مرحله بعد، قطع کردن دسترسی هکر به سیپنل ❌

قبل از هرچیزی از فایروالی که استفاده میکنید استفاده کنید و فقط و فقط آیپی پابلیک خودتون رو داخل allow list قرار بدید و دسترسی ها به پورت های سیپنل:

# WHM/cPanel/Webmail
2082,2083,2086,2087,2095,2096

جهت اطمینان:

find /var/cpanel/sessions -type f -delete
/scripts/restartsrv_cpsrvd

همه سشن های لاگین شده در سیپنل رو کیل کنید
〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️

ssh_key هایی که داخل یوزر ها تنظیم شده (اخیرا اضافه شده) رو حذف کنید و درصورت نیاز ssh key خودتون رو مجددا بزارید تو سرورتون

find /root /home -name authorized_keys -type f -ls
find /root /home -name authorized_keys -type f -mtime -60 -print -exec cat {} \;

Sudoer یوزر های جدید رو چک کنید:

cat /etc/sudoers
ls -la /etc/sudoers.d/
find /etc/sudoers.d -type f -mtime -60 -print -exec cat {} \;

کرون جاب های جدید که ممکنه اضافه شده باشه چک کنید:

crontab -l
ls -la /etc/cron* /var/spool/cron /var/spool/cron/crontabs 2>/dev/null
find /etc/cron* /var/spool/cron* -type f -mtime -60 -print -exec sed -n '1,120p' {} \; 2>/dev/null

system daemon ها رو هم چک کنید:

systemctl list-unit-files --type=service --type=timer
find /etc/systemd/system /usr/lib/systemd/system -type f -mtime -60 -ls
systemctl list-timers --all

〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️
بعد از این که فایل ها و دسترسی ها رو حذف کردید تمامی پسورد ها و apikey هایی که دارید رو rotate کنید (تغییر بدید)

احتمالا safe هستید اگر چیزی پیدا نشد و همه چیز اوکی بود اگر نه هم یوزر ها و دسترسی ها رو حذف کنید. 🙂