nach hack: neu aufsetzen / installation / backup

Zunächst muss geklärt sein wie der Hack durchgeführt wurde. Oberster Grundsatz nach einem Hack: Trau keiner Datei! Viele Angreifer verbergen Schadcode als Backdoor in Bildern, d.h. jedes Bild im Upload Verzeichnis kann eine Hintertür in Dein System enthalten. Mit der Übernahme der Dateien besteht also ein Risiko, dass der neue Blog das gleiche Schicksal teilt.

Aber auch die Datenbank kann Schadcode enthalten, entweder als eigene Einträge in der Meta Tabelle oder als Inline Code in den Beiträgen. Es könnten aber auch zusätzliche Benutzer angelegt worden sein, die in WordPress nicht zu sehen sind.

Und noch einmal: Es muss geklärt wie der Hack durchgeführt wurde. Welche Sicherheitslücke hat diesen ermöglicht? Welches Plugin war das Einfallstor? Diese Plugin darf nicht mehr verwendet werden bzw. nur, wenn es vom Hersteller einen Fix für die Lücke gibt.

Daher lautet mein Rat nach einem Hack immer: Beauftrage einen Experten

Gehen wir also davon aus, dass ein Fachmann die Datenbank als ungefährlich und sauber deklariert. Dann ist der richtige Weg wie folgt:

1. Datenbankdump ziehen (phpMyAdmin, MySQL-Dumper oder direct auf der Console)
2. Neues Verzeichnis auf dem Webserver für WordPress erstellen
3. Die aktuelle WordPress Version neu herunterladen und per FTP auf den Webspace in das neue Verzeichnis kopieren
4. Alle verwendeten Plugins in der aktuellen Version neu herunterladen und per FTP in das neue WordPress hochladen
5. Wenn 100% sicher ist, dass das Upload Verzeichnis der alten Installation nicht kompromittiert wurde kann es übernommen werden, falls nicht muss man alle Bilder später neu hochladen und die Beiträge entsprechend anpassen. Oft hilft auch ein Backup das garantiert vor dem Hack gemacht wurde, dann braucht man nur wenige Bilder korrigieren.
6. Neue Datenbank erstellen und den Dump aus Punkt 1 importieren
7. Die neue wp-config.php anpassen (Datenbankname, Benutzer, Passwort)
8. Domain auf das neue Verzeichnis legen
9. In WP einlogen und sofort die Passwörter ändern
10. Bilder gemäß Punkt 5 ergänzen oder erneuern, falls nötig

Das ist ein grober Überblick und der Fachmann wird hierzu noch einige andere Dinge durchführen, wie z.B. die Änderung von Tabellen Prefixen, Anpassungen an der .htaccess und die Installation von zusätzlichen Plugins um z.B. die Anzahl an fehlerhaften Logins zu begrenzen oder die User Slugs zu ändern. Es gibt noch vielen andere Maßnahmen um die Sicherheit zu erhöhen, die ich durchführen würde und solche die ich auf keinen Fall empfehle. Das würde den Rahmen hier aber gewaltig sprengen.

Zitat von tonicwater78

vielen lieben dank. werde es erstmal so probieren. was meinst du mit punkt 5 Bilder erneuern genau? wenn ich die bilder nicht hochlade, fehlen sie ja leider in den posts. ich weiss aber nicht ob etwas verändert wurde oder zusätzich in uploads reingeladen wurde. die plugins habe ich daher eh nicht vor zu übernehmen. erstmal ohne plugins starten.

Wenn Du es selbst probierst kann ich Dir nur wärmsten empfehlen alle Bilder über das neu installierte WordPress neu hochzuladen und dann in jedem Blogpost und in jeder Seite die Bilder entsprechend zu bearbeiten (es haben sich dann ja die Pfade geändert).

Zitat von tonicwater78

wegen dem experten? für das nächste mal. wo finde ich jemanden? bei meinem hack wurde die index.php verändert und das konnte mein server anbieter wieder ändern.

In diesem Forum tummeln sich einige dieser Experten und mit einem Posting im Jobforum melden sich diese bei Dir.

Zitat von tonicwater78

danke. du meinst also nicht es reicht den "uploads" Ordner in WP-Content reinzukopieren?

Ich denke ich war mit meinen Ausführen sehr deutlich und verweise noch einmal auf Punkt 5.

Hallo,

nach deiner Beschreibung hat ein Fremder auf dem Server die index.php geändert.

Zitat von tonicwater78

du meinst also nicht es reicht den "uploads" Ordner in WP-Content reinzukopieren?

warum soll dein Angreifer nur die index.php geändert haben? Warum nicht mal eben in einer .jpg Datei nicht ein Virus verstecken?

.jpg.exe .jpg.php usw.

Ein Tipp in der Richtung - erst durch öffnen der Bilddatei ist erkennbar ob es eine Bilddatei ist - beinhaltet aber auch, wenn du die Bilddatei öffnest und es ist ein Virus... hast du zumindest einen Rechner verseucht.

Unbedingt mindestens ersteinmal einen Virenscanner über die Dateien laufen lassen und etwas glück haben, wenn man keine Datensicherung hat...

Viel Glück

Ralf