موضوع النقاش:

في حال اخترق السيرفر أول شيء لازم تسويه هو Relax! من تجربة شخصيّة مرّت معي قبل سنتين لما يخترق سيرفر أو موقع أكبر خطأ هو أن تتصرف بسرعة دون تفكير بهدوء ودقيق لأن هذا سيعرضك للاختراق مرّة ثانية لكن بشكل أخطر بكثير. في البداية لازم تفكّر كم دقيقة وتحدد الأمور الي لازم تقوم بها دون أي توتّر لأن الاختراق حصل وحصل والتأخر باسترجاع السيرفر كم دقيقة لن يكون مؤثّر جداً.

التأكد من سلامة جهازك وايميلك! اختراق ايميل أو جهاز مدير السيرفر أسهل بكثير من اختراق السيرفر ومن الممكن أن يكون شخص قد تمكّن من زرع باك دوور بجهازك باستغلال ثغرة ما أو حتى بالوصول الفيزيائي للجهاز ومن الضروري أيضاً التأكد من أمان الاتصال وتشفير أي معلومات هامة قبل ارسالها لجهة ثانية واستخدام بروتوكولات التي تدعم التشفير فقط مثل SSH عند اتصالك بالسيرفر ويفضّل لو كان عندك VPN خاص لضمان أمان اتصالك مع السيرفر بشكل أكبر. (طبعاً الأمور المتوفّرة ستختلف في حال كنت تملك سيرفر فقط أم كنت تعمل بشركة صغيرة أو حتى شركة انتربرايز لديها ميئات السيرفرات).

اذا كان الموقع كبير مثل Amazon وسيرفرات مزوّدي الخدمة فمن المؤكد وجود سيرفر احتياطي يمكن استخدامه مباشرة في حال حدوث اختراق مثل هذا وفي حال عدم وجود سيرفر احتياطي فأجل انت مضطّر لايقاف السيرفر بشكل كامل لأنك لن تستطيع العمل أنت والهاكر على السيرفر بنفس الوقت. طبعاً قصدي بالاغلاق مو اطفاء السيرفر أو ايقاف سيرفر apache فقط, بل حظر جميع الاتصالات عن طريق الجدار الناري والسماح لأيبي جهازك فقط ولو كان عندك console هذا شيء أفضل وبهذه الحالة تغلق جميع الخدمات وتفعل حظر الجدار الناري على جميع الأيبيات.

قبل أن تحاول استرجاع السيرفر يجب معرفة لأي درجة تم الاختراق فعلى أساسه سنتصرّف, لاحظوا أن النقاش ذكر اختراق 3 مواقع فقط, يمكن السيرفر عليه 100 موقع لذلك من الضروري أتأكد لأي درجة وصل المخترق للسيرفر, هل اختراق المواقع الثلاث بسبب ثغرة فيهم أم بسبب ثغرة بالسيرفر بمعنى آخر هل المخترق تمكّن من اختراقهم موقع تلو الآخر أم أنه اخترق موقع واحد وتمكن من تخطي صلاحياته بسبب ثغرة مثلاً مما مكّنه من قراءة ملفات موجودة على حساب مستخدم آخر. أم أنه وصل لصلاحيات root؟

في حال كان اختراق المواقع الثلاث نتيجة ثغرة فهو غالباً لم يخرج عن صلاحيات المستخدم وتأثيره محدود, يكفي أن أعيد المواقع المخترقة وأصلح الثغرة (غالباً ستكون php bypass أو أي ثغرة أخرى تمكّن المخترق من قراءة ملفات مستخدمين آخرين على نفس السيرفر) أما في حال اختراق جميع المواقع 99% المخترق وصل لصلاحيات رووت وذلك يعني أن أمامك سهرة للصبح لتتمكن من معرفة ماذا حدث تماماً بالسيرفر وتحدد اذا كان من الأفضل استخدام سيرفر جديد أم استعادة السيرفر المخترق!

أولاً يجب ايقاف الخدمات التي تعمل وعزل السيرفر عن الانترنت باستخدام bash script يحتوي على التالي مثلاً:
iptable -F
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

الأوامر السابقة ستمنع جميع الاتصالات الصادرة والواردة الى السيرفر وتستخدم في حال كنت تملك console والا اذا استخدمتها عن طريق ssh سيؤدي لحظرك أنت أيضاً خارج السيرفر. أما اذا لم تكن تملك console فالخيار الوحيد هو عزل السيرفر مع السماح لـ IP جهازك فقط وبهذه الحالة يجب وضع الأوامر داخل ملف bash وتشغيله لأن تطبيق أول أمرين بشكل منفرد سيؤدي لفصل اتصالك أنت أيضاً مع التأكد من اضافة الأمر التالي في نهاية الملف:

iptables -A INPUT -s 0.0.0.0 --dport 22 -j ACCEPT

غيّر الرقم 0.0.0.0 لأيبي جهازك (الذي يجب أن يكون ثابت ويمكنك وضع نطاق شبكة أيضاً) ومنفذ 22 الى منفذ ssh المستخدم بالسيرفر. (كتبت الأوامر السابقة بشكل سريع ويرجى تجربتها قبل اعتمادها).


هذه بعض الأمور ليتم المناقشة بها أيضاً وأي طرق أو اقتراحات أخرى فهي مرحب بها طبعاً, ورجاءً لا تحولوا النقاش لسؤال وجواب خلوا يصير شوية تفاعل وكل واحد يحاول يوضح طريقة عمل شيء, مثلا الاطلاع على ملفات اللوج على ماذا ستطلع؟ وكيف ستقوم بتحليله واستخراج المعلومات منه ووو؟

بالنسبة لـ iScanner فهو لا يفيد كثيراً بهذه الحاله لأنه لم يبرمج لهذه المهمة, صحيح أنه سيكشف أي أكواد مشفرة قد يكون أضافها المخترق لكن هذا أمر غير كافي اطلاقاً لكن بالمستقبل في حال تم توسيع قاعدة البيانات يمكن جعله يقوم بتحليل واكتشاف أمور أخرى.

هذه مجرد مقدّمة ولي عودة لأكمل بعض الأمور الأخرى التي سأقوم بها مثل تحديد مستوى الهاكر ودرجة الاختراق, تحليل ملفات اللوج, معرفة سبب الاختراق, أمور ينصح بالقيام بها سابقاً وبرامج وأدوات مفيدة في هذا المجال وهكذا...

الطريقة التي طرحها الأخ Ahmed ممتازة لمعرفة كل شيء عن المخترق, في البداية يجب أن نعرف IP جهاز المخترق ثم نبحث عنه في جميع ملفات اللوج بالسيرفر وبهذه الحالة سنعرف جميع التحركات التي قام بها.

تحليل ملفات اللوج الخاصة بسيرفر apache من أهم الأمور لأن IP المخترق أكيد موجود هناك:
/var/log/httpd/access_log
/var/log/httpd/error_log

فلو تم اختراق المواقع عن طريق ثغرة في موقع يجب أن يظهر شيء في الـ error_log وبعد معرفته سنبحث عنه في الـ access_log أما اذا ما وجدت شيء يدلني على المخترق في error_log سأحمّل الـ access_log على جهازي وهناك سأبدء تحليله, الأمر ممكن من السيرفر مباشرة لكن باستخدام محرر نصّي يمكن الاطلاع على النتائج والبحث بها بشكل أسرع مما هو عليه بالسيرفر وفي بعض الحالات قد تضطّر العمل على السيرفر.

اذا كان يوجد cPanel على السيرفر قد يكون من الأسهل تحليل ملف access_log و error_log للمواقع المخترقة فقط لأن عدد الطلبات سيكون أقل بكثير من كامل السيرفر.. لكن هذا الأمر غير كافي خصوصاً اذا لم تجد شيء يدلك على سبب الاختراق فمن الممكن أن يكون المخترق وصل للسيرفر من موقع رابع لم يتم اختراقه بل استغله لاختراق حسابات مستخدمين آخرين. طبعا جهّز نفسك لزيارة طبيب عيون بعد الانتهاء من الجلوس ساعة وأنت تتفحّص كامل الطلبات في الأكسس لوج D:

بجانب ذلك يجب تحليل ملف .bash_history الخاص بكل مستخدم تم اختراق موقعه والخاص بالحساب رووت أيضاً لمعرفة الأوامر التي تم تنفيذها على السيرفر. (أعلم أن أغلب الاستضافات لا توفّر ssh access لكن بالسيرفرات التي تعاملت معها المستخدم يملك دخول ssh لحسابه بسبب استخدام sftp عوضاً ftp) وبهذه الحالة يجب تحليل هذا الملف أيضاً لاحتمال كبير أن المخترق قد تمكن من الوصول لحساب أحد المستخدمين ومن هناك نفّذ اختراقاته, يعني مو ضروري يكون سبب الاختراق هو الموقع فقط.

أثناء التحليل ضروري يكون التركيز عالي, أي شيء متغيّر بالسيرفر أو غير مألوف لازم تفترض سببه الاختراق, من هنا لازم نعرف ضرورة وجود مدير واحد مسؤول عن السيرفر لأنه هو الي يعرف اعداداته وكافة الأمور عنه.

الاطلاع على الأمور السابقة سيعطيك معلومات دقيقة عن ما حصل بالسيرفر فأنت ستعرف اي أوامر تم تنفيذها, الطلبات التي تم ارسالها للمواقع, اي أخطاء ناتجة وهكذا.. ومن هنا قد تتمكن من تحديد درجة خبرة المخترق أيضاً حسب الطلبات التي قام بها, الأدوات المستخدمة والأوامر التي نفذها لكن السؤال الذي يطرح نفسه ماذا ستفعل اذا لم تجد شيء يدلّك على المخترق أو لم تجد ملفات اللوج من الأساس؟

بصراحة نسيت أذكر هذه الخطوة وشكراً للأخ oc لتذكيري بها وهذا يمكن باستخدام الأمر find للبحث عن الملفات التي تم تعديلها خلال الـ 24 ساعة الماضية:

find /path/to/website -mtime -1 > modified

غيّر رقم 1 الى 2 ليبحث عن الملفات التي تم تعديلها قبل يومين ثم افتح الملف modified لتشاهد مسارات الملفات التي تم تعديلها.