Meine Wordpress-Seite wurde gehackt

abamat · **abamat** » 17.08.2016, 16:48 **Meine Wordpress-Seite wurde gehackt**

Hallo,

ich bekam Mitte Juli eine Mail von meinem Provider allinkl, dass es auf meiner Seite www.fb-ho(natürlich-zusammengeschrieben)tels.de einen Virenfund gab.
Ich habe mir die Seite angeschaut und sie sah auch direkt ziemlich zerschossen aus.
Auf meinen Anruf hin wurde mir mitgeteilt, dass sich 2 Mal Menschen aus der Ukraine manuell (also mir richtigem Passwort) eingeloggt haben.
Allimkl hat dann ziemlich direkt eine ich glaube 2 Monate alte Sicherheitskopie aufgespielt, meinten aber, dass es auch im Frühjahr schon mal komische Aktivitäten auf der Seite gab (ich hatte deren Mail damals wohl übersehen).
PAsswort habe ich sofort geändert, Wordpress und Plugins waren zu dem Zeitpunkt aktuell.
Seitdem läuft alles gut, aber ich bin mir unsicher, ob nicht noch irgendwo versteckt auf der Seite irgendein Schadcode installiert ist.

Vom „Google Search Console Team“ bekam ich jetzt wieder eine Nachricht mit Titel „Zunahme von 404“Seiten.
ich kann mir die 404-Seiten anzeigen lassen, und das sind Seiten wie

https://www.fb-ho(natürlich-zusammengeschrieben)tels.de/wp-content/themes/raw/lpyl4/sultaan-jag-ghumeya-video-song.html

also Seiten, die es eigentlich auch gar nicht geben dürfte.
Die 404-Seiten haben alle den selben Pgfad hin zu diesem Ordner …lply4/...
Den gibt es jetzt auch nicht mehr.

Jetzt bin ich aus dem Urlaub zurück, und wollte mal der Frage auf den Grund gehen, ob jetzt wirklich alles gut ist?
Was würdet ihr machen?
Erstmal abwarten, da es seit einem Monat keine Probleme mehr gab?
Irgendwelche besonderen Ordner checken (bin nicht so der Profi).
Danke

heinrich · **heinrich** » 18.08.2016, 00:01 **Meine Wordpress-Seite wurde gehackt**

Um solchen Angriffen vorzubeugen, sollte man alle administrativen Zugriffe auf seine eigene IP beschränken:
Also in die .htaccess hineinschreiben:

Code: Alles auswählen

<Files wp-login.php>
        Order deny,allow
        Deny from all
        Allow from xx.xx.xx.xx
</Files>

Dann ist Ruhe!

Maturn · **Maturn** » 18.08.2016, 00:07 **Meine Wordpress-Seite wurde gehackt**

heinrich hat geschrieben:Um solchen Angriffen vorzubeugen, sollte man alle administrativen Zugriffe auf seine eigene IP beschränken:
Also in die .htaccess hineinschreiben:
Code: Alles auswählen
<Files wp-login.php>
        Order deny,allow
        Deny from all
        Allow from xx.xx.xx.xx
</Files>
Dann ist Ruhe!

Das ist aber auch Blödsinn wenn man wechselnde Ip Adressen hat.

Tja, was hattest du für ein Passwort? Ein ganz einfaches ? Wenn ja dann könnten sie darüber reingekommen sein. Ansonsten hast du irgendeine Sicherheitslücke in irgendeinem Plugin oder Theme die du schleunigst finden solltest.

Hat ALLINKL nur so alte Backups oder haben sie mit Absicht das älteste eingespielt das sie finden konnten?

nerd · **nerd** » 18.08.2016, 07:07 **Meine Wordpress-Seite wurde gehackt**

abamat hat geschrieben: Vom „Google Search Console Team“ bekam ich jetzt wieder eine Nachricht mit Titel „Zunahme von 404“Seiten.
ich kann mir die 404-Seiten anzeigen lassen, und das sind Seiten wie

https://www.fb-ho(natürlich-zusammengeschrieben)tels.de/wp-content/themes/raw/lpyl4/sultaan-jag-ghumeya-video-song.html

Spontan wuerde ich mal annehmen das es sich dabei um spamseiten handelt die vorher von den hackern platziert wurden, und nach aufspielen des backups natuerlich wieder mit geloescht wurden...

abamat · **abamat** » 18.08.2016, 10:44 **Meine Wordpress-Seite wurde gehackt**

nerd hat geschrieben:
abamat hat geschrieben: Vom „Google Search Console Team“ bekam ich jetzt wieder eine Nachricht mit Titel „Zunahme von 404“Seiten.
ich kann mir die 404-Seiten anzeigen lassen, und das sind Seiten wie

https://www.fb-ho(natürlich-zusammengeschrieben)tels.de/wp-content/themes/raw/lpyl4/sultaan-jag-ghumeya-video-song.html
Spontan wuerde ich mal annehmen das es sich dabei um spamseiten handelt die vorher von den hackern platziert wurden, und nach aufspielen des backups natuerlich wieder mit geloescht wurden...

Das ist auch mein Eindruck.
Mein Passwort wäre nicht so leicht zu erraten gewesen, und allinkl meinte, dass nach 10 oder so Fehlversuchen erstmal stop ist, also 10000 Passwörter auf Glück durchprobieren wird auch nicht möglich gewesen sein.

Website und Plugins waren zum Zeitpunkt, als ich das festgestellt habe, aktuell.
Bei allinkl meinten Sie aber, es könnte sein, dass einfach jemand in der Vergangenheit sehr schnell nach Bekanntwerden einer Sicxherheitslücke und vor dem aufspielen des Updates was platziert haben könnte, da sind ja oft einige Stunden dazwichen.

Zugang auf eine IP beschränken geht nicht, da ich viel reise, und oft in unterschiedlichen WLANs unterwegs bin.

Eine Frage ist jetzt, ob es eine nicht allzu komplitzierte Strategie gibt, zu checken, ob noch irgendwo auf meiner Seite was versteckt sitzt, was da nicht sein soll.

Melegrian · **Melegrian** » 18.08.2016, 11:23 **Meine Wordpress-Seite wurde gehackt**

Na ja, alles herunterladen, am besten in eine gesicherte Umgebung, auch Dump von der DB und dann über alles einen Virenscanner laufen lassen. Mit einem Passwort allein ist es nicht getan, denn die Schwachstelle könnte überall sitzen, zu 80% in unsauberen Plugins, die von irgendwoher etwas nachladen. Wenn diese Schwachstelle bisher nicht gefunden wurde, so existiert die weiterhin und Hacker könnten sich erneut Zutritt verschaffen.

Die Schwachstelle kann sich auch in Form von Malware auf einem Rechner befinden, wo dann z.B. Deine Verbindungsdaten für FTP schon bei der Änderung erneut mitgeschnitten werden. Hier ist eine Schritt für Schritt Anleitung; wobei der Link nur funktioniert, wenn er mit copy & paste aufgerufen wird:

Code: Alles auswählen

https&#58;//faq.hosteurope.de/view.php?mode=open_object&content_id=9606

Maturn · **Maturn** » 18.08.2016, 12:03 **Meine Wordpress-Seite wurde gehackt**

Melegrian hat geschrieben:Na ja, alles herunterladen, am besten in eine gesicherte Umgebung, auch Dump von der DB und dann über alles einen Virenscanner laufen lassen.

Ist relativ Sinnlos, selbst extra dafür entwickelte Scripte finden nur in den seltensten Fällen etwas. Und Windows Virenscanner ganz sicher gar nichts.

Sowas findet man nur wenn man weiss wonach man sucht und sich auch mindestens mit PHP auskennt. Ausserdem habe ich die Erfahrung gemacht das mit Vollzugriff auf den Webspace (SSH und Logs) wesentlich schneller die Probleme finden lassen.

Melegrian hat geschrieben:Die Schwachstelle kann sich auch in Form von Malware auf einem Rechner befinden, wo dann z.B. Deine Verbindungsdaten für FTP schon bei der Änderung erneut mitgeschnitten werden.

Das habe ich auch schon mehrfach bei Kunden erleben müssen. Ein total verseuchter rechner der dann aber auch die Mailzugangsdaten rausgetragen hat. sehr beliebt sind auch Filezilla Configs nach denen anscheinend gezielt gesucht wurden.

Melegrian · **Melegrian** » 18.08.2016, 12:52 **Meine Wordpress-Seite wurde gehackt**

Bei solchen Zugriffen nutzen PHP-Kenntnisse allein nicht viel, denn da könnte eine SQL-Injection erfolgt sein und wenn einmal so eine Kompromittierung der Datenbank möglich war und die Schwachstelle nicht geschlossen wurde, ist es auch ein zweites Mal möglich.

https://de.wikipedia.org/wiki/SQL-Injection

abamat · **abamat** » 18.08.2016, 13:14 **Meine Wordpress-Seite wurde gehackt**

Da ich selbst eh kein PHP und MYsql kann: was soll ich tun?
Ich könnte einen Freund fragen der sich auskennt oder jemanden dafür bezahlen, zu checken, ob er noch Viren findet. Aber Deine Beschreibung MAturn klingt so, als ob ich mir auch danach nicht wirklich sicher sein könnte.

Da es kompliziert klingt, und die Seite nicht so riesig ist, ist alles neubauen wahrscheinlich an einem halben TAg für mich gemacht. Das ist Arbeit, die ich slebst , wäre aber möglich, und ich würde es selbst hinbekommen.

Derzeit denke ich: ich hoffe, dass mit dem aufspielen einer alten Sicherheitskopie alle Viren o.ä. gelöscht wurde. Also erstmal nichtstun, und wenn es noch einmal PRobleme gibt, alles neubauen.

Was denkt ihr?

heinrich · **heinrich** » 18.08.2016, 14:00 **Meine Wordpress-Seite wurde gehackt**

Maturn hat geschrieben:Das ist aber auch Blödsinn wenn man wechselnde Ip Adressen hat.

Ja, wechselnde IPs sind der Blödsinn, wenn man ernsthaft ein Internetbusiness betreiben will.
Wenn ich schon im Ausland unterwegs bin, dann geh ich natürlich über einen VPN-Tunnel hinein. Ganz abgesehen davon, dass es mir diese Sicherheit auch bei wechselnden IPs wert wäre, in der .htaccess jeweils die aktuelle Adresse einzusetzen. Das dauert eine Minute!

Maturn · **Maturn** » 18.08.2016, 14:52 **Meine Wordpress-Seite wurde gehackt**

heinrich hat geschrieben:
Maturn hat geschrieben:Das ist aber auch Blödsinn wenn man wechselnde Ip Adressen hat.
Ja, wechselnde IPs sind der Blödsinn, wenn man ernsthaft ein Internetbusiness betreiben will.
Wenn ich schon im Ausland unterwegs bin, dann geh ich natürlich über einen VPN-Tunnel hinein. Ganz abgesehen davon, dass es mir diese Sicherheit auch bei wechselnden IPs wert wäre, in der .htaccess jeweils die aktuelle Adresse einzusetzen. Das dauert eine Minute!

O mein Gott, du hast Recht. Es ist ein Wunder das ich in den letzten 15 Jahren nicht verhungert bin bei dem eklatanten Fehler den ich begangen habe nämlich an einer Leitung zu arbeiten mit Wechselnden IP-Adressen.

Es fallen mir nur 2 Szenarien ein in denen es sinnvoll ist eine eigene feste IP bei seinem Internetprovider zu haben (eine davon ist die Unsitte eigene Mailserver zu betreiben an einer Dsl Leitung) und die andere solche Zugriffsmechanismen. Als Kontrast dazu fallen mir aber mehrere Dutzend Argumente ein die es sinnvoll machen die IP Adresse auch mal ändern zu können ohne gleich nen VPN aufzusetzen.

Das Eintragen in die HTACCESS jedesmal wenn man sich in ein Backend einloggen will ist mehr als GAGA und würde das Konzept eines Backends das von überall bedienbar sein soll mehr als konterkarieren. Nur auf den wenigstens Rechnern wird man eine Möglichkeit zur Verfügung haben um das mal schnell ändern zu können.

Man könnte sich ein Script schreiben das den Eintrag einfach ändert wenn man XY aufruft eine Art Port Knocking light. Ob das sinnvoll ist mag ich bezweifeln. Ich fahre mit Fail2ban mehr als gut, alles über 5 Fehlversuche fliegt. Vorteil: man kann noch andere Sachen damit abdecken wie Zugriffsversuche über xmlrpc(die wesentlich häufiger aufschlagen als über das Loginformular)

Melegrian hat geschrieben:Bei solchen Zugriffen nutzen PHP-Kenntnisse allein nicht viel, denn da könnte eine SQL-Injection erfolgt sein und wenn einmal so eine Kompromittierung der Datenbank möglich war und die Schwachstelle nicht geschlossen wurde, ist es auch ein zweites Mal möglich.

https://de.wikipedia.org/wiki/SQL-Injection

Also erstmal gehe ich davon aus das jeder der sich mit PHP beschäftigt zumindest auch Grundkenntnisse in MYSQL sammelt, aber davon abgesehen davon ist dein Argument Murks. Du setzt ne SQL Injection niemals direkt an die Datenbank ab sondern nimmst immer den Weg über die verwendete Scriptsprache. Sicherlich ist es nötig zu verstehen wie die Injections funktionieren aber der Fehler liegt immer im Script und nicht bei SQL

Melegrian · **Melegrian** » 18.08.2016, 18:18 **Meine Wordpress-Seite wurde gehackt**

Maturn hat geschrieben:Also erstmal gehe ich davon aus das jeder der sich mit PHP beschäftigt zumindest auch Grundkenntnisse in MYSQL sammelt, aber davon abgesehen davon ist dein Argument Murks. Du setzt ne SQL Injection niemals direkt an die Datenbank ab sondern nimmst immer den Weg über die verwendete Scriptsprache.

Und Du kannst nicht richtig lesen, denn ich habe nicht geschrieben, dass dafür keine PHP-Kenntnisse erforderlich wären, sondern dass diese allein nicht genügen würden.

heinrich · **heinrich** » 18.08.2016, 20:59 **Meine Wordpress-Seite wurde gehackt**

Maturn hat geschrieben:O mein Gott, du hast Recht. Es ist ein Wunder das ich in den letzten 15 Jahren nicht verhungert bin bei dem eklatanten Fehler den ich begangen habe nämlich an einer Leitung zu arbeiten mit Wechselnden IP-Adressen.

Wer redet von fixer IP-Adresse bei seinem Internetprovider?
Ich rede von meinem ganz normalen Telefonanschluss zu Hause, der natürlich seit zehn Jahren eine fixe IP-Adresse hat, denn wie sollte sonst VOIP funktionieren? Jetzt ein 100 MBit Anschluss.

Maturn · **Maturn** » 20.08.2016, 12:53 **Meine Wordpress-Seite wurde gehackt**

heinrich hat geschrieben: Wer redet von fixer IP-Adresse bei seinem Internetprovider?
Ich rede von meinem ganz normalen Telefonanschluss zu Hause, der natürlich seit zehn Jahren eine fixe IP-Adresse hat, denn wie sollte sonst VOIP funktionieren? Jetzt ein 100 MBit Anschluss.

Das ist eine Dynamische Adresse, zumindest bei Telekom und Co. Für Fixe musst du extra bezahlen. Nach einer gewissen Zeit kriegst du eine neue Zugewiesen. Früher war das alle 24std und heutzutage sind die Abstände wesentlich größer.

Bei Kabel Deutschland ist sie glaube ich Fix mittlerweile!?

Voip Funktioniert indem sich das nach einer Trennung wieder mit der neuen IP bei dem Provider anmeldet.