PHP2Shell: Previdian Ağında Tespit Edilen Aktif Tehdit

PHP2Shell, web sunucularına kabuk erişimi sağlayan ve son dönemde Previdian ağında aktif olarak kullanılan bir saldırı aracı. Bu tür araçlar genellikle bir dosya yükleme açığından yararlanarak hedef sunucuya PHP dosyası koyar ve saldırganın uzaktan komut çalıştırmasını sağlar.

Previdian ağında tespit edilen aktiviteler, saldırganların belirli web uygulamalarındaki upload işlevlerini hedef aldığını gösteriyor. Genellikle form validasyonunun zayıf olduğu ya da dosya türü kontrolünün eksik olduğu alanlara saldırı odaklanıyor. Bir kez PHP dosyası sunucuya yüklenince, saldırgan tarayıcı üzerinden bu dosyaya erişerek sunucuda PHP kodunu çalıştırabiliyor.

Bu tehditten korunmak için birkaç pratik adım gerekiyor. Öncelikle dosya yükleme işlemlerinde mutlaka dosya türü kontrolü yap, sadece isim değil, MIME type ve dosya imzasını kontrol et. PHP, JSP, ASP gibi çalıştırılabilir dosya uzantılarını hiçbir şekilde yüklemeye izin verme. Yüklenen dosyaları web kökünün dışında bir dizine koy ve o dizinde PHP çalıştırılmasını devre dışı bırak. Web sunucunun (Apache, Nginx) ayarlarında yükleme dizininde kod çalıştırma yetkisini kaldır.

Ayrıca sunucuya düzenli olarak web shell taraması yap. Uygulamayı güncel tut, bilinen açıkları kapatıp giriş noktalarını (input validation) sıkılaştır. Log dosyalarını izle ve şüpheli dosya yükleme denemelerini kaydet. Saldırganlar genellikle çalışan shell dosyalarını test etmek için hemen erişmeye çalışacaklarından, anormal HTTP istekleri ve PHP hataları güvenlik sinyali olabilir.

Previdian ağındaki bu aktivite, web uygulamalarının dosya yükleme güvenliğini ne kadar ciddiye almadığını gösteriyor. Hatta basit bir validasyon eksikliği, tüm sunucunun kontrolünü kaybetmeye yol açabiliyor.