Rövid forenzikus összefoglaló – ZseboG.com

Minősítés: kritikus súlyosságú, bizonyított WordPress-kompromittálás
Bizonyosság: nagyon magas
Vizsgált források: 2017-es mentés, kompromittált webállományok, adatbázis-export és szervernaplók

A vizsgálat alapján a ZseboG.com-ot a WordPress 7.0 egyik kritikus sérülékenységén keresztül törték fel. A támadók a REST API batch-végpontjának hibáját és egy SQL-injekciós sebezhetőséget kapcsoltak össze, így bejelentkezés nélkül szerezhettek adminisztrátori jogosultságot és futtathattak kódot a szerveren. A hibát javító WordPress 7.0.2 2026. július 17-én jelent meg, de a webhely a kompromittált pillanatkép elkészítésekor még mindig 7.0 verzión működött.

Bizonyított eseménysor

• Július 18. 16:11:56 CEST: megjelent az első, sérülékenységre jellemző, sikeres HTTP-választ kapó támadás.
• Július 19. 08:42:50: létrejött az első idegen adminisztrátor. Az időpont másodpercre egybeesik egy sikeres exploitfolyamat utolsó kérésével.
• Július 19–24.: összesen 25 támadói adminfiók keletkezett, ID 11–35 között.
• Július 24.: a 103.134.92.114 IP-címről sikeresen beléptek a WordPress adminfelületére, majd egy manipulált Contact Form 7 bővítményt telepítettek.
• A csomag két idegen fájlt tartalmazott: zeroday.php és gckov2.php. Utóbbi működő webshell, vagyis böngészőből kezelhető hátsó ajtó és fájlkezelő volt.
• A webshellt legalább két közvetlen kliens használta. A naplók fájlböngészést és fájlműveleteket bizonyítanak a public_html könyvtárban.
• A webshellen keresztül feltöltötték a google82eab33928e40485.html fájlt, majd sikeresen igazolták a webhelyet a Google Search Console-ban.
• Július 25.: az eredeti, 418 bájtos WordPress index.php helyére egy 886 247 bájtos indonéz szerencsejátékos SEO-oldal került, amely többek között a zsebog.pages.dev címre terelte a forgalmat.
• Július 28.: az egyik támadói admin közzétett egy jogosulatlan angol nyelvű bejegyzést. Emellett hét támadói automatikus vázlat is keletkezett.
• Július 30.: egy másik hitelesített adminmunkamenetből telepítették a WP File Manager 8.0.4 bővítményt, majd további bővítmény- és sablonmódosításokat próbáltak végrehajtani.
• Augusztus 2. kora délután: a tulajdonos észlelte a kompromittálást, majd jelszavas védelemmel izolálta a public_html könyvtárat.

Fő technikai leletek

A public_html/error_log közvetlenül rögzítette az SQL-injekciót és a WordPress REST batch hívási láncát. Az adatbázisban 52, az exploit által létrehozott request és customize_changeset rekord maradt vissza.

A naplóelemzés során 662 támadási mintát hordozó batch-kérést azonosítottunk, amelyek közül 516 HTTP 207 választ kapott. A forgalom több IP-címről és több hullámban érkezett, ezért az incidens inkább automatizált, opportunista internetes támadásnak tűnik, mint személyre szabott akciónak.

A hivatalos checksum-ellenőrzések eredménye:

• a WordPress mag wp-content könyvtáron kívüli 3510 fájlja egyezett a hivatalos verzióval;
• az egyetlen eltérés a lecserélt gyökér-index.php;
• a Contact Form 7 mind a 75 hivatalos fájlja eredeti volt, csak a két idegen hátsóajtó-fájl került melléjük;
• a WP File Manager mind a 914 fájlja hivatalos volt, de a telepítése jogosulatlan;
• az egyedi aktív sablon kódja lényegében változatlan maradt;
• a feltöltési könyvtárakban nem találtunk új vagy módosított PHP-fájlt.

Hatás és korlátok

A támadók bizonyítottan teljes WordPress-adminisztrátori hozzáféréssel és működő webshell-lel rendelkeztek. Így módosíthatták a fájlokat, az adatbázist, a tartalmakat, a bővítményeket és a keresőmotoros beállításokat.

A naplókból nem bizonyítható, hogy teljes adatbázist vagy személyes adatokat töltöttek le, mert a webshell kéréseinek törzse és válaszainak tartalma nem áll rendelkezésre. Az azonban bizonyított, hogy technikailag lehetőségük volt az adatok elérésére.

Végkövetkeztetés

A kompromittálás nem korlátozódott egyetlen módosított kezdőlapra. A 25 idegen adminisztrátor, a webshell, az adatbázis-artefaktumok és a Search Console-hozzáférés miatt a telepítés teljes bizalmi állapota elveszett.

A biztonságos megoldás nem a helyben történő fájltörlés, hanem:

1. új dokumentumgyökér létrehozása;
2. friss, hivatalos WordPress és bővítménycsomagok telepítése;
3. kizárólag ellenőrzött tartalmak és média átemelése;
4. a támadói adminok és adatbázis-artefaktumok eltávolítása;
5. a WordPress-munkamenetek érvénytelenítése;
6. a tárhely-, WordPress-, FTP-, e-mail- és Search Console-hozzáférések felülvizsgálata;
7. a teljes tárhelyfiók, cronfeladatok és kapcsolódó webhelyek ellenőrzése.

Összesített megállapítás: a ZseboG.com-ot nagyon nagy bizonyossággal a javítatlan WordPress 7.0 maghibán keresztül kompromittálták, majd adminisztrátori fiókokkal, webshell-lel és keresőforgalom-eltérítéssel tartósan kihasználták.

Ha már van ChatGPT Plus előfizetésem és itt a DellBook, akkor gyorsan ki is használtam. A kompromittált oldalamról készítettem adatbázis-, szerverlog- és fájlmentéseket, ezeket becsomagoltam, majd Work módban odaadtam a ChatGPT-nek, hogy nézze át őket. Nem gondoltam volna, de majdnem egy órán keresztül dolgozott a vizsgálaton.

Amíg dolgozott, én is kutakodtam a különböző gépeimen, és találtam egy 2017. decemberi teljes mentést az oldalról. Ez nekem igazából tökéletesen megfelelt, mert 2017 áprilisa óta nem került fel új tartalom a blogra.

Sok-sok promptolás után „abban maradtunk”, hogy az adatbázisból eltávolítjuk a 2026. június 1. utáni, kompromittálódás szempontjából gyanús adatokat, és ezek után állítjuk vissza a tartalmakat.

Közben én is gondolkodtam, és néhány szigorítást vezettem be: kikapcsoltam a hozzászólásokat, jó pár plugint nem telepítek újra, és a jövőben több energiát fogok fektetni a biztonságra.

Ja, mondanom sem kell, hogy a tárhelyről minden ki lett takarítva, és kvázi nulláról kezdtem újra a visszaállítást.

A forenzikus ellenőrzéssel párhuzamosan a használt témát is PHP 8.4-kompatibilissé varázsoltuk az AI segítségével. Nem volt zökkenőmentes, de ugye a végeredmény számít! -> Újra működik az oldal!

Teljesen véletlenül ma volt egy kis időm és energiám foglalkozni a weboldallal. A szokásos módon be is léptem, és láttam, hogy van egy csomó frissítés. Elsőre arra gondoltam, hogy magát a WordPresst frissítem fel 7.0.2-re. Rá is nyomtam a frissítések megtekintésére, amikor a Vezérlőpulton megpillantottam egy július 28-ai bejegyzést. Felkaptam a fejem, hogy ez meg mi? 2017 áprilisa óta nem került ki új tartalom az oldalra.

Megnéztem a bejegyzések oldalát, és láttam, hogy egy teljesen ismeretlen szerző készítette és publikálta. Ezután megnéztem a felhasználók listáját, ahol egy rakat adminisztrátori fiókot találtam. Exportáltam minden tartalmat, amiből majd a takarítás után vissza lehet állítani az oldalt.

Gyorsan elindítottam egy virtuális gépet, amin megnéztem a főoldalamat, de helyette egy online játékos oldal jelent meg. Egyből tudtam, hogy baj van! Ezután rányomtam az utolsó bejegyzés megtekintésére, mire egy rakat CMD-ablak villant fel a VM-en. Azonnal nyomtam egy power offot a gépnek, majd visszaállítottam egy korábbi snapshotra.

A cPanel kezelőfelületén lekódoltam a weboldal mappáját, így az oldal már nem tölt be. Időközben a szolgáltató tűzfala blokkolta az itthoni IP-címemet, így a managementfelülethez való hozzáférésem is megszűnt. Mobilinternetről működne a hozzáférés, de nem forszíroztam. Cserébe írtam a hostingcégnek egy levelet arról, hogy mi történt.

Most várom a reakciójukat… (Spoiler: A mai napig semmi…)

Sajnos ismételten eljutottam arra a pontra az életemben, hogy a mindennapi és alkalmi teendők miatt nem volt lehetőségem folyamatában adminisztrálni az elmúlt fél év eseményeit.

A következő pár hét feladati között szerepel, hogy a lehetőségeimhez képest bepótoljam az elmaradásom (bőven van miről írni) és „naprakész” állapotba kerüljön a weboldalam tartalma.

Tegnap este sikeresen elhoztam a motoromat a téli szállásáról, igaz nem volt valami egyszerű feladat…

Miután végeztem a fogászaton fogtam a  már összekészített cuccaimat és elindultunk a családdal nagybátyámhoz. Leporoltam a motort és belekezdtem a gyertyacserébe, de valamiért a gyertyapipát nem tudtam lehúzni a gyertyáról (a pipát is cserélni akartam eredetileg). Hosszas küszködés után hagytam az egészet. Beszereltem az akkumulátort, ami otthon fel lett töltve, de nem indult vele a gépsárkány. Irány fater kocsijához, hogy bebikázzuk. Miközben járatom, melegítem ellenőriztem a lámpákat, de a tompított nem világított,  a reflektor viszont igen. Levettem a lámpát és látom, hogy az izzófoglalat meg van olvadva, égve. Ez lényegében az én saram, mert a 35W-os izzóra tervezett foglalatba 50W-os kínai halogénizzót raktam. Hosszas szenvedés után sikerült az izzó maradványait kiszedni a foglalatból, de az égés miatt a „gyári” izzót nem lehetett beletenni.

Ekkor jutott eszembe, hogy otthon van tartalék foglalatom. Gyorsan beültem a kocsiba és elmentem érte. Otthon meg is találtam a tartalék foglalatot a gyári lámpám mellett. Egy kicsit elgondolkoztam, hogy elvigyem-e magammal, de elvetettem a gondolatot, mert annak idején  nem láttam vele sötétben szinte semmit. Elraktam még a digitális multiméteremet meg pár szerszámot és visszamentem, hogy kicseréljem a foglalatot. Ekkor ért a meglepetés! A foglalat nem volt jó az utángyártott lápámhoz. Nagyon gyorsan elkapott a harci ideg és ott tartottam, hogy felgyújtom a motort, pedig nem tehet semmiről. Egy kis higgadás után elkezdtük a megolvadt foglalatot faragni, hogy bele tudjuk tenni a gyári izzót. Elment egy kis idő eme művelettel, de végül sikerrel jártunk. Mehetett vissza a lámpa a helyére.

Próbálom indítani a mocit, de az önindítót még mindig nem tekeri meg az akkumulátor. Előszedem a multimétert és megnéztem, hogy van-e töltés, de nem volt. Az egészben az a vicc, hogy tavaly tavasszal volt kicserélve a feszültségszabályzóm. Amióta megvan a motor minden tavasszal ezt játszuk, de nem tudok rájönni, hogy miért. Egy hónap múlva úgyis vinnem kell majd műszaki vizsgára és majd akkor (ismét) megnézetem a szervizben.

Miközben (ismét) melegítettem a motort elkezdtem beöltözni (aláöltöző, vesevédő, térdvédő, csősál, motoroskabát, bukó, szemüveg, kesztyű). Első „homályos” utam egy benzinkútra vezetett, ahol gyorsan megszabadultam a szemüvegemtől, mert iszonyatosan párásodott a bukó alatt. Tankolás után irány hazafelé! Félúton elkezdett fázni a kezem, de ez nem volt igazából meglepő, mert nem rendelkezem téli kesztyűvel. Kisebb szenvedés árán, de végre beértünk a fővárosba, ahol a mérsékeltebb tempó miatt már nem fázott annyira a mancsom. Mikor leraktam a motort, akkor szembesültem a ténnyel, hogy 4-6 celsius fok környékén van a hőmérséklet a városban. Ez azt jelenti, hogy városon kívül ennél csak kevesebb volt, de 75-80 km/h-s sebességnél már kb. -6 és -8 fok körül lehetett a hőmérséklet a menetszél miatt. Szóval nem csodálkozom, hogy fázott a kezem. Más testrészemmel nem voltak problémáim, az öltözékem tette a dolgát.

Még ilyen körülmények között is élveztem a motorozást! Nagyon hiányzott már ez a fajta szabadságérzet!

Sajnos a tavalyi évben sikerült kissé elhanyagolnom az oldalam pedig bőven lenne miről mesélni…

Az első autós bejegyzésem folytatása félig kész; írnék életem egyik felejthetetlen élményéről (nem lövöm le a poént); tavaly áprilisi nyaralásunkról egy „élménybeszámolót” összehozni, a szivaros szekcióban is voltak történések

Így első olvasatra nem tűnik soknak a téma, de ha az ember mindig talál valami elfoglaltságot, akkor kissé nehezebben lehet beilleszteni a blogolást a mindennapokba. Erre az évre viszont igyekszem összeszedni magam és mielőbb bepótolni az „elmaradásaim”.

Az elmúlt évben nagyon sokminden történt velem és az oldallal egyaránt…

Magánéletemből pár dolgot, eseményt, gondolatot megosztotam Veletek, de a nagyobbik részét megtartottam magamnak. Remélem emiatt senki sem fog megsértődni rám.

Eredetileg egy statikus oldalra gondoltam. 2009. augusztus 14-én telepítettem a blogmotort tesztelési jeleggel egy könyvtárba. Viszont egy évvel korábban ezen a napon költöztettem át ide, a végleges helyére.

Érdekesség képpen: életem Párját is 13-án ismertem meg… 😉

Sajnos egy kicsit elhanyagoltam oldalam tartalmának bővítését, pedig történtek dolgok rendesen…

Október második fele:
Ősök Å koda Favoritját leadtuk bontóba és vettünk helyette egy ’93-as Ford Escortot. A Å kodára sajnos nagyon sokat kellett volna költeni a közelgő műszaki vizsga miatt. Szerencsére nagyon jó barátoméknak épp volt egy hibátlan Escorjuk, ami mint utólag kiderül nagyon alkalmi vétel volt. Visszatekintve is nagyon megérte.
Régóta vágytam egy bőrözött kormányra a kocsiban, most ez az álmom is teljesült.

November:
Első hétvégéjén volt a Céges kirándulásunk Herceghalmon egy wellness szálodában. Szép, mutatós volt a hely, de mivel egész nap ittunk nem indultunk túl nagy felfedezőútra a komplexumon belül. Megelégedtünk a bárral 🙂
A hónap közepén sikerült hozzájutnom 4 darab alig használt, szinte új nyárigumihoz (Falken ZE912 175/60 R13).
Még november 10-e környékén regisztráltam egy társkereső oldalon, mivel már régóta egyedül voltam és egy aggódó barátom is nyaggatott, hogy ismerkedjek. Fent voltam, nézelődtem, pár embernek néha írogattam, nem voltam túl aktív. Aztán november 29-én megtört a jég… Levelezni kezdtem egy elbűvölő lánnyal!

December:
Hosszas levelezés után 13-án vasárnap végre találkozhattam Vele, a levek ellenállhatatlan, csodálatos szerzőjével és azóta már Párommá lett Hölgyeménnyel!!!
A céges karácsonyi buliba nem mentem, mert egész nap idegbeteg voltam a fáradságtól. A szilvesztert Párommal tölthettem egy barátomék házibulijában.

Egy nehéz évet zártam sikeresen és egy újat kezdhettem boldogságban…

Eredetileg egy könyvtárba telepítettem a blogot, de majd egy hónap után rájöttem: Hülyeséget csináltam!
Ezért az egész WordPress-t újratelepítettem és kezd(hetek)ek mindent „elölről”, ahogy egy viccben is utalnak rá…

„Miért jó hátulról kezdeni a szeretkezést? – Mert, ha elb*szod, kezdheted elölről!”

Sziasztok!

Szeretném kipróbálni a világgal való kapcsolatteremtés eme formáját.
Még „új” vagyok a „blogolás” terén, de remélem sokat tanulhatok.

ZseboG.