Google'dan Gelenler Başka Siteye Yönleniyor

Arkadaşlar google'dan gelenler son 4 gündür http://file2store.info/download.php?id=E841E87A sitesine yönleniyor. Bu olay bir kez oluyor ikinci denemede düzeliyor. NE yaptıysam sorunu çözemedim. 8-10 K olan hitler 1,5 K civarına geriledi. vBSEO yu deaktif edince durum düzeliyor.

Dün vBSEO yu tamamen kaldırıp tekrar baştan kurulum yaptım düzelmişti ama bugün baktığımda aynı olay yine aktif olmuş. Sorunun çözümü konusunda önerilerinizi bekliyorum.

Site adresiniz neydi?
vBSEO'yu değilde bütün kodları yedekle.
Sonra hepsini silin ve bütün her şeyi baştan kurun.
Son olarak dosya vs yedeklerinizden tamamlayın.

Dosyalarınza bir şeyler bulamış olabilir.
Bütün dosyaları ftp programınızla upload edin ki dosya haklarınız doğru olsun.

Örnek arama linki verebilirseniz bakmak isterim.

Şu an itibari ile tekrar vBSEO'yu kaldırıp tekrar kurdum ve hem admin panel hem de vbSeo panel giriş şifrelerini değiştirdim hocam. Sorunsuz görünüyor şu an itibariyle. Dün sorunu çözdüğümü sanmıştım ancak bugün baktığımda aynı sorun devam ediyordu. Tekrarlanırsa artık söylediğiniz şekilde herşeyi silip baştan yüklerim. Daha 10 gün önce de javascript virüsü ile uğraşmıştım arkasından bu geldi...

Sire adresi: cerezforum.com

Şu an sorunsuz çalışıyor. Google'dan ilk girişte bahsi geçen siteye yönleniyordu. Aynı ip numarasından ikinci kez gelindiğinde ise sorunsuz girilebiliyor tuhaf bir durumdu yani...

Burada ve burada aynı sorundan bahsedilmiş ancak ingilizcem yetersiz olduğu için anlayamadım.

vBSEO'yu deaktif ettiğimde sorun ortadan kalkıyor.

Ben İngilizce bilmediğm için konuyu tam anlayamadım ama bazı kullanıcılar bunun bir güvenlik açığından oluştuğunu yazmışlar. Bu açıkların vBSEO ile ilgili olmadığını ayrıca belirtmişler.
Mert konuya baktığında aslını ondan öğreniriz.

Sitenizin şifrelerini değiştiriniz , vBSEO product dosyasını import ediniz ve chmod 777 modundakli tüm klasörleri inceleyiniz. Bu bir açık ancak vBSEO ile alakalı değil. Yaptığımız tüm incelemelerde vbseo product dosyası içerisinde bulunan Global_start plugin'i manuel olarak admincp içerisinden düzeltiliyor. Yani şu aşamada en önemli önceliğiniz tüm şifrelerinizi değiştirmek olmalı.

2. gün vBSEO'yu kaldırıp yüklemek sorunu çözmüştü ancak ertesi gün yine aynı sorun olmuştu.

Bu konuyu açarken ise hem vBSEO hem de admin panel şifrelerini değiştirdim. Şu an sorun bertaraf edilmiş gözüküyor. Teşekkürler Mert bey dünden itibaren herhangi bir sorun yok...

Ftp , database kullanıcı şifrelerinizide mutlaka değiştirin.

Gerçekten çok enteresan bir durum hocam. Admincp ve vbseo panel şifrelerini değiştirmiştim ancak az önce kontrol ettiğimde aynı şeyin yine nüksettiğini gördüm. Bu akşam yapamicam ama yarın söylediğiniz tüm şifreleri değiştiricem.

Bu her neyse benim admin panele giriş şifremi de değiştiriyor... Şifremi unuttum diyerek yeni şifre alıyorum...

hocam aynı sorun bende de oluyor. ben burdan yazanların hepsini yaptım, ama yinede oluyor. zaten adam şifreyi eline geçirse çok daha fraklı şeylerde yapabilir. sadece googleden gelen ilk kullanıcıyı alıyor ikinci tıklamada yönlendirme olmuyor. Bence servera shell atma ihtimali yüksek, daha önce buldum sildim,ama ssh dan, normal olarak klasöre girince attığı php dosyası görükmüyordu. şuanda herhangi bir shell dosyasıda bulamıyorum. Chmodu 777 olan klasör bırakmadım. ama hala bir kaç günde bir googleden tıkladığımda url123.info/ddaewqas gibi bir site ye yönleniyor. vbseo ürünün kaldırıp tekrar kuruyorum sarun kalmıyor. Kaldırmadan önce xml dosyasını indirip bakıyorum hiç bi farkı yok, bi değişme yok, zanımca değişikli veritabanında yapıyor. nası yapıyor anlamadım....

Sunucu sahipleri için rkhunter kurarak zararlı olabilecek şeyleri bulabilirsiniz.

Maalesef yukarıda belirtilen şifreleri değiştirmiş olmama rağmen az önce baktığımda sorun yine tekrarlanmış. Mert hocam 3.5.0 RC3 sürümünü kullanıyorum bu sürümden kaynaklanan bir sorun olabilir mi acaba. Lisans sürem bitti bir süre bekleyip yenilemeyi düşünüyordum lisansı. Acaba bir önceki sürüme dönsem mi önerinizi alabilir miyim?

Buraya yazma nedenim, vBSEO'yu deaktif edince sorunun düzeliyor olması...

Şu an itibari ile forumun açıldığı yıllardaki hitle devam ediyorum son bir haftadır, yani bu olay hitlerin 9/10 unu götürdü. Hakikaten vahim bir durum.

firarist ssh dan şu aramayı bi yap:
find /home/ -name "*".php -type f -print0 | xargs -0 grep base64_decode | uniq -c | sort -u | cut -d":" -f1 | awk '{print "rm -rf " $2}' | uniq

büyük ihtimalle gifimg.php diye bir dosya ya rastlayacaksın, varsa ondan kaynaklanıyordur.

Bence bu kodu kullanmayın çünkü base64_decode kodu geçen çalışan scriptlerinizi de silersiniz. Bu kod base64_decode dosyaları bul/sil mantığına göre çalışıyor. Onun yerine daha güvenli olan rootKit tarayıcılarını kullanın mesela rKHunter gibi.

Önerileriniz için teşekkürler hocam ben host kullanıyorum, linki host yetkilisine bildirdim mutlaka kurtulmam lazım bu olaydan hakikaten çok rahatsız etmeye başladı. Şu an bilgisayarı bikaç programa taratıyorum sonra tüm şifrelerimi tekrar değiştiricem ftp deki php dosyalarını da yenileriyle değiştiricem artık. Zaten başka da yapabileceğim bişey yok.

vBSEO ile alakalı bir açık değil , eğer tüm şifreleri değiştirmenize rağmen giriş yapıyorlarsa ya server üzerinde yada kullandığınız modifikasyonlarda açık var.