PHP 2 Shell Nedir? Web Güvenliği ve Analiz Rehberi

PHP 2 Shell, siber saldırganların sunucu üzerinde yetkisiz komut çalıştırmak, dosya sistemine erişmek ve veritabanını ele geçirmek amacıyla hedef web sitelerine yüklediği zararlı bir web shell (web kabuğu) kodudur. Genellikle çift uzantı (dosya.php.png) veya kod gizleme (obfuscation) teknikleriyle güvenlik duvarlarını aşan bu betikler, uzak sunucuda komut çalıştırma (RCE) yetkisi vererek sistem hiyerarşisinde tam denetim sağlar.

PHP 2 Shell Nedir ve Çalışma Mantığı Nasıl İşler?

Web uygulama güvenliği literatüründe web shell kavramı, sunucu taraflı çalışan betiklerin (PHP, ASPX, JSP) kötüye kullanılmasıyla ortaya çıkar. PHP 2 Shell terimi ise yaygın olarak iki farklı teknik senaryoyu ifade eder: İki aşamalı (stager) yükleme mekanizmaları veya çift uzantı bypass (PHP2, PHP5, PHTML) yöntemleri. Saldırganlar, sunucudaki bir dosya yükleme (upload) zafiyetini veya Remote File Inclusion (RFI) açıklarını kullanarak bu kodları hedef sisteme aktarır.

Sunucuya başarıyla yüklenen bir PHP 2 Shell, HTTP istekleri üzerinden aldığı komutları işletim sistemi çekirdeğine iletir. PHP'nin yerleşik işlevleri olan system(), exec(), shell_exec() ve passthru() gibi fonksiyonları çağırarak sunucuda yerel bir kullanıcı gibi hareket eder. Bu durum, arka planda web sunucusu kullanıcısının (örneğin www-data veya nobody) sahip olduğu tüm yetkilerin saldırganın eline geçmesine neden olur.

İki Aşamalı (Stager) Shell Mimarisi

Gelişmiş saldırılarda tek parça büyük bir shell yüklemek yerine iki aşamalı bir yapı tercih edilir. İlk aşamada (Stage 1) oldukça küçük ve tespit edilmesi zor bir kod parçacığı sunucuya sızdırılır. Bu küçük kod, ikinci aşamada (Stage 2) asıl tahrip gücü yüksek olan geniş kapsamlı web shell kodunu uzak bir sunucudan çeker. PHP 2 Shell kavramının temelinde bu iki kademeli çalıştırma mantığı yatar.

Kod Gizleme (Obfuscation) ve Bypass Yöntemleri

Klasik Web Uygulama Duvarları (WAF) ve antivirüs yazılımları bilinen zararlı fonksiyonları tarar. Saldırganlar bu engelleri aşmak için PHP 2 Shell kodlarında çeşitli gizleme yöntemlerine başvurur:

• Base64 ve Hex Kodlama: Zararlı komut dizilimleri karmaşık karakter zincirlerine dönüştürülerek statik kod tarayıcılardan saklanır.
• Dinamik Fonksiyon Çağrıları: $a = 'sys'.'tem'; $a('ls'); şeklinde ifadelerle doğrudan kelime eşleşmesi engellenir.
• Dize Ters Çevirme ve Karma Sıkıştırma: gzuncompress() ve str_rot13() gibi fonksiyonlar üst üste kullanılarak kod okunmaz hale getirilir.

Uzman İpucu: Sunucunuzdaki PHP yapılandırma dosyasında (php.ini) tehlikeli fonksiyonları devre dışı bırakmak, shell kodlarının çalışmasını %90 oranında engeller. disable_functions = exec, passthru, shell_exec, system, proc_open, popen, curl_exec, curl_multi_exec, parse_ini_file, show_source kuralını mutlaka uygulayın.

PHP 2 Shell Sunucuya Nasıl Sızar?

Siber saldırganların bir web sitesine zararlı betik yüklemek için kullandığı belirli vektörler bulunmaktadır. Bu zafiyetlerin anlaşılması, savunma hattının doğru kurulması için kritik önem taşır.

1. Güvensiz Dosya Yükleme (Unrestricted File Upload) Formları

Kullanıcıların profil fotoğrafı, CV veya belge yüklemesine izin veren alanlarda yeterli içerik ve uzantı kontrolü yapılmadığında risk doğar. Saldırganlar, MIME türü doğrulamasını yanıltarak veya shell.php.png, shell.php2 gibi çift uzantılı dosyalar yükleyerek sunucu kontrolünü eline alır.

2. İçerik Yönetim Sistemi (CMS) Zafiyetleri

WordPress, Joomla veya Drupal gibi popüler platformlarda kullanılan güncellenmemiş eklentiler ve temalar en büyük sızma kaynağıdır. Özellikle kaynağı belirsiz, korsan (nulled) eklentiler içerisine önceden yerleştirilmiş backdoor (arka kapı) kodları doğrudan PHP 2 Shell kurulumuna zemin hazırlar. Sitenizin yavaşlaması veya aniden kaynak tüketiminin artması bu tür bir sızmanın işareti olabilir. Benzer şekilde, web sitenizde yaşanan genel performans düşüşleri için Wordpress sitem neden yavaş açılıyor hususunu incelemek, arka planda çalışan zararlı kaynak tüketimlerini tespit etmenize yardımcı olur.

3. SQL Injection (SQLi) ve Arbitrary File Write

Bir web uygulamasındaki SQL enjeksiyonu zafiyeti, veritabanı kullanıcısının yetkilerine bağlı olarak sunucuya dosya yazılmasına izin verebilir. INTO OUTFILE komutu kullanılarak web dizinine doğrudan bir PHP 2 Shell dosyası yazdırılabilir.

PHP 2 Shell Tespit ve Tahlil Yöntemleri

Bir sunucuya web shell sızdığından şüphelenildiğinde zaman kaybetmeden olay müdahale (incident response) adımları devreye sokulmalıdır. Tespit işlemi hem statik dosya analizi hem de dinamik trafik analizi ile gerçekleştirilir.

1. Komut Satırı İle Statik Dosya Taraması: SSH üzerinden sunucu dizinlerinde zararlı PHP fonksiyonlarını aramak için grep komutlarından yararlanın.
2. Dosya Değişiklik Zaman Dilimi (Timeline) İncelemesi: Son 24 veya 48 saat içinde değiştirilen PHP dosyalarını listeleyerek yetkisiz müdahaleleri saptayın.
3. Erişim Loglarının (Access Logs) Analizi: HTTP 200 OK yanıtı dönen ve parametrelerinde şüpheli ifadeler barındıran POST isteklerini inceleyin.
4. Bütünlük Doğrulaması (Integrity Check): Çekirdek CMS dosyalarının orijinal MD5/SHA256 karma değerleri ile mevcut dosyaları karşılaştırın.

Aşağıdaki komut örneği, Linux sunucularda web dizini altında gizlenmiş potansiyel tehlikeli fonksiyonları tespit etmek için kullanılır:

find /var/www/html/ -type f -name "*.php" -exec grep -iHn "base64_decode\|eval\|shell_exec\|passthru\|system" {} +

Zararlı Shell Kodlarından Korunma ve Temizleme Adımları

Web sitenizi PHP 2 Shell ve türevi zararlı yazılımlardan temizlemek ve gelecekteki saldırılara karşı sertleştirmek için katmanlı güvenlik yaklaşımı benimsenmelidir.

Sistemin Güvenliğe Alınması ve Temizlik

Enfeksiyon tespit edildiğinde ilk adım, etkilenen web sitesini bakım moduna almak ve veritabanı dahil tam bir yedek almaktır. Ardından tüm CMS çekirdek dosyaları, temalar ve eklentiler resmi kaynaklardan indirilerek sıfırdan yüklenmelidir. Yükleme klasörleri (uploads) içinde bulunan tüm .php uzantılı dosyalar silinmelidir. Görsel dizinlerinde PHP kodlarının çalışması kesinlikle engellenmelidir.

Nginx ve Apache Güvenlik Yapılandırması

Yükleme dizinlerinde PHP çalıştırılmasını engellemek, shell saldırılarını büyük oranda etkisiz hale getirir. Apache sunucular için .htaccess dosyasına aşağıdaki kurallar eklenmelidir:

<Directory "/var/www/html/wp-content/uploads">
    <FilesMatch "\.(php|php2|php3|php4|php5|phtml|pl|py|jsp|asp|htm|html)$">
        Order allow,deny
        Deny from all
    </FilesMatch>
</Directory>

Nginx sunucular için ise ilgili location bloğunda PHP çalışması engellenmelidir:

location ~* ^/uploads/.*\.(php|php2|phtml)$ {
    deny all;
    return 403;
}

Önemli Uyarı: Dosya izinlerini (Chmod) doğru ayarlamak kritik öneme sahiptir. Klasörler için 755, dosyalar için 644 izin standardı uygulanmalı, hiçbir klasöre 777 yetkisi verilmemelidir.