WordPress DK Forum

1. 

   TJK
   

   Juniormedlem
   Joined: jan '15
   Posts:

   Reputation:

    

   Jeg har i den seneste måneds tid oplevet utallige angreb på to af mine sites. htaccess ændres/overskrives med et redirect til en spamside.

   Når jeg går ind og uploader originalen, går der mellem ½ - 1 time, så er den overskrevet igen. Og det sker efterhånden med kortere og kortere mellemrum.

   Jeg har forsøgt ALT. slettet alt, og installeret påny, men ligemeget hjælper det. Jeg kan ikke finde noget i koden, og har prøvet adskillige friske installationer, uden held. Der er tilmed tale om to sites som ligger på to forskellige hosts.

   Så kender du en stensikker metode til at scanne/undersøge et site for malware?, eller er du/kender du en person som kan finde frem til det snavs, så skriv endelig.

   På forhånd tak :)

   PS. Det mærkelige er, at det er en dansk side som der redirectes til, og jeg kan slå ejeren op på dk-hostmaster. Ved dog ikke om jeg kan bruge det til noget, da han måske er helt uvidende om dette.

   Skrevet 11 years siden #
2. 

   stffn
   

   Admin
   Joined: feb '09
   Posts:

   Reputation:

    

   Og du husker at du også skal skifte password til FTP og MySql mm. Ikke kun til WordPress?

   Skrevet 11 years siden #
3. 

   jensnyhavn
   

   Supermedlem
   Joined: jan '12
   Posts:

   Reputation:

    

   Ja synes jeg hører om flere og flere hacket sider. Har selv haft store problemer og har skrevet noget her som du måske kan bruge. Jeg tænker her på om du har undersøgt databasen og udskiftet secret key sectionen i wp-config.

   Du efterlyser en "stensikker metode". Hvis du finder en så post gerne et link.

   http://danwp.dk/rense-wp-for-snavs/

   http://danwp.dk/

   Skrevet 11 years siden #
4. 

   jensnyhavn
   

   Supermedlem
   Joined: jan '12
   Posts:

   Reputation:

    

   PS lige en vild tanke. Du skriver

   htaccess ændres/overskrives med et redirect til en spamside.

   Hvis der bliver skrevet i den eksisterende fil kunne man måske lave fil tilladelsen om til "kun læse".

   Som nævnt kun en tanke - har ikke prøvet det

   Skrevet 11 years siden #
5. 

   TJK
   

   Juniormedlem
   Joined: jan '15
   Posts:

   Reputation:

    

   Tak for svar. Jeg vil prøve at gennemgå mine databaser mere omhyggeligt. Det er vidst det eneste jeg mangler. Har også prøvet ændre tilladelser på htaccess, uden resultat.

   Jeg må arbejde videre. Og skal nok følge op, hvis jeg finder løsningen.

   Skrevet 11 years siden #
6. 

   jensnyhavn
   

   Supermedlem
   Joined: jan '12
   Posts:

   Reputation:

    

   Jeg er meget interesseret i dette emne. Det du oplever er åbenbart at din htcaccess bliver udskiftet med en hvor der er en redirect. Men der må ligge en fil eller et eller andet i databasen der gør at dette sker. Mystisk for mig hvordan det er lavet.

   Jeg fandt lige dette ved en googlesøgning og der er sikkert mange andre gode tips som du kan afprøve (du kan tilsyneladende se umiddelbart om det har virkning).

   http://premium.wpmudev.org/blog/5-simple-htaccess-tips-to-tighten-your-sites-security/

   Skrevet 11 years siden #
7. 

   TJK
   

   Juniormedlem
   Joined: jan '15
   Posts:

   Reputation:

    

   Ja, det er virkelig mystisk. Jeg oplever også i nogle tilfælde, at der bliver lagt en htaccess ind i den mappe hvor wp-installationen ligger (min index.php ligger udenfor). I disse tilfælde ligger min egen htacces også udenfor mappen - og den ændres ikke.

   Jeg har kørt mine sites gennem Sucuri sitecheck - og de fandt intet.

   Det hele startede i øvrigt med, at der blev ændret i min header.php og en kode blev lagt ind som bad de besøgende om at udfylde diverse spørgeskemaer for at få adgang. Dette kørte på i et par uger, hvorefter de så kastede sig over htaccess.

   Forleden sad jeg i en stiv time og uploadede mine originale htaccess'es hvert andet minut, og efter det angreb, var flere af mine wp-filer blevet slettet.

   Det positive er dog, at det har givet mig et indblik i hvad hackeren egentlig KAN. Og selvom det selvfølgelig er skideirriterende, så kan jeg dog regne ud, at de ikke er i stand til at ødelægge særligt meget (som ikke hurtigt kan genoprettes). Ja, de kan slette filer, men ikke uden at 'arbejde' for det.

   Men jeg kan da godt frygte, at de finder en skrappere metode næste gang.

   Jeg har nu sendt en mail til ejeren af domænet som der redirectes til. Det kunne jo være, at det var en lidt for smart ung mand, som har fået en 'god idé' til hvordan man kan tjene penge på nettet.

   Skrevet 11 years siden #
8. 

   jmorten
   

   Supermedlem
   Joined: okt '11
   Posts:

   Reputation:

    

   Lige et forsigtigt spørgsmål, hvis du har wordfence installeret så burde du kunne se hvor angrebet kommer fra, eller hvad.
   Jeg følger med her da jeg hver dag stopper nogle angreb og de får måske held til at komme igennem på et tidspunkt.

   Rigtige mænd tager ikke backup, de græder.

   Skrevet 11 years siden #
9. 

   TJK
   

   Juniormedlem
   Joined: jan '15
   Posts:

   Reputation:

    

   Godt spørgsmål :) Jeg har ikke Wordfence installeret. Har haft det kørende, men syntes ikke jeg fik det store ud af det - sikkert på grund af manglende kendskab til dets funktioner. Jeg har så heller aldrig nogensinde oplevet angreb før.

   Men nu er jeg da ret sikker på, at Wordfence skal have endnu et forsøg. Kan du evt, forklare lidt omkring hvor og hvordan man kan se - og stoppe angreb?

   Angrebene er stoppet nu, men om det skyldes at jeg har ryddet grundigt op i gamle filer og installationer på mine servere, eller om hackerne bare holder en pause, er uvist. Så jeg skal helt til bunds i dette her.

   Skrevet 11 years siden #
10. 

    jmorten
    

    Supermedlem
    Joined: okt '11
    Posts:

    Reputation:

     

    Når Wordfence er installeret kan du holde øje med Live Traffic det giver mulighed for at blokerer for IP adresser.
    I Options kan du sætte regler for udelukkelse, men der er nok nogen herinde der har en guide til god opsætning.
    Men Login Security Login har jeg sat til:
    Lock out after how many login failures er sat til 3
    Lock out after how many forgot password attempts er sat til 2
    Count failures over what time period er sat til 1 dag
    Amount of time a user is locked out er max (60 dage)

    Immediately block the IP of users who try to sign in as these usernames Admin og navne der relaterer til siden

    Skrevet 11 years siden #
11. 

    John
    

    Administrator
    Joined: okt '09
    Posts:

    Reputation:

     

    Og så måske som jeg gør, blokere for alle lande der efter min mening ikke har behov for at se mine sider ;-)

    Mvh John

    Skrevet 11 years siden #
12. 

    TJK
    

    Juniormedlem
    Joined: jan '15
    Posts:

    Reputation:

     

    Ok, tak :) Jeg kan dog godt frygte at sådan en liveovervågning måske trækker for mange ressourcer(?). Men dog hellere det, end et hacket site.

    Skrevet 11 years siden #
13. 

    John
    

    Administrator
    Joined: okt '09
    Posts:

    Reputation:

     

    Gå til Wordfence options. Scroll til bunden af siden og find:

    Update interval in seconds (2 er default)
    ret til 30.

    Eller du kan disable live traffic

    Skrevet 11 years siden #
14. 

    TJK
    

    Juniormedlem
    Joined: jan '15
    Posts:

    Reputation:

     

    Tak, John :)

    Skrevet 11 years siden #
15. 

    jensnyhavn
    

    Supermedlem
    Joined: jan '12
    Posts:

    Reputation:

     

    har endelig fået installeret Wordfence og sat options som jmorten og John beskriver. Så lige et spørgsmål i den forbindelse.

    3 loginfejl = udelukkelse i 60 dage (gav vide om det er rigtig forstået)

    Kan jeg så udelukke mig selv ved 3 loginfejl?

    Skrevet 11 years siden #
16. 

    jmorten
    

    Supermedlem
    Joined: okt '11
    Posts:

    Reputation:

     

    Ja det kan du, så du skal være opmærksom på dig selv jeg var lige ved at udelukke mig selv men genkendte mit mønster, men så tror jeg at man med ftp kan deaktivere wordfence og lave et nyt password, det kunne være interessant et lave en test.

    Skrevet 11 years siden #
17. 

    jensnyhavn
    

    Supermedlem
    Joined: jan '12
    Posts:

    Reputation:

     

    Ja du kan via FTP omdøbe mappen. Man om det er nok? Kan se at Wordfence danner en del nye tabeller i databasen og det er vel her oplysningerne gemmes? Så det er måske ikke bare så ligetil?

    Tror jeg vil være lidt mere forsigtig med tidsfristen. 60 dage i skyggen er lang tid. :-)

    Skrevet 11 years siden #
18. 

    jmorten
    

    Supermedlem
    Joined: okt '11
    Posts:

    Reputation:

     

    Det ville være skidt at havne i den situation, derfor har jeg på papir udskrevet alle oplysninger om FTP database m.m., det er alligevel ikke muligt for mig at huske alle data.

    Skrevet 11 years siden #
19. 

    jensnyhavn
    

    Supermedlem
    Joined: jan '12
    Posts:

    Reputation:

     

    Det er simpelhen en lovløs jungle derude i cyberspace. Har f.eks i løbet af kort tid haft en Ukraine IP som forsøger at logge ind med forskellige brugernavne på flere af mine websteder.

    Noget fra Holland forsøger at logge ind med forskellige IPs og har s.. fået fat i mit rigtige brugernavn. Har heldigvis et meget stærkt passw. Mere en 10 karakterer, tal og bogstaver og stor og små bogstaver.

    Har også haft noget fra Frankrig.

    Det har virkelig været en øjenåbner og hvis du sidder med en bruger der hedder admin og et simpelt passw., ja så er det vel kun et spørgsmål om tid før der sker noget.

    Skrevet 11 years siden #
20. 

    jensnyhavn
    

    Supermedlem
    Joined: jan '12
    Posts:

    Reputation:

     

    PS.
    Kan godt se at mit brugernavn er uheldig uden jeg vil pinde ud hvorfor. (Kunne der være en hacker der ser dette :-).

    Men man skal da for pokker også kunne huske det - og der er efterhånden mange navne og koder der skal huskes. Man kan knap købe en pakke smøger uden brugernavn og kode.

    Skrevet 11 years siden #
21. 

    jmorten
    

    Supermedlem
    Joined: okt '11
    Posts:

    Reputation:

     

    Det med brugernavnet er også sket for en af mine sider, det kan du ikke sikre dig imod, en erfaren hacker kan grave det frem, men det er muligt at skifte brugernavn, og som John skriver, hvis du tager betalingsversionen kan du spærre for lande der ikke har noget at gøre på din side.

    Jeg har haft massivt angreb fra Italien og massivt blokeret for Italienske IP'er, når de søger på ikke eksisterende sider blokerer jeg hele serien af iP'er men overvejer nu at overtale dem jeg styrer hjemmesiden for at bruge betalingsversionen, det vil give mindre arbejde.

    Skrevet 11 years siden #
22. 

    John
    

    Administrator
    Joined: okt '09
    Posts:

    Reputation:

     

    @jensnyhavn

    Man kan knap købe en pakke smøger uden brugernavn og kode.

    Det ville vel egentlig være ok ;-)

    ps der var en enkelt tysker der forsøgte login for 14 dage siden

    Skrevet 11 years siden #

RSS feed for this topic

Svar

Du skal være logget ind for at skrive.