# Sib fajls mibdula riċentement fuq is-server tal-web

> Sib fajls mibdula fuq Linux: perjodu b'find, interpreta mtime u ctime sew, qabbel ma' pakketti u backups u aħbi allarmi foloz.

Sors: https://phpsos.de/mt/blog/geaenderte-dateien-finden/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Fajls mibdula taħt Linux issibhom b'`find` u perjodu ta' żmien, pereżempju mis-17 ta' Ottubru 2026, l-ewwel tentattiv ta' attakk osservat fuq PHP2Shell skont rapporti tal-midja. Iċċekkja mhux biss il-ħin tal-bidla tal-kontenut (mtime), imma wkoll dak tal-metadata (ctime), għax l-ewwel jista' jiġi falsifikat faċilment. Ir-riżultat isir affidabbli biss permezz tat-tqabbil ma' checksums tal-pakketti, Git jew backup.

## Għaliex it-timestamps huma bidu tajjeb, imma mhux prova

Min iġib kodiċi fuq server jibdel fajls. Webshells ġodda, fajls tal-konfigurazzjoni adattati, linji miżjuda fi skripts eżistenti: dan kollu jħalli timestamps. It-tiftix ta' bidliet fil-perjodu t-tajjeb huwa għalhekk wieħed mill-aktar modi mgħaġġla għall-ewwel sejbiet.

Għal PHP2Shell jaqbel li l-perjodu jibda fis-17 ta' Ottubru 2026, il-jum tal-ewwel tentattiv ta' attakk osservat skont rapporti tal-midja. Il-patches dehru fil-21 ta' Ottubru. Min aġġorna s-server tiegħu biss wara, jfittex sal-jum tal-aġġornament proprju u lil hinn. Kif tagħraf webshells fost is-sejbiet jiddeskrivih [Agħraf u neħħi webshell](https://phpsos.de/mt/ratgeber/webshell-erkennen/). Hawnhekk titratta l-metodu tat-tiftix innifsu.

## It-tliet timestamps ta' fajl

Linux jaħżen għal kull fajl diversi mumenti. Għat-tiftix ta' bidliet tnejn huma deċiżivi.

| Timestamp | Tifsira | Jista' jiġi falsifikat? |
|---|---|---|
| mtime | l-aħħar bidla tal-kontenut | iva, pereżempju b'`touch`, minn kull min jista' jikteb il-fajl |
| ctime | l-aħħar bidla tal-kontenut jew tal-metadata bħad-drittijiet | mhux b'mezzi sempliċi |
| atime | l-aħħar aċċess tal-qari | spiss diżattivat jew mhux eżatt, ftit tajjeb għat-tiftix |

L-attakkanti jħobbu jibdlu l-mtime lura għad-data tal-fajls ġirien, biex fajl ġdid ma jaqbadx l-għajn. Il-ctime, madankollu, jinbidel magħha. Fajl b'mtime qadim u ctime frisk huwa għalhekk indikazzjoni qawwija ta' manipulazzjoni.

Oqgħod attent għaż-żoni tal-ħin fit-tqabbil. `find` u `ls` juru l-ħin lokali tas-server, ħafna fajls tal-log u servizzi, min-naħa l-oħra, jaħdmu f'UTC. Min iqiegħed ħdejn xulxin sejbiet mis-sistema tal-fajls u mil-logs għandu jikkonverti l-indikazzjonijiet kollha fl-istess żona tal-ħin, inkella l-avvenimenti jidhru li ma jaqblux. Il-patches dehru madwar il-21 ta' Ottubru fl-14:00 UTC, jiġifieri fis-16:00 ħin Ġermaniż.

## Sib fajls mibdula taħt Linux b'find

Il-kmandi kollha jaqraw biss. Adatta l-mogħdija u d-data.

```bash
# Kontenut mibdul mis-17.10.2026, ordnat, b'mtime, ctime u sid
find /var/www -type f -newermt "2026-10-17" -printf '%TY-%Tm-%Td %TH:%TM  %CY-%Cm-%Cd %CH:%CM  %u  %p\n' | sort

# Metadata mibdula mis-17.10.2026 (isib ukoll fajls b'data mmuntata lura)
find /var/www -type f -newerct "2026-10-17" -printf '%C+  %T+  %p\n' | sort

# Aħbi storbju magħruf: cache, logs, sessions
find /var/www -type f -newerct "2026-10-17" \
  -not -path "*/cache/*" -not -path "*/logs/*" -not -path "*/sessions/*" -printf '%C+  %p\n' | sort

# Ħares ukoll barra mid-direttorju tal-web
find /etc /usr/local/bin /tmp /var/tmp /dev/shm -xdev -type f -newerct "2026-10-17" -printf '%C+  %p\n' 2>/dev/null | sort
```

F'kull riżultat qabbel iż-żewġ timestamps. Jekk il-ctime hija ferm aktar riċenti mill-mtime, u ħadd f'dan iż-żmien ma biddel drittijiet jew ikkopja fajls, il-fajl jappartjeni fuq il-lista. Oqgħod attent ukoll għas-sid: fajl tal-utent tas-server tal-web fost fajls tal-utent tad-deployment jaqbad l-għajn.

Tinsix fajls u direttorji moħbija. Ismijiet li jibdew b'punt ħafna maniġers tal-fajls u `ls` sempliċi ma juruhomx. L-attakkanti jużawh bi pjaċir, bħalma jużaw ismijiet li jixbhu ħafna fajls veri.

```bash
# Fajls u folders moħbija fid-direttorju tal-web, mingħajr dawk magħrufa bħal .htaccess u .git
find /var/www -name ".*" -not -name ".htaccess" -not -name ".well-known" -not -path "*/.git/*" -printf '%C+  %u  %p\n' | sort
```

## Qabbel ma' sors fdat

It-timestamps juru fejn xi ħaġa tmexxiet. Jekk kienet bidla leġittima turi biss it-tqabbil ma' sors li tafda.

1. **Amministratur tal-pakketti:** Għal fajls tas-sistema `dpkg --verify` (Debian/Ubuntu) jew `rpm -Va` (familja RHEL) jivverifikaw il-fajls kontra l-checksums tal-pakketti installati. Fajls tal-konfigurazzjoni jiddevjaw leġittimament, fajls tal-programmi le.
2. **Git:** Jekk l-applikazzjoni tinsab f'repository, `git -C /var/www/projekt status --porcelain` juri kull devjazzjoni mill-aħħar commit.
3. **Checksums tas-CMS:** Ħafna sistemi jistgħu jqabblu l-fajls ewlenin tagħhom mal-checksums uffiċjali, ara [Qabbel il-fajls ewlenin tas-CMS mal-oriġinal](https://phpsos.de/mt/blog/cms-kerndateien-vergleichen/).
4. **Backup minn qabel l-inċident:** Tqabbil f'tmexxija ta' prova jelenka d-differenzi mingħajr ma jikkopja xejn.

```bash
# Elenka biss id-differenzi bejn l-istat tal-backup u s-sistema live (tmexxija ta' prova, ma jikkopja xejn)
rsync -rcn --out-format="%n" /backup/www-2026-10-15/ /var/www/
```

It-tqabbil tal-backup jippreżupponi li l-backup inħoloq qabel l-inċident u ma ġiex mibdul hu stess. Għaliex sigurtajiet miżmuma separatament huma deċiżivi hawnhekk tispjegah [Backups skont ir-regola 3-2-1](https://phpsos.de/mt/ratgeber/backups-3-2-1/).

> **Suġġeriment:**
> Aħżen ir-riżultati ta' kull tiftix bid-data f'fajl barra mis-server. Minn dawn il-listi aktar tard tinħoloq l-iskeda taż-żmien tal-inċident, u jippruvaw x'iċċekkjajt u meta.

## Meta ma hemm la backup u lanqas repository

F'ħafna websajts iżgħar ma teżisti l-ebda bażi nadifa ta' tqabbil: l-ebda Git, l-ebda backup minn qabel l-inċident, plugins aġġornati bl-id għal snin. Mhux għalkollox mingħajr punt ta' riferiment xorta waħda.

Niżżel is-CMS u l-estensjonijiet eżattament fil-verżjonijiet installati mingħand il-manifattur u qabbel dawn il-fajls mas-server. Dak li jiddevja hemmhekk jew jonqos jixraqlu ħarsa. Jibqgħu l-adattamenti proprji tiegħek, l-uploads u l-konfigurazzjoni; hemmhekk jgħin it-tiftix b'timestamps, mżejjen b'ħarsa lejn is-sid u d-drittijiet. Fajls li huma l-uniċi f'direttorju b'grupp differenti, drittijiet differenti jew ctime ferm iktar riċenti mill-ġirien tagħhom jappartjenu fuq il-lista.

B'mod onest: mingħajr bażi ta' tqabbil tibqa' inċertezza residwa. F'sistemi b'data sensittiva bini mill-ġdid minn sorsi nodfa spiss huwa iktar affidabbli milli tfittex kull fajl mibdul individwali. Għall-futur it-tagħlim huwa sempliċi: repository għall-kodiċi u backups regolari miżmuma separatament.

## Sorsi tipiċi ta' żbalji fit-tiftix

- **Esklużjonijiet ġenerużi wisq:** Folders tal-cache u tal-upload huma moħbijiet favoriti.
- **Iċċekkjat biss mtime:** Fajls b'data mmuntata lura jaħarbu.
- **Deployment fil-perjodu:** Rollout regolari jibdel mijiet ta' fajls u jgħatti sejbiet individwali. Qabbel mar-repository.
- **Fajls diġà miftuħa jew ikkupjati:** Kopji mingħajr ma jinżammu t-timestamps jeqirdu t-traċċi. Salva b'għodod li jżommu t-timestamps.
- **Fittixt biss fid-direttorju tal-web:** L-attakkanti jpoġġu għodod ukoll f'`/tmp`, `/dev/shm` jew fid-direttorju home tal-utent tas-server tal-web.
- **Bidliet fid-drittijiet li għaddew:** Fajl li d-drittijiet tiegħu fl-għarrieda jippermettu kitba lil kulħadd huwa sejba, anke jekk il-kontenut tiegħu ma nbidilx.

Kif is-sejbiet jinġabru f'sekwenza turi [Oħloq l-iskeda taż-żmien ta' inċident](https://phpsos.de/mt/blog/zeitleiste-eines-vorfalls/).

## Kif tgħin PHP SOS b'mod konkret?

- **Infittxu b'mod sistematiku:** Infittxu fid-direttorji tal-web u fil-mogħdijiet tas-sistema bidliet fil-perjodu rilevanti u nevalwaw mtime u ctime flimkien.
- **Niċċekkjaw kontra l-oriġinali:** Inqabblu ma' pakketti, repository, checksums tas-CMS u l-backups tagħkom.
- **Nivvalutaw is-sejbiet:** Nifirdu bidliet regolari minn manipulazzjonijiet u nsalvaw provi.
- **Intnaddfu:** Bit-[Tneħħija tal-malware](https://phpsos.de/mt/leistungen/malware-entfernung/) nistabbilixxu stat nadif u niddokumentawh.


## Mistoqsijiet frekwenti

**Kif insib il-fajls kollha mibdula minn data speċifika?**  
B'find u l-għażla -newermt, pereżempju find /var/www -type f -newermt "2026-10-17". Għal bidliet fil-metadata uża -newerct. Iż-żewġ kmandi jaqraw biss u ma jbiddlu xejn.

**X'inhi d-differenza bejn mtime u ctime?**  
mtime huwa l-mument tal-aħħar bidla tal-kontenut u jista' jiġi mmuntat lura b'mezzi sempliċi. ctime huwa l-mument tal-aħħar bidla fil-kontenut jew fil-metadata u ma jistax jiġi falsifikat daqshekk faċilment. Jekk it-tnejn ivarjaw ħafna minn xulxin, jixraq li tħares mill-qrib.

**Kif nneħħi fajls tal-cache mit-tiftix?**  
B'-not -path għal folders magħrufa tal-cache, tal-logs u tas-sessions. Tneħħix wisq b'mod ġeneruż, għax l-attakkanti jħobbu jpoġġu fajls eżattament fejn ħafna bidliet huma normali.

**Liema verifika hija l-aktar affidabbli?**  
It-tqabbil ma' sors fdat: checksums tal-amministratur tal-pakketti, repository ta' Git jew backup minn qabel l-inċident. It-timestamps huma bidu tajjeb, imma mhux prova.

## Sorsi

- [BSI: Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni](https://www.bsi.bund.de/)
- [Debian Security Tracker](https://security-tracker.debian.org/)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)