Gehackt - weiße Seite - was tun?

parcel

Ich betreue eine Seite die gehackt wurde: http://ulrich-springer.de
Ich konnte via Dreamweaver sehen, dass am 2. und 7.1.2016 Änderungen an einem Haufen Daten vorgenommen wurden, kann aber nicht sagen welche.
Kann mir jemand sagen was ich als nächstes tun kann? Übrigens alle Umlaute werden kryptisch dargestellt…
Ich komme ins Backend und habe wp-doc installiert, hier ein paar Kommentare:

WP DOCTOR Scan malware, .htaccess file, file permissions, ... . This function is secure and not changes files.

Changing file permissions The plugin changes the incorrect permissions only if the server configuration allows.

Clean Malware Â¡It is recommended that you scan and back up files before cleaning the files!

http://ulrich-springer.de is in this blacklists: black.uribl.com .
[h=3]Malware scan results[/h]2610 Files scaned, 0 suspicious files

[h=3]Write in .htaccess file[/h] <files wp-config.php>
order allow,deny
deny from all
</files> # Block the include-only files.
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>

# BEGIN WordPress

Ich habe die hatccess mit oben beschriebenem Code gefüllt - ohne Resultat,
muss ich alles neu installieren? Neue Datenbank etc...?

Werbepost

Hallo!

Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
✔️ Deutsche Server & DSGVO-konform
✔️ Persönlicher Support (kein 0815-Ticket-System)

Mehr erfahren

r23

Zitat von parcel

Kann mir jemand sagen was ich als nächstes tun kann?

Du könntest dir einen Dienstleister suchen, der

1. die Änderungen beseitigt
2. Die Sicherheislücke sucht und diese schließt
3. das System für zukünftige Angriffe absichert.

Zitat von parcel

Ich habe die hatccess mit oben beschriebenem Code gefüllt - ohne Resultat,
muss ich alles neu installieren? Neue Datenbank etc...?

Wenn du die Sicherheislücke nicht beseitigst bringt alles neu installieren rein gar nichts - dann ich dein Angreifer schnell zurück.

Im Handbuch von WordPress findest du eine Anleitung
http://codex.wordpress.org/FAQ_My_site_was_hacked

zu deinem gebstalt an der .htaccess.
Ein Plugin sagt dir, spring aus dem Fenster und du springst? oder warum baust du

Code

<files wp-config.php>
order allow,deny
deny from all
</files>

soetwas ein?

dies funktioniert auch nur noch auf veraltenten Apache Versionen und verhindert nur ein ausliefern von wp-config.php.

Apache Configuration

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>

ok. ist sinnvoll und steht auch irgendwo in dem handbuch von WordPress.

Ich persönlich bevorzuge allerdings:

Apache Configuration

# FILTER REQUEST METHODS
<IfModule mod_rewrite.c>
RewriteCond %{REQUEST_METHOD} ^(TRACE|DELETE|TRACK) [NC]
RewriteRule ^(.*)$ - [F,L]
</IfModule>


# QUERY STRING EXPLOITS
<IfModule mod_rewrite.c>
RewriteCond %{QUERY_STRING} \.\.\/ [NC,OR]
RewriteCond %{QUERY_STRING} boot\.ini [NC,OR]
RewriteCond %{QUERY_STRING} tag\= [NC,OR]
RewriteCond %{QUERY_STRING} ftp\:  [NC,OR]
RewriteCond %{QUERY_STRING} http\:  [NC,OR]
RewriteCond %{QUERY_STRING} https\:  [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(\[|\]|\(|\)|<|>|’|"|;|\?|\*).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*("|'|<|>|\|{||).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(%0|%A|%B|%C|%D|%E|%F|127\.0).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(globals|encode|localhost|loopback).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(request|select|insert|union|declare|drop).* [NC]
RewriteRule ^(.*)$ - [F,L]
</IfModule>

Alles anzeigen

dies verhindert allerdings nur _zukünftige_ Angriffe und sicherlich keinen Angriff von deinem Hacker.

Viel Glück

Ralf

Willkommen! Melden Sie sich an oder registrieren Sie sich.

Gehackt - weiße Seite - was tun?

Jetzt mitmachen!