Seite wieder gehackt

Zitat von disk4711

(...)
Oder stehen wir mit unserer Seite auf irgend einer Hacking Liste das ich immer zum Opfer werde ? (...)

Sowas hängt auch immer stark von den Themen ab, mit denen sich eine Website beschäftigt, insb. bestimmte meinungsbildende Inhalte ziehen gerne den geballten Hass gewisser Leute auf sich, die für ihre Ansichten stets die allerhöchste Toleranz einfordern, diese aber anderen nicht im mindesten gewähren wollen und bei der Unterdrückung abweichender Meinungsinhalte auch vor kriminellen Handlungen nicht zurückschrecken, ja, sich dazu sogar als legitimiert empfinden.

Andererseits werden auch Websites mit solchen Inhalten gerne heimgesucht, die Scriptkiddies ansprechen, sei es nun inhaltlich oder durch bekannte Lücken, wie z.B. das o.g. Plugin oder eine insg. eher unsichere Installation.

Hier im Forum und auch sonst im WP-Kosmos gibt es unzählige Anleitungen, die sich mit der Sicherheit von WP-Installationen beschäftigen, ebenso wie Dienstleister.

Suche z.B. mal nach "hardening Wordpress" und "hardening Wordpress .htaccess" um die besseren davon zu finden, achte bei den Fundstücken aber unbedingt auf deren Aktualität, manche sind völlig veraltet und daher aktuell ungültig.

Ansonsten solltest Du in der Tat auch die Dienste eines seriösen Anbieters in Betracht ziehen, denn solche Anleitungen, egal wie gut sie im Einzelfall auch sein mögen, sind stets nur allg. Natur und können daher nicht auf Deine ganz individuellen Konstellationen und Bedürfnisse eingehen.

Zitat von disk4711

unsere Webseite ist in diesem Jahr schon zum 3. mal gehackt worden.

so etwas ist sicherlich sehr ärgerlich und kostet auch den guten Ruf.

Zitat von disk4711

beim letzten mal war es wohl eine Lücke in einem bekannten Slider Plugin.

Vermutlich bist du nur ein Opfer von einem merkwürdigen Marktplatz.

Zitat von disk4711

Nachdem ein externer Fachmann dieses Plugin manuell upgedatet hat ging es ein paar Tage und promt war es wieder gehackt, so das unser Provider wieder die Seite gesperrt hat.

Dies kann leider schon mal passieren - wie gesagt - Theme von einem merkwürdigen Marktplatz haben nicht nur eine Sicherheitslücke... sondern sind die Sicherheitslücke.

WordPress ist meiner Meinung nach jetzt durch das eigene WordPress Security Team sicher geworden
https://vip.wordpress.com/security/

Das Team arbeitet auch mit anderen Entwicklern zusammen und so werden Sicherheitslücken in WordPress schnell gefunden und beseitigt.

Zitat von disk4711

Daher meine Frage an euch, kann ich mit vorhandenen Mitteln und ohne das ich stündliche meine Seite überwachen muß eine WP Installation sicher betreiben ?, Dann würde ich über die Jobbörse jemanden bauftragen der die Seite mal clean und Safe macht.

1. Einige Provider können durch eine Firewall das System gegen übliche Angriffe absichern - hier würde ich einen Provider wechsel empfehlen
2. Wenn du ein Theme von Themefores verwendest, such dir ein anderes Theme - mit weniger Schnick Schnack und ohne Sicherheitslücken.
3. man kann WordPress absichern und bereinigen. Das System kann man auch überwachen lassen.

Viel Glück

Ralf

Die Entseuchung und Sanierung einer gehackten Blogs kann viele Stunden dauern. Es gibt nur wenige ausgewiesene Spezialisten, die in der Lage sind das Einfallstor sicher zu bestimmen und die Sicherheitslücke dauerhaft zu schließen. Sollte es sich allerdings um eine bekannte Sicherheitslücke handel, der Fachmann erkennt das meistens an den Symptomen, geht die Reparatur im Regelfall schnell. Falls dem aber so ist, war der Fachmann entweder kein Experte oder nach der Bereinigung ist eine neuer Sicherheitslücke entstanden.

Zitat von mensmaximus

Die Entseuchung und Sanierung einer gehackten Blogs kann viele Stunden dauern. (...)

Wenn er nicht zu groß ist, lohnt sich daher u.U. auch einfach ein Neuaufsetzen und nur das Übertragen der puren Inhalte, dabei aber auch gleich den eigenen Rechner und den Server checken (lassen).

Zitat von disk4711

(...)
Die Webseite ist eine Firmenwebseite, also kein Blog o.ä.

Auch die kann Begehrlichkeiten der düsteren Art wecken, sei es nun weil das Unternehmen in einem hart umkämpften Verdrängungsmarkt positioniert ist oder wegen seiner Produkte bzw. Dienstleistungen ins Visier bestimmter selbstlegitimierter Weltverbesserer oder Fanatiker gerät.

Zitat

(…) der hatte damals uns "Premium"Themes von Themenforest vorgestellt aus denen wir uns einen aussuchen sollten.

Tja, Premiumthemes – so easy, so kostengünstig und sooo viele Features, wenn man damit nur nicht fast immer auch einen Pferdefuß mit an Bord hätte...

Zitat

(…) Da ist auch der Revulution Slider enthalten.

Und ruft damit schon mal mindestens die Scriptkiddies auf den Plan.

Zitat

Wenn ich mich für ein anderes Theme entscheiden sollte, wo bekommt man gute zuverlässige Themes her ?

Am besten eines nur für Euch von kompetenten Leuten bauen lassen, ich weiß ja nicht wie groß Euer Unternehmen ist, aber oft ist es schon lausig, was manche Unternehmen im Vergleich zu den anderen ihrer Investitionen bereit sind in eine ordentliche HP zu stecken.

Erst kürzlich noch die HP eines vor nicht allzulanger Zeit im Umkreis von Köln neu eröffneten größeren Bowlingcenters samt angegliedertem Restaurant bestaunt und bin dabei fast vom Stuhl gefallen, was man sich da geleistet hat, insb. wenn man sich mal überlegt, was so ein Bowlingcenter samt Grundstück, eigens dafür gebauter Halle, Bowlinganlage, Restaurant etc. an Investitionskosten verschlingt – Dann eine HP der Preiskategorie klein dreistellig, das passt einfach nicht zusammen und ist heutzutage gerade für ein solches Unternehmen im Freizeitsegment der marketingtechnische und damit auch betriebswirtschaftliche Supergau.

Auch krass, wenn auch betriebswirtschaftlich weniger gewichtig, die HP des letzte Woche neu eröffneten über zehn Jahre geplanten größten Einkaufscentrums der Region in Gummersbach (Forum Gummersbach östlich von Köln), auch mit WP gemacht, aber wie und vor allem mit welch mageren Inhalt und erst die Auffindbarkeit über Google für andere Bezeichnungen als nur genau dessen Name.

Da weiß man gleich, was die Verantwortlichen nicht wissen...

Egal, ich schweife ab

Zitat

Bei ersten Hack hatten sich die Hacker haufenweise User angelegt, dann wurde wie gesagt Spammails versendet, unser Experte hatte beim vorletzen Hack Pligins installiert die mir zeigen wenn sich einer einloggt, und ein weiteres wenn Dateien geändert werden.

Das übliche halt, scheint dann wohl eher nicht persönlicher Natur zu sein und Dein Experte hätte mal lieber, anstatt nur die Schmach der Panne zu dokumentieren, die Panne selbst beseitigen und die HP gegen neue Pannen dieser Art sicher machen sollen…

Hallo,

oftmals wird WP auch bei weitestgehend STATISCHEN Webseiten (ohne viele Änderungen) verwendet. Hier ist eigentlich kein CMS nötig. Aber weil der HP Besitzer gerne etwas ändern möchte, kommt das CMS auf den Webspace.
Hier helfen oft die von einigen Hoster angebotenen Profilösungen. Die Veränderung der Webseite erfolgt wie bisher über den CMS das aber besonders abgeschlossen und für externe nicht erreichbar z.B. in einer Internen Cloud befindet. Die Daten werden automatisch nach erfolgter Änderung zu STATISCHEN Webseiten gebaut (Ausnahme: Suche, Kommentare) und die werden z.B. via FTP auf einen (für alle erreichbaren) Server gepackt.
Vorteil für den Hoster ein Request benötigt nur einen BRUCHTEIL der Resourchen von vorher (Kein PHP, kein MYSQL nur NginX oder Apache), und der Kunde kann nur schwer bis garnicht mit seiner Lösung umziehen.

Also zur Frage "Ist WP die richtige Software für mich". Hängt vom Einzelfall ab. Aber wenn du eh nur alle 4 Wochen dich einloggst bist du mit einer statischen Lösung wohl besser bedient.

https://www.owasp.org/index.php/OWAS…ation_Guideline

Etwas "technischer" - sollte daher mit Vorsicht durchgeführt werden.

tube: die Webseite vom Forum Gummersbach (http://www.forum-gummersbach.info) finde ich sehr gelungen. Was stört dich da?

Zitat von gericoach

(...) finde ich sehr gelungen. Was stört dich da?

Möchte den Thread hier nicht kapern, daher nur kurz und weil man aus schlechten Beispielen auch für das eigene Unternehmen lernen kann.

Die Website mag in der Struktur und Aufbau ordentlich gemacht sein, aber das wichtigste leistet sie nicht, nämlich den Besucher zu animieren auch das Einkaufzentrum zu besuchen, außerdem ist sie schlecht in Google zu finden, wenn man nicht ganz gezielt nach ihr sucht, angemessenes Sozialmediamarketing, auch Fehlanzeige, man setzt halt wieder mal ganz ignorant auf die alten Medien und hofft, dass das gut geht...

Insgesamt ein beschämendes Ergebnis für eine Website, die ein solch abermillionen schweres Großprojekt bewerben soll, welches dazu noch eine Planungsphase von rund 10 Jahren auf dem Buckel hat.

So kann sowas auch umgesetzt werden, real größer zwar, aber das spielt für die Umsetzung in Form einer HP ab einer bestimmten Größenordnung keine entscheidende Rolle

http://www.midvalley.com.my/

oder aus der Region und in etwa gleicher Größenordnung, nicht optimal, aber wesentlich besser

http://www.rheinberggalerie.de/

oder dies, auch in etwa gleicher Größenordnung und mit Wordpress im ähnlichen Aufbau umgesetzt

http://www.zuidplein.nl/


Aber vielleicht kommen auf der monierten Website ja noch Inhalte dazu, habe meine Kritik deswegen auch schon den Beitreibern zukommen lassen, als nächstes geht diese Information an die Mieter der Ladenlokale, denn die dürfen solches Versagen auf der Führungsebene letztlich ausbaden...

Back to topic:

Sich hier nur auf die besagten Plugins/Themes zu konzentrieren ist ein fataler Fehler. Meistens wurden irgendwo auf dem Server "Hintertürchen" eingebaut, mit denen es dann problemlos möglich ist die Seite wieder zu übernehmen. Diese Dateien tragen sehr oft annähernd die gleichen Namen, wie die originalen WP-Dateien und sind von daher nicht auf den ersten Blick zu finden. Wenn man nicht genau weiss, was man zu tun hat, ist eine "Komplettsarnierung" die beste Lösung. Ansonsten ist so eine Säuberung nicht mal eben so getan. Da spreche ich aus Erfahrung...

Zitat von infected

(...) Meistens wurden irgendwo auf dem Server "Hintertürchen" eingebaut, mit denen es dann problemlos möglich ist die Seite wieder zu übernehmen.
(...)
Wenn man nicht genau weiss, was man zu tun hat, ist eine "Komplettsarnierung" die beste Lösung. Ansonsten ist so eine Säuberung nicht mal eben so getan. Da spreche ich aus Erfahrung...

Eben, daher kann u.U. der durchaus praktikabelste und evtl. auch kostengünstigste Weg sein, nur die blanken Inhalte zu retten und die HP komplett neu und sicher aufzubauen ohne den alten kontaminierten Rotz mitzuschleppen oder ein Vermögen für eine Profisanierung unter Beseitigung aller bestehenden oder gar vom Angreifer erst geschaffenen Sicherheitslücken der alten HP auszugeben.