WordPress gecrackt?

Dunkelangst

Hallo WordPress Community!

Es geht um mein Blog http://www.dunkelangst.org.

Ich habe diesen Blog so eingestellt, dass man sich registrieren muss, um Kommentare zu hinterlassen. Bei der Registrierung muss man ein Captcha Symbol (verwende das SI CAPTCHA Anti-Spam Plugin) eingeben; auf diese Weise möchte ich maschinell erzeugte Fake Accounts vorbeugen.

Ich habe außerdem am 5. Februar einen Beitrag geschrieben und diesen mit einem Passwort versehen um halbwegs kontrollieren zu können wer diesen (doch etwas persönlicheren Eintrag) liest. Um diesen Beitrag im besonderen geht es nun:

Um an diesem Beitrag einen Kommentar zu hinterlassen muss man also zum einen registriert sein und zum anderen noch das Passwort zu diesem Beitrag kennen.

Ich habe heute einen Spam Kommentar erhalten; dieser wurde zwar von meinem Spamfilter (Antispam Bee) ordnungsgemäß erkannt und in den Spamfilter geschoben; jedoch:

Er wurde von keinem registrierten Benutzer geschrieben.
Er wurde an den Passwortgeschützten Beitrag geschrieben.

Das verwundert mich nun schon. Wie ist das überhaupt möglich? Was ist hier passiert? Wurde mein Blog gecrackt? Was ist zu tun?

Falls das zur Sache beiträgt: den Screenshot von dem Spammer/Cracker gibt es im Anhang.

Werbepost

Hallo!

Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
✔️ Deutsche Server & DSGVO-konform
✔️ Persönlicher Support (kein 0815-Ticket-System)

Mehr erfahren

Dunkelangst

Hab da noch mal eine andere Frage zu diesem Passwortgeschützten Beitrag:
Wenn ich diesen Link auf Facebook teile, dann erscheint der folgende Inhalt, der eigentlich nur nach Eingabe des Passwortes betrachtet werden können sollte:

Zitat

Das wurde ich von einem Deutschen gefragt, der eine Taiwanesin geheiratet und mit ihr Kinder bekommen hat. Er lebt seit einigen Jahren hier in Taiwan . Wie beim Schwimmen zwischen Piranhas im Amazo...

So, was ist hier jetzt faul: Facebook hat auf gar keinen Fall das Passwort um diesen Satz sehen zu können.

Grafik siehe Anhang.

Ich interpretiere dies nun eindeutig als Sicherheitslücke. Irgendwas stimmt nicht. :evil:

Ich bin für jedwede Hilfe Dankbar! :)

Putzlowitsch

Zu dem Facebook-Problem.

Das Plugin "Jetpack Open Graph Tags" setzt den Text als Beschreibung in den Header, und das auch, wenn der Artikel geschützt ist. Ist also eher ein Fehler des Plugins.

Gruß
Ingo

Dunkelangst

Hallo Ingo!

Danke für Deine Hilfe!

Zitat von Putzlowitsch

Zu dem Facebook-Problem.
Das Plugin "Jetpack Open Graph Tags" setzt den Text als Beschreibung in den Header, und das auch, wenn der Artikel geschützt ist. Ist also eher ein Fehler des Plugins.

Wenn ich alle Plugins deaktiviere, bleibt das Problem bestehen. Gerade ausprobiert.

Putzlowitsch

Na ich denke, daß Facebook das irgendwie zwischenspeichert und nicht jedesmal den Artikel neu von Deiner Seite abfragt.

Mach doch mal zum Test einen neuen, geschützten Artikel und probiere das damit bei Facebook.
Oder ändere am Anfang den Text des geschützen Artikels, dann müßte das sich ja auch auf Facebook auswirken, wenn Du den Artikel dort neu verlinkst.

Gruß
Ingo

Dunkelangst

Hab das JetPack Plugin jetzt kurzerhand gelöscht umd Missverständnisse außen vor zu lassen.

Habe einen neuen Beitrag geschrieben und mit Passwort versehen. Facebook hat *keinen* Zugriff auf den Inhalt.
Beim alten Beitrag, dem Problem Beitrag, bleibt das Problem bestehen.

Zitat

Na ich denke, daß Facebook das irgendwie zwischenspeichert und nicht jedesmal den Artikel neu von Deiner Seite abfragt.

Wie kann Facebook etwas zwischenspeichern, an das Facebook nur mit Passwort kommen sollte?

Putzlowitsch

Als das Plugin noch aktiv war, hast Du ja den Link bei Facebook gepostet und Facebook hat den Anfang des Artikel aus der Beschreibung im Header (vom Plugin dort eingetragen) ausgelesen.

Genau diese Information hat sich Facebook gemerkt, also den Beschreibungstext zu dem Link. Wenn Du jetzt den Link erneut bei Facebook eingibst, wird die zwischengespeicherte Beschreibung angezeigt. Facebook fragt also Deinen Artikel gar nicht erneut ab und merkt so nicht, daß nun die Beschreibung fehlt. Oder Facebook merkt das zwar und sagt sich aber, ich habe ja die Beschreibung schon, also nehme ich diese.

Gruß
Ingo

Dunkelangst

Vielen Dank Ingo! Damit bleibt JetPack deinstalliert. :)

Bleibt nun noch das Spam Problem. Das finde ich für sich genommen auf jeden Fall mysteriös.

Putzlowitsch

Zumindest Spam für geschützte Artikel ist auch kein größeres Mysterium.

Beim geschützten Artikel sieht man ohne Passwort nicht den Text und damit auch nicht das Kommentar-Formular. Spambots rufen aber in der Regel direkt das für die Verarbeitung der Kommentardaten zuständige PHP-Skript wp-comments-post.php auf. Wordpress prüft nun aber nicht extra bei der Kommentarverarbeitung, ob bei einem geschützten Artikel der Nutzer tatsächlich das Passwort eingegeben hatte.

Das Problem "Nur angemledet Nutzer dürfen kommentieren" könnte auch damit zu tun haben oder es ist wieder ein Plugin dafür verantwortlich, welches irgendwie dazwischen funkt. Habe mir den Teil im WP-Quelltext jetzt noch nicht angesehen.

Gruß
Ingo

Dunkelangst

Hallo Ingo!

Noch einmal vielen dank und schön zu Wissen, dass ich nicht gecrackt worden bin. Dann behalte ich besser einmal mein Spam Plugin installiert, denn dieses hat den Spammer tadellos erkannt. Dachte eigentlich, dass dieses nun überflüsssig geworden ist. :D

Die vielen Dank!

djmugge

Zitat von Dunkelangst

Dann behalte ich besser einmal mein Spam Plugin installiert, denn dieses hat den Spammer tadellos erkannt. Dachte eigentlich, dass dieses nun überflüsssig geworden ist. :D

Das wird wohl ein Wunschtraum bleiben dass ein solches Plugin mal überflüssig sein könnte. Ganz im Gegenteil. Es wird immer mehr nicht mehr ohne gehen.

Willkommen! Melden Sie sich an oder registrieren Sie sich.

WordPress gecrackt?

Jetzt mitmachen!