Brutforce-Attacken / WP 4.1

[RemaN89]

Hallo Leute,

ich hoffe mir kann einer helfen und vll hat jemand schon mal ein ähnliches Problem gehabt.

Meine Seite steht ganz schön unter beschuss. In Regelmäßigen abständen werden über Limit Login Attemps mehere IP´s gesperrt die Zugriff auf meine Seite erlangen wollen. Der Login-Bereich wurde mit Lockdown WP Admin auf eine andere URL gepackt. Also nicht das Standart Verzeichnis */wp-admin.

Bis heute wurde sich immer probiert mit dem Benutzer Admin einzuloggen dieser aber nicht existiert.
Seid heute morgen allerdings wurden 2 IP´s gesperrt die sich mit meinem tatsächlichen Benutzernamen einloggen wollten.

Wie kommt oder kommen die jenigen auf meinen Login-Bereich wenn ich diesen verschoben habe ? Kann man das durch irgendwelche Seiten oder Programme auslesen ?

Über Tipps und Tricks wie ich die Seite noch besser Schützen kann wäre ich sehr dankbar



Liebe Grüße
Christian

 

[CrazyLopp]

Wie kommt oder kommen die jenigen auf meinen Login-Bereich wenn ich diesen verschoben habe ?

Och die versuchen einfach ganz viele verschiedene URLs aufzurufen und wenn dann eine Seite dem Schema eines WP Logins entspricht werden die Anmeldeversuche gestartet. Eine Möglichkeit ist z.B. in diesem Artikel beschrieben:

http://www.rackaid.com/blog/wordpress-brute-force/

Vielleicht hilft es dir weiter.

 

[cythux]

So etwas kommt häufiger vor, dies kann jedoch auch unsaubere Plugins zb passieren

http://code.tutsplus.com/articles/11-quick-tips-securing-your-wordpress-site--wp-22446
http://code.tutsplus.com/articles/10-steps-to-securing-your-wordpress-installation--wp-21579
http://perishablepress.com/category/security/

 

[Flugfrosch]

Zum noch besseren Schutz deiner Seite kann ich dir z.B. Wordfence empfehlen:

https://wordpress.org/plugins/wordfence/

 

[RemaN89]

Vielen Dank für die ganzen Antworten

Ich les mich mal in die ganzen Links ein. Wordfence hört sich aber schon sehr interressant an

Liebe Grüße
Christian

 

[cythux]

Zum noch besseren Schutz deiner Seite kann ich dir z.B. Wordfence empfehlen:

https://wordpress.org/plugins/wordfence/

Ist jedoch eher eine Firewall für dein Wordpress,
wenn wirklich testen willst wie sicher dein Wordpress

http://www.kuketz-blog.de/security-plugins-wordpress-absichern-teil3/

 

[Flugfrosch]

Meinte ich auch eher als Ergänzung zu den bereits genannten Möglichkeiten. Hat sich für mich bis jetzt aber wirklich als mit am wirkungsvollsten von allen Security Plugins herausgestellt.

 

[DJ Melosine]

Meine Seite wurde trotz aller ergriffenen Schutzmaßnahmen mit einer beunruhigenden Regelmässigkeit gehackt, Wordfence, sururi, ithemes security und alle artverwandten PlugIns, lange Passwörter mit kryptischen Sonderzeichen, Firewall, frisch angelegte User, neues SQL & FTP Passwort - alles zwecklos!

Hosting bei einem (denke ich) seriösen Hoster Profihost, mit dem ich eben wider länger telefonierte: ich bin völlig ratlos und werde wohl meine Hobby-Blogs bei Wordpress einstellen müssen, da man sich auch aus Seite des Hosters nicht erklären kann, wie permanent Skripte auf den Webspace geladen und auch zum Spammen genutzt werden können.

 

[cythux]

Meine Seite wurde trotz aller ergriffenen Schutzmaßnahmen mit einer beunruhigenden Regelmässigkeit gehackt, Wordfence, sururi, ithemes security und alle artverwandten PlugIns, lange Passwörter mit kryptischen Sonderzeichen, Firewall, frisch angelegte User, neues SQL & FTP Passwort - alles zwecklos!

Hosting bei einem (denke ich) seriösen Hoster Profihost, mit dem ich eben wider länger telefonierte: ich bin völlig ratlos und werde wohl meine Hobby-Blogs bei Wordpress einstellen müssen, da man sich auch aus Seite des Hosters nicht erklären kann, wie permanent Skripte auf den Webspace geladen und auch zum Spammen genutzt werden können.

Dies kann daran liegen das du eventuell zuviele Plugins nutzt und diese wiederrum Schlupflöcher anbieten. Auch das Theme kann Sicherheitslücken aufweisen.

http://codex.wordpress.org/htaccess
http://www.wpbeginner.com/wp-tutorials/9-most-useful-htaccess-tricks-for-wordpress/

 

[DJ Melosine]

Vielen Dank @cythux
Aber wenn es mit diesen einfachen Dingen, die man im Netz findet, gehen würde - ist den Freunden aus der Russischen Föderation aber egal, was man mit seiner .htaccess so anstellt, auch ein im wesentlichen von seinen PlugIns testweise befreiter Blog wird gehackt...

Ich habe schon überlegt, ob evtl. zu viel Gehacktes gegessen hätte, da auch die Weisheiten meines Hosters "...überprüfen sie mal ihr System" bei einem frischen Yosemite eher wenig helfen....

 

[Rata]

da auch die Weisheiten meines Hosters "...überprüfen sie mal ihr System" bei einem frischen Yosemite eher wenig helfen....

Nur mal interessehalber, welcher Hoster „sagt“ das so?



Lieber Gruß
Rata

 

[patrick_l]

Nur mal interessehalber, welcher Hoster „sagt“ das so?

Siehe Post 8

Hosting bei einem (denke ich) seriösen Hoster Profihost

https://www.profihost.com/

Wo Profi drauf oder drin steht, ist nicht zwingend ein solcher vorhanden.
Da lobe ich doch gerne mal meinen - "Alles Inbegriffen"

Liebe Grüße, Patrick

 

[Rata]

Danke, Patrick




Hatte ich wohl wegen des freud'schen Schreibfehlers „wider“ überlesen



Lieber Gruß
Rata

 

[patrick_l]

Hatte ich wohl wegen des freud'schen Schreibfehlers „wider“ überlesen

Kann dich beruhigen, musste auch zweimal hinschauen.

Liebe Grüße, Patrick

 

[DJ Melosine]

Also ich konnte bis dato nichts Negatives über Profihost sagen, ist ja quasi mein erster richtiger Mehrfach-Hack, und auch da muß ich jetzt abwarten, wer die Lücke offen gelassen hat. Erstes Einfallstor war über Weihnachten das WP Download Manager PlugIn - das ging ja offenbar sehr vielen WP-Usern so.

Die Frage seitens Profihost nach einer Mal- oder Spyware auf dem Kundenrechner ist nach meiner Fehlerbeschreibung nicht so unverständlich, da sich scheinbar nicht mehr so viele Möglichkeiten dargeboten haben, um Skripte auf den Webspace zu laden. Kann man also nicht wirklich sehr übelnehmen, wir suchen jetzt gemeinsam nach einer Lösung, bin schon gespannt...

 

[patrick_l]

Also ich konnte bis dato nichts Negatives über Profihost sagen,

Mit meiner Aussage wollte ich deinen Hoster nicht bewerten oder dessen Dienstleistungen negativ darstellen. Wurde eher unbedacht des Namens wegen so von mir raus gehauen. Solltet ihr fündig werden, und die Ursache des wiederholten Angriffes finden, wäre entsprechendes Feedback deinerseits hier gerne gesehen.

Liebe Grüße, Patrick

 

[DJ Melosine]

Die Ursache liegt laut meines Hoster an veralteten PlugIns. Das ist natürlich schön, wenn Wordpress anzeigt, für welche PlugIns aktuell Updates angeboten werden.

Hat man jedoch ein PlugIn in Betrieb, das erst mal gut funktioniert, aber vom Programmierer nicht aktualisiert wird, gibt es seitens WP keine Warnmeldung und dort liegt das Problem...

Zitat vom Service:
"Ein Beispiel ist hier SimplePie. Dies ist ein Plugin, dass über das Wordpress Backend als aktuell angezeigt wird aber real betrachtet am 21.03.2008 zu letzt geupdated wurde.
Solche Plugins bieten eine besonders hohe Angriffsfläche."

Man sollte also händisch nach der letzten Aktualisierung (auch des verwendeten Themes) schauen und wenn der Zeitraum sehr hoch ist nach neuen Lösungen schauen, die auf jeden Fall über den offiziellen Wordpress-Katalog angeboten werden.

Schönes WE, Melosine

 

[netbandit]

Meine Seite steht ganz schön unter beschuss. In Regelmäßigen abständen werden über Limit Login Attemps mehere IP´s gesperrt die Zugriff auf meine Seite erlangen wollen. Der Login-Bereich wurde mit Lockdown WP Admin auf eine andere URL gepackt. Also nicht das Standart Verzeichnis */wp-admin.

Es wird nicht nur über die wp-login.php bzw. den wp-admin versucht an die Logindaten zu kommen. Ziel ist u.A. auch die xmlrpc.php ... Dort fehlgeschlagene Anmeldungen protokolliert Limit Login Attempts (zum Glück) auch.

Grüße

 

[MarcAurelius]

Ich würde mal beim Hoster nachfragen/forschen, ob da nicht ein paar kleine Shells rumliegen.
Obwohl...welcher Hoster gibt das schon öffentlich zu

 

[Mr_Quick]

Es wird nicht nur über die wp-login.php bzw. den wp-admin versucht an die Logindaten zu kommen. Ziel ist u.A. auch die xmlrpc.php ... Dort fehlgeschlagene Anmeldungen protokolliert Limit Login Attempts (zum Glück) auch.

Grüße

Der Artikel hier, ist zwar schon älter, aber das könnte bestimmt helfen