ANTID00T

Detects known-vulnerable extensions by their real on-disk names — these vary per lab (SPPB ships as com_sppagebuilder + plugins/system/sppagebuilderliteupdater, OrdaSoft hides under cck_system / editor_cck_button, Backup Migration's WP slug is backup-backup…). Also finds ANTID00T uploader droplets (deep whole-site scan: assets_*.php / core_*.php / up*.php / uploader*.php / p2s*.php / bare-hex names / *.php.b64 + .php.json / .php.txt tarzı çift-uzantı varyantları + content signature + eklenti ağaçları dışındaki move_uploaded_file+$_FILES uploader çifti + PBCK .shtml SSI bridges) and malware (webshell scan — ALFA / WSO / b374k / IndoXploit / AnonymousFox / mass-mailer aileleri + katmanlı kod çözme; HIGH = aile imzası ya da skor ≥ 11). Eklentiler ASLA silinmez/taşınmaz (v3 cerrahi politika): Patch, güvenlik açığı taşıyan uç dosyalarının içindeki tehlikeli çağrıları (upload/yazma/exec/eval) yerinde nötralize eder — dosya, sınıflar ve eklenti aynen kalır, sitenin ana işleyişi bozulmaz; orijinal içerik <dosya>.fmbak yedeğine alınır (geri alma: mv dosya.fmbak dosya). Droplet'ler ve HIGH webshell'ler silinir; MED şüpheliler yalnız listelenir. Arka plan otomatik temizliği: bu sayfa her açıldığında (180 sn'de bir, kilitli) droplet'ler + aile imzalı webshell'ler + hot uçların cerrahi yaması kendiliğinden yapılır — günlük: .fm-clean.log. Bu aracın kendisi, ikiz/relocate kopyaları ve FM işaretli dosyalar her aşamada korunur. DB: lists Joomla/WP users — poc_*/p2s* accounts arrive pre-checked. Core hardening: Joomla 3 eval() sites get parse-safe rewrites, J3.4.4-3.6.3 registration gets a group-injection guard (CVE-2016-8869/8870) and J4-J5.4.5/6.0-6.1 API group controller gets the core.admin checks (CVE-2026-48904).

PHP malware scan — signature based, layered decode (base64 / gzinflate / rot13 / hex / uu). Scans the whole hosting root recursively in small time-sliced steps, so large installations never die with a timeout.
Review the list before deleting anything.

Kernel sürümü (uname) tespit edilir. Sürüm eskiyse veya bilinen yerel yetki yükseltme (privesc) CVE aralıklarına düşüyorsa kırmızı flag 🚩 ile "bu kernel'da post-exploit kritik yetki yükseltme güvenlik açıkları var" uyarısı CVE numaralarıyla listelenir. Aralıklar mainline'dır — dağıtım backportları gerçek yama seviyesini gizleyebilir.

"Kendini hangi dizine attı?" — bu aracın TÜM kopyalarını bulur: relocate hedef dizinlerini (plugins/system, libraries, media, images, plugins, modules, tmp, cache, logs, templates, site kökü) bu site ve kardeş lablarda tarar, her kopyanın URL + sunucu yolunu listeler. Orijinal dosya zaten silinmez; kopyayı kaybedersen buradan bul.