Javameldung

Hallo zusammen,

seit kurzem kommt jetzt immer auf meiner Seite:
http://www.slyspace.de/studium/

eine Javasicherheitsmeldung beim Aufruf:

siehe hier

http://www.slyspace.de/javameldung.jpg

und hier

http://www.slyspace.de/javameldung2.jpg

oder auch Anhang.

Kann damit irgendjemand was anfangen? Habe ich ein Sicherheitsproblem. Ich habe keine Ahnung wo diese Meldungen herkommen.

Ich nutze Wordpress 3.3.1. und habe 17 Plugins aktiviert, darunter:

ExecPHP
Advanced Category Excluder
Akismet
Capability Manager
Cartpauj PM
Countdown Clock
Easy Gravatars
Floatbox Plus
Limit Login Attempts
Link Library
Mingle Forum
NextGEN Gallery
Pierre's Wordspew
Sidebar Login
User Access Manager
User Avatar
Wordpress Download Monitor

kürzlich autmotisch geupdatet habe ich nur MembersList (was aber derzeit deaktiviert ist) und LinkLibrary ... aber auch da bringt die Deaktivierung nichts.

Was würdet ihr mir raten zu tun???

LG Sebastian

Hallo, vielen Dank für die Anwort,

auf der Seite ist keine Werbung geschaltet! Da habe ich nur persönliche Inhalte drauf. Die Seite habe ich auch komplett selbst gestaltet.

Was kann ich da jetzt sinnvollerweise tun? Nach und nach die Plugins wieder löschen und neu aufspielen?
Oder sollte ich die ganze Seite killen, das wäre aber echt unschön!

LG Sebastian

Hallo,

da wurde offensichtlich was eingeschleust, da ich wenig Erfahrung habe sah ich mich nun gezwungen (leider, leider, leider) die Seite zu löschen und eine Datenbank-restore duchzuführen.
Mir ist leider auch völlig unklar, wo das Sicherheitsleck war, alles war auf dem neuesten Stand und die Plugins nur von den offiziellen Seiten geladen.

Wordpress scheint mir doch sehr anfällig zu sein, zumindest einmal blauäugig drauflos mit diesem CMS sollte man unterlassen.

LG Sebastian

Hallo zusammen

Vielen Dank für eure zahlreichen Antworten,

habe jetzt meinen Astrotreff-Blog aus einem alten Backup wiederhergestellt und gleich alles geupdatet.

Der Astrotreff ist neben dem neuen Studieblog (der vermutlich das Problem verursacht hat) ein älterer Wordpressblog von mir.
Den Studieblog habe nicht wieder hergestellt!

1 Woche war alles schick, danach hatte ich gerade das gleiche Problem wieder im (wiederhergestellten) Astrotreffblog ... Javameldung ... Sicherheitsleck. Wieder alles gelöscht!

Es kann also schon mal nicht am MingleForum liegen, da ich das im Astrotreffblog nicht benutze ..
Habe jetzt überlegt ob es irgendwie an Floatbox oder NGenGallery liegen kann. Das sind die einzigen zwei Plugins die ich da neu drin habe.

Was mich doch sehr wundert ist das gleich zwei Wordpressinstallationen, die teilweise sehr unterschiedliche Plugins nutzen parallel befallen sind.

Das schlimme ist, ich kenn den Grund des Befalls nicht. Ich habe zwar saubere BackUps auf der Platte, aber so lange wie ich die Sicherheitslücke nicht kenne nutzen die mir gar nichts.

exec php hatte ich mal reingenommen weil wir über php Astrotools auf unserer Seite programmiert haben (Gesichtsfeldrechner usw.)

Tja, nun steh ich da mit wirrem Haar und weiß nicht weiter. Eine Variante wäre vielleicht tatsächlich Backup wiederaufspielen und nach und nach sehr restriktiv die Plugins wieder reinnehmen. Exec-php würde ich dann mal auslassen fürs erste.

Ich frag mich auch ehrlich wer ein Interesse daran hat einen nichtkommerziellen Blog anzugreifen, der einfach nur dafür da ist ein Hobby zu teilen und sich gegenseitig auszutauschen und zu helfen.

Und ich frag mich ob es normal ist das zwei Wordpressinstallationen parallel befallen sein können bzw. was das über das Sicherheitsleck aussagt.

LG Sebastian

Hallo,

also in den access-log habe ich gerade mal reingeschaut.
Leider bekomme ich die Daten nicht wirklich gut interpretiert. Merkwürdig sieht das allemal aus. Es gab in den letzten 5 Tagen zahlreiche Zugriffe. Der log hat 12860 Zeilen ... kann das normal sein für so eine nicht gerade viel besuchte Seite?
Am 23. habe ich das Backup wieder aufgespielt, seitdem wie gesagt zahlreiche Zugriffe.
Da sind schon komische Zugriffe von mir nicht bekannten IPs die immer wieder auf die wp-admin-Daten gehen. Ich weiss aber nicht ob ich das richtig interpretiere???
Könntest du vielleicht etwas mit dem Log anfangen wenn ich dir das mal zuschicke?

Ansonsten habe ich leider kein Backup der befallenen Daten gemacht sondern alles direkt wieder gelöscht. So das ich auf dein sehr zuvorkommendes Angebot leider nicht zurückgreifen kann, trotzdem vielen Dank dafür. Interesse hätte ich natürlich schon gehabt!

Wie ich die Dateirechte anschauen kann weiss ich nicht, das ganze liegt auf den Servern von webgo24. Hier habe ich auch online Zugriff.

LG Sebastian

Jau, hab das log mal hochgeladen unter:

http://www.slyspace.de/Fundgrube/access_log_280112

seltsam finde ich z.B. die Aufrufe der IP 85.17.173.248
bei mir Zeile 12017 - 12055

Gruß Sebastian

da gibts noch den error_log falls das auch zur Klärung beitragen kann ...

http://www.slyspace.de/Fundgrube/error_log_280112

Gruß

Hallo Ammaletu,

erst mal vielen Dank für deine Detektivarbeit.

Kish Guest Posting sagt mir gar nichts, das Plugin habe ich nicht selbst installiert wenn es denn wie ich das da lese im Plugin-Ordner lag? Ist die Frage für mich wie es da hinkommt? Ist das quasi an der Stelle gepostet worden um es dann aufzurufen??? Kann ich das so verstehen?

Leider habe ich kein BackUp der befallenen Version gemacht. Hielt das zu dem Zeitpunkt dummerweise nicht für sinnvoll, zumal ich Backups aus der Zeit vor dem Befall habe.

Die könnte ich auch wieder aufspielen.

Beim letzten Upload bin ich so vorgegangen. Komplett neue Wordpressinstallation und dann den Content-Ordner reingespielt + hta-access und wp-config übernommen, DatenbankBackup wieder eingespielt über phpMyAdmin auf der WebGo-Seite ... fertig

Meine Frage ist doch, wenn jetzt nichts mehr auf dem Space liegt was irgendwie was mit Wordpress zu tun hat, dann sollte ich doch das Backup gefahrlos wieder aufspielen können??? Die Sicherheitslücke müsste dann doch in einem Plugin liegen.
Oder sollte ich die ganze Seite mal platt machen und auch meine Stammseite http://www.slyspace.de mit den Unterseiten áls Backup aufspielen. Könnte sich dort quasi auch etwas befinden?

Gruß Sebastian

Hab mir gerade mal die Dateien meines Stammverzeichnisses angeschaut.

Da dürfte nichts drin sein, Php-Dateien gibts da nur eine und die fragt nur die PHP-Version beim Server ab. Ansonsten liegen auf der Seite nur weitestgehend html-Dateien die ich selbst verfasst habe oder eben Bilder. Einige Javascript-Dateien die ich aber alle 8 kenne (da hatte ich mal mit dynamischen Seiteninhalten gespielt)

Da ist also keine Datei die ich nicht kenne, das Verzeichnis ist übersichtlich und die Stammseite habe ich wie gesagt auch eher mit HTML gebastelt, php-Dateien gibts hier keine (bis auf die eine) ich habe alles durchgeschaut.

Das bedeutet doch dann aber, falls ich wirklich eine nicht befallene BackUp-Version habe (und davon gehe ich mal aus, denn nach dem letzten Upload hatte ich ja bis zum 27. keine Probleme) ... dann müsste ich die doch wieder aufspielen können und dann eben nur die Sicherheitslücke kennen. Die könnte quasi in einem der Plugins liegen, im Theme oder irgendwie so.
Das heisst ich müsste erstmal versuchen das Theme ohne Plugins zu fahren um dann nach und nach die Plugins wieder reinzunehmen. Oder ist das dann zu gefährlich?

Gruß Sebastian

Hallo zusammen,

also, ich habe jetzt den Blog in sehr restringierter Weise wieder aufgespielt.

Zuerstmal habe ich sämtliche Passwörter gewechselt, sowohl des Serverzuganges wie auch der Datenbanken. Zusätzlich die Passwörter der registrierten BLOG-Nutzer ... diese (5 Astrotreffmitstreiter) habe ich gleichzeitig erstmal für diese Testphase auf registrierte Leser zurückgestuft.

Dann habe ich eine komplett neu gezogene wie immer aktuelle Wordpressversion aufgespielt.
wp-config und htaaccess-Datei übernommen aus dem "sauberen Backup".

Im Content-Ordner habe ich erstmal alles rausgeschmissen was vollkommen unnötig war, ich denke da war auch viel Altbalast an php-Dateien drin aus alten Plugins aus den Anfangszeiten.
Die meisten dieser Plugins und Dateien sind eh uninteressant.

bis auf Askimet und antivirus habe ich bis dato keine weiteren Plugins aufgespielt. PhpMyAdmin war auch noch so ein Relikt was zwar nicht aktiviert war aber im Prinzip auch völlig unnütz. Kommt auch nicht wieder drauf.

Einzig execphp ist ein wenig unschön weil die Tools jetzt natürlich nicht laufen, das bleibt aber fürs erste auch mal so.

Dann werde ich auf Dauer wieder eine Galerie brauchen, ich denke NgenGallerie ... das dann aber erst später

Das mit den Bilderverzeichnissen ist sicherlich richtig, das stammt auch irgendwie noch aus der Anfangszeit ... ist es den möglich dieses Verzeichnis irgendwie global zu übergeben oder müsste ich für eine Änderung ein komplett neues Verzeichnis anlegen und die Verlinkungen Beitrag für Beitrag neu wiederherstellen. Das wäre natürlich unschön.

Zitat

Ich persönlich lege Grafiken und Bilder bevorzugt in Verzeichnisse in denen keine Scripte (php, perl etc) ausgeführt werden können

Wie genau kann ich mir das vorstellen, muss man das speziell einrichten oder ist das durch die Ordnerstruktur vordefiniert?

Zitat

Dein Script
/astronomie/loadimage.php
liefert auf url=
Dateien aus. Werden diese Daten *richtig* geprüft?

Da augenscheinlich auch ../ hier erlaubt betrachte
ich dies von weiten als gewagt an.

Alles anzeigen

loadimage ist ein Codeschnipsel denn ich eingebaut habe für eine dynamische Bildanzeige.

<?php
$url = $_GET["url"];
$id = $_GET["id"];
echo $id;
?>
|
<img src="<?php echo $url; ?>" border="0" alt="">

Die Seite arbeitet dann beispielsweise folgendermaßen:
http://www.slyspace.de/astronomie/Planeten.html

siehe Quelltext.

Wo ich das damals gebastelt habe war das an Dynamik mal was neues, heute sicher auch eleganter zu lösen.

LG Sebastian