Sicherheitslücke bei Wordpress?

Aktuelle WordPress Version inkl Plugins und Theme sind absolute Grundvoraussetzung. Hast du denn vorher überhaupt die Sicherheitslücke gefunden und beseitigt?

z.B. FTP und MySQL Passwort [emoji6]. Normalerweise gibt es dafür Profis, die dir so ein Problem beseitigen. Selbstversuche sind meistens von kurzer Dauer.

Zitat von Admin14

Auf einen Hinweis von Wordpress hin (Sicherheitslücke durch veraltete Version) updatete ich meine Version und dachte, dass es nun gut wäre. Aber nein, nun kam der dritte Hack.

Mit einem Update werden die fremden Scripte leider nicht gelöscht. In der Regel legen die Angreifer sich weitere Scripte auf den Server. Gerne zum Beispeil in das uplaod
Verzeichnis

~/wp-content/upload/:irgendein:Verzeichnis/_irgendein_name.php

Derartige "Erweiterungen" müssen selbstverständlich auch gelöscht werden.

Zitat von Admin14

allerdings hat die Schule kein Geld dafür

coole Ausrede, wenn man Schadenersatzpflichtig gemacht wird. Selbstverständlich läßt sich jeder freiwillig einen Trojaner von einer gehackten Seite installieren und beseitigt den Schaden dann auf seine eigenen Kosten - ist ja selber schuld, dass er auf der Seite einer Schule war, die kein Geld hat.

Weil viele mit genau diesem Argument durch die Gegend liefen, kam der Innenminster vor ein paar Monaten auf eine ganz tolle Idee:
http://www.golem.de/news/innenmini…412-111244.html

Zitat

"Wir wollen alle dazu verpflichten, damit man sich auf seinem eigenen Computer nicht durch das Ansurfen von unsicheren Diensten Trojaner oder Viren einfängt", sagte de Maizière. Ein Online-Shop, und sei er noch so klein, "kann zu erheblichen, verheerenden Auswirkungen bei anderen führen".

In dem o.g. Artikel geht es selbstverständlich auch um WordPress und die Anwender, die meinen, dass man mit wilden rumklicken, Schadecode von einem Server entfernen kann.

Wo läuft denn die Seite? Habt ihr ein Hosting Paket, V-Server usw?

Zitat von Admin14

(...) Was kann ich nun noch tun, damit er keinen Zugriff auf meine Daten mehr hat und sich nicht mehr einhacken kann?

Eigentlich sollte doch klar sein, dass gerade so eine Schulhomepage ein beliebtes Angriffsziel für Skriptkiddies und Nachwuchshacker ist.

Präventiv sollte man daher, wenn man schon zur Realisierung einer solchen Homepage zu WP greift, das WP-Core immer auf dem neusten Stand halten, ebenso alle Plugins, nur renommierte Plugins aus sicheren Quellen auswählen, das gleiche gilt für das Theme und evtl. mal einen externen Dienstleister beauftragen, der sie WP-Installation zusätzlich absichert. Möchte man auch das selbst machen und hat keine bis wenig Ahnung, ist dieses Plugin

https://wordpress.org/plugins/all-in…d-firewall/faq/

schon mal ein guter Einstieg, auch weil es auf Sicherheitslücken hinweist, die technisch nicht direkt oder gar nichts mit WP zu tun haben und Hinweise zur Behebung derselben gibt, auch lässt sich damit die .htaccess direkt und indirekt über die Einstellungen editieren, der Loginbereich verstecken, ein Honeypot für Nachwuchshacker aufstellen u.v.m., trotz seiner einfachen Bedienbarkeit, benötig es aber ein wenig Einarbeitung und Beschäftigung mit zumindest rudimentärem Basiswissen um das Sicherheitsthema herum.

Zur Polizei würde ich in diesem Zusammenhang als Handlungsbevollmächtigter einer Schule erst mal nicht gehen, wäre doch eine Bankrotterklärung und besondere Genugtuung für die Verursacher, insb. wenn man es ihnen dann vielleicht gar nicht nachweisen kann…

Achja, und was kannst Du jetzt tun, wo das Kind schon im Brunnen hockt – Nun, am besten einen externen Dienstleister beauftragen oder aber die WP-Installation komplett neu aufsetzen, samt neuer frischer Datenbank und vorher leergeputztem Webspace.

Exportiere dafür lediglich die Seiten und Beiträge als XML-Dateien (die komplette Datenbank nur für den Worst Case, aber nicht zum wiederaufspielen, denn die enthält u.U. auch Schadcode) und sichere sämtliche Mediafiles, vor dem Wiederaufspielen dieser und der XML-Dateien alles auf Viren, Trojaner und Schadcode mit entsprechender Software und durch Sichtung untersuchen.

Die pot. schädlichen Codeschnipsel und möglichen Backdoors in der produktiven WP-Installation zu finden und herauszusezieren ist übrigens selbst für Profis ein schwieriges Unterfangen und so gut wie niemals zu wirklich 100% nachhaltig erfolgreich und sicher…