plesk Panel giriş yapabiliriz,

Birçok kontrol paneli üzerinde mysql yedeğinizi alabilmeniz için gerekli araçlar bulunmaktadır ve mysql yedeği almak oldukça basittir.Bu yazımızda mysql yedeğinimizi komut ile nasıl alırız bunun hakkında sizlere bilgi vereceğiz.

cPanel’de mysql veri tabanları /var/lib/mysql dizini içerisinde bulunmaktadır.Herhangi bir sitenin yedeğini alabilmek için öncelikle bu dizine giriş yapmanız gerekir.Öncelikle aşağıdaki komutlar ile veri tabanlarının bulunduğu dizine giriş yapıyoruz.

cd /var/lib/mysql


ll

Komut ile mysql yedeği alabilmek için sunucunun mysql şifresine ihtiyacınız olacaktır.Bu şifreyi de aşağıdaki komut ile ekrana basıyoruz.

cat /root/.my.cnf

Şifremizi ekrana bastıktan sonra artık mysql yedeğimizi alabiliriz.Bu işlem için aşağıdaki komutu uygulamanız gerekir.

mysqldump -u root -p veritabanı > yedek.sql

Komutu çalıştırdığınızda sizden şifre isteyecektir.Ekrana basmış olduğumuz mysql şifresini kopyalayıp yapıştırdıktan sonra Enter tuşu ile onay veriyoruz.Onay verdikten sonra işlem yapmaya başlayacaktır ve komut satırı pasif hale gelecektir.Mysql yedeği aldıktan sonra tekrar komut satırı aktif olacaktır.İşlem tamamlandıktan sonra tekrar ll komutu ile içerikleri listeleyebilir ve yedek.sql olarak almış olduğunuz yedeği görebilirsiniz.

Yedek Restore Etmek

Elinizde daha önce alınan bir mysql yedeği var ise ve bu mysql yedeğini import etmek istiyorsanız aşağıdaki komutları kullanmanız gerekir.Yedek restore işlemi sırasında da sunucu mysql şifresi gerektiği için yine öncelikle şifremizi ekrana basıp daha sonra işlem yapıyoruz.

cat /root/.my.cnf


Şifre Ekranda

mysql -u root -p veritabanı < yedek.sql

Komutu uyguladıktan sonra yine şifremizi girip Enter tuşu ile onaylıyoruz ve işlemin bitmesini bekliyoruz.İşlem tamamlandıktan sonra veri tabanı import edilmiş olacaktır.

Nameserver (NS), alan adınızın sorgulanmasında kullanılan, sitenizin hangi sunucuda çalışacağına karar veren isim sunucularıdır. Hosting firması tarafından size verilen nameserver adreslerine alan adınızı aldığınız firmadan yönlendirme işleminizi yaptığınızda, alan adı Nameserver (NS) adresleri hangi sunucuyu gösteriyor ise siteniz o sunucu üzerinden çalışacaktır.
Nameserver (NS) adresleri karşılarındaki IP adreslerine göre sorgulama yapar ve o ip adresi hangi sunucu ise o sunucuyu bulur.

Örneğin; aynı alan adınız için birden fazla sunucuyu yazılım kurulumu yapabilirsiniz.
Ancak sizin alan adınızın ns adresleri hangi sunucuyu gösteriyor ise siteniz o sunucudan çalışır.Diğer sunucudaki verilerin herhangi bir hükmü bulunmaz.

Firmamızdan alacağınız hosting ya da reseller hizmetlerinde alan adı sunucularınızı aşağıdaki şekilde yönlendirmelisiniz.

ns1.ni.net.tr

ns2.ni.net.tr

Eğer reseller hizmetinizde kendi alan adı sunucularınızı kullanmak istiyorsanız, nameserver adreslerinize vermeniz gereken ip adresleri aşağıdaki şekilde olmalıdır;

ns1.alanadi.com > 95.173.189.2

ns2.alanadi.com > 95.173.190.2

Nameserver (NS), alan adınızın sorgulanmasında kullanılacak olan isim sunucularıdır. Hosting firması tarafından size verilen nameserver adreslerine alan adınızı aldığınız firmadan yönlendirme işleminizi yaptığınızda, alan adı Nameserver (NS) adresleri hangi sunucuyu gösteriyor ise siteniz o sunucu üzerinden çalışacaktır. Nameserver (NS) adresleri karşılarındaki IP adreslerine göre sorgulama yapar ve o ip adresi hangi sunucu ise o sunucuyu bulur.

Örneğin; aynı alan adınız için birden fazla sunucuyu yazılım kurulumu yapabilirsiniz. Ancak sizin alan adınızın ns adresleri hangi sunucuyu gösteriyor ise siteniz o sunucudan çalışır.Diğer sunucudaki verilerin herhangi bir hükmü bulunmaz.

Firmamızdan alacağınız Hosting ya da Reseller hizmetlerinde alan adı sunucularınızı aşağıdaki şekilde yönlendirmeniz gerekmektedir;

ns1.ni.net.tr

ns2.ni.net.tr

Eğer reseller hizmetinizde kendi alan adı sunucularınızı kullanmak istiyorsanız, nameserver adreslerinize vermeniz gereken ip adresleri aşağıdaki şekilde olmalıdır;

ns1.alanadi.com > 95.173.189.2

ns2.alanadi.com > 95.173.190.2

DNS (Domain Name System) Nedir?

DNS, İnternet alan adlarını IP adresine, IP adreslerini alan adlarına dönüştürmeye yarayan sistemdir. DNS sunucuları RL (Uniform Resource Locator) ya da FQDN(Fully Qualified Domain Name) adreslerini IP adreslerine çözümlemesini sağlar. Bu sayede IP adreslerini ezberlemek yerine daha akılda kalıcı host adreslerini yani domain adreslerini kullanırız.

DNS, nameserver (isim sunucuları) ve DNS resolver (çözümleyici) DNS sistemini oluşturan en önemli bileşenlerdir. Alan adlarının IP adresine çevrilmesi DNS resolver’lar sayesinde mümkün olmaktadır. Netinternet’in veri merkezi içerisinde IPv4 ve IPv6 destekli 4 DNS resolver sunucusu bulunmakta, bu sunucular sadece veri merkezi içerisinde yer alan sunucularda kullanılmaktadır.

IPv4 DNS Resolver

159.253.34.4

159.253.34.5

IPv6 DNS Resolver

2a03:2100::4
2a03:2100::5

Linux İşletim Sistemlerinde DNS Resolver Değiştirmek

Linux işletim sistemlerinde DNS resolver adreslerini değiştirmek için düzenlemeniz gereken dosya yolu: /etc/resolv.conf

Dosyayı işletim sisteminizde kurulu herhangi bir editör ile açtıktan sonra her bir DNS resolver için başında nameserver yazarak bilgileri güncellemeniz gerekmektedir

Windows İşletim Sisteminde DNS Resolver Değiştirmek

Windows işletim sistemlerinde DNS resolver adreslerini değiştirmek için “Ağ Bağlantıları” üzerinden aktif olarak kullandığınız ağ bağlantısının özelliklerine girerek “Internet Protokolü Sürüm 4” üzerine tıklayarak özellikler butonuna basttığınızda karşınıza çıkacak ekrandan (Aşağıdaki resimin sağ penceresindeki gibi) DNS resolver sunucularını tanımlayabilirsiniz.

Network bağlantılarını, routing tablosunu, arabirim istatiskleri ve benzer ağ bağlantısı bilgileri ile ilgili ayrıntılı bilgiler verebilen bir konsol komutudur.

Netstat komutu çeşitli parametreler ile kullanılmaktadır. Bu parametreler ve anlamları şunlardır :

-a : Tüm TCP ve UDP bağlantıları ekrana basar.


-e : Gelen ve giden paket sayısının istatistiklerini görüntüler.

-n : Tüm bağlantıları rakamsal olarak görüntüler.

-o : Tüm bağlantıları PID numarası ve uygulama adına göre listeler.

-p : Bağlantıların kullandığı uygulama ve PID numaralarını ekrana basar.

-s : Kurallara göre istatistiksel verileri ekrana basar.

-r : IP yönlendirme tablosunun içeriğini görüntüler.

Netstat çıktısında yer alan bağlantı durumlarının anlamları

ESTABLISHED : Soket bağlantı gerçekleşmiş durumdadır.


SYN_SENT : Soket bağlantı kurmaya çalışıyordur.

SYN_RECV : Ağdan bir bağlantı isteği gelmiştir.

FIN_WAIT1 : Soket kapatılmış, bağlantı sonlandırılmak üzeredir.

FIN_WAIT2 : Bağlantı sonlandırılmıştır.Soket karşı ucun bağlantıyı sonlandırmasını beklemektedir.

TIME_WAIT : Soket kapandıktan sonra gelebilecek paketleri alabilmek için beklemektedir.

CLOSED : Soket kullanılmamaktadır.

CLOSE_WAIT : Karşı uç bağlantıyı kapatmıştır.Soketin kapanması beklenmektedir.

LAST_ACK : Karşı uç bağlantıyı sonlandırmış ve soketi kapatmıştır.Onay beklenmektedir.

LISTEN : Soket gelebilecek bağlantılar için dinleme konumundadır.

CLOSING : Yerel ve uzak soketler kapatılmış fakat tüm verilerini göndermemiş durumdadır.Tüm veriler gönderilmeden soketler kapanmaz.

SSH üzerinden netstat çıktılarını alabilmek için bazı örnek komutlar

Tüm TCP ve UDP Bağlantıları Listeler

netstat -ntu

Tüm TCP ve UDP bağlantılar içerisinde SYN_SENT ve SYN_RECV bağlantı durumlarını ekrana basar.Grep sonrasında yer alan bölümü kendi isteğinize göre değiştirip diğer bağlantıları da ekranda görebilirsiniz.

netstat -ntu | grep SYN

Ekrana sadece ESTABLISHED olan bağlantıları basar.

netstat -ntu | grep ESTABLISHED

Aşağıdaki komut ffff tablosu ile ekrana basılan değerler dahil tüm ip listesini küçükten büyüğe göre sıralar.Yine komuta grep ekleyerek bağlantı duruma göre listeleme yapabilirsiniz.

netstat -ntu | awk ‘ {print $5} ‘ | awk ‘ {sub(“::ffff:”,””);print} ‘ | cut -f1 -d ‘:’ | sort | uniq -c | sort -n | grep -v -e server -e Address 127.0.0.1 -e 0.0.0.0

Netstat, network bağlantılarını routing tablosunu, arabirim istatistikleri ve benzer ağ bağlantısı bilgileri ile ilgili ayrıntılı bilgiler verebilen bir konsol komutudur.

Netstat komutu çeşitli parametreler ile kullanılmaktadır. Bu parametreler ve anlamları şunlardır.

-a : Tüm TCP ve UDP bağlantıları ekrana basar.

-e : Gelen ve giden paket sayısının istatistiklerini görüntüler.

-n : Tüm bağlantıları rakamsal olarak görüntüler.

-o : Tüm bağlantıları PID numarası ve uygulama adına göre listeler.

-p : Bağlantıların kullandığı uygulama ve PID numaralarını ekrana basar.

-s : Kurallara göre istatistiksel verileri ekrana basar.

-r : IP yönlendirme tablosunun içeriğini görüntüler.

Netstat çıktısında yer alan bağlantı durumlarının anlamları aşağıdaki gibidir.

ESTABLISHED : Soket bağlantı gerçekleşmiş durumdadır.

SYN_SENT : Soket bağlantı kurmaya çalışıyordur.

SYN_RECV : Ağdan bir bağlantı isteği gelmiştir.

FIN_WAIT1 : Soket kapatılmış, bağlantı sonlandırılmak üzeredir.

FIN_WAIT2 : Bağlantı sonlandırılmıştır.Soket karşı ucun bağlantıyı sonlandırmasını beklemektedir.

TIME_WAIT : Soket kapandıktan sonra gelebilecek paketleri alabilmek için beklemektedir.

CLOSED : Soket kullanılmamaktadır.

CLOSE_WAIT : Karşı uç bağlantıyı kapatmıştır.Soketin kapanması beklenmektedir.

LAST_ACK : Karşı uç bağlantıyı sonlandırmış ve soketi kapatmıştır.Onay beklenmektedir.

LISTEN : Soket gelebilecek bağlantılar için dinleme konumundadır.

CLOSING : Yerel ve uzak soketler kapatılmış fakat tüm verilerini göndermemiş durumdadır.Tüm veriler.

SSH üzerinden netstat çıktılarını alabilmek için bazı örnek komutlar

Tüm TCP ve UDP Bağlantıları Listeler.

netstat -ntu

Tüm TCP ve UDP bağlantılar içerisinde SYN_SENT ve SYN_RECV bağlantı durumlarını ekrana basar.Grep sonrasında yer alan bölümü kendi isteğinize göre değiştirip diğer bağlantıları da ekranda görebilirsiniz.

netstat -ntu | grep SYN

Ekrana sadece ESTABLISHED olan bağlantıları basar.

netstat -ntu | grep ESTABLISHED

Aşağıdaki komut ffff tablosu ile ekrana basılan değerler dahil tüm ip listesini küçükten büyüğe göre sıralar.Yine komuta grep ekleyerek bağlantı duruma göre listeleme yapabilirsiniz.

netstat -ntu | awk ‘ {print $5} ‘ | awk ‘ {sub(“::ffff:”,””);print} ‘ | cut -f1 -d ‘:’ | sort | uniq -c | sort -n | grep -v -e server -e Address 127.0.0.1 -e 0.0.0.0