HTML-Seiten bei Google gelistet, die nicht existieren, aber weiterleiten

    Hallo.
    Ich weiß gar nicht so recht, wie ich das erklären soll.
    Bei Google findet man Seiten meines Blogs, die gar nicht existieren. Diese haben hauptsächlich etwas mit "Singebörsen" usw. zu tun.
    Die Einträge sehen folgendermaßen aus: http://www.meinedomain.de/sie-sucht-ihn-berlin.html
    Wie gesagt, diese HTML-Dateien existieren nicht. Klickt man aber die URL an, wird man auf eine dubiose Seite weitergeleitet.
    Meine .htaccess-Datei habe ich bereits überprüft. Alles ok. WP ist auf dem neuesten Stand. Plugins auch.
    Woran kann das liegen?

    PS: Mir ist aufgefallen, dass User existieren, obwohl ich die Registrierung deaktiviert habe. Alle haben als Mail-Adresse wordpress@armyspy.com.

    • Gerade eben
    • Anzeige

    Hallo!

    Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

    • ✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
    • ✔️ Deutsche Server & DSGVO-konform
    • ✔️ Persönlicher Support (kein 0815-Ticket-System)

    Mehr erfahren

    Das sieht nach gehacktem Blog aus...

    In der WP-DB gibt es eine Tabelle für die GUIDs, die den Permalink zur GUID bzw. eigentlichen URL eines Posts mappen.
    Soweit ich mich erinnern kann,. können so auch externe Verlinkungen angelegt werden. Schau mal in deiner Datenbank nach.

    Zitat von Brennr


    Bei Google findet man Seiten meines Blogs, die gar nicht existieren. Diese haben hauptsächlich etwas mit "Singebörsen" usw. zu tun.
    Die Einträge sehen folgendermaßen aus: http://www.meinedomain.de/sie-sucht-ihn-berlin.html

    dies ist gehackter Blog. In der Regel wurden Scripte geändert und es sind neue Scripte hinzugekommen.

    Du kannst mit Verzeichnisvergleich Filezilla unter Ansicht => Verzeichnisvergleich hier aktivieren deine Online WordPress version mit einer original Version vergleichen.

    Prüfe auch das Theme Verzeichnis.

    Da dieser Angriff nur schwer auffällt _man muss sich selber suchen_ oder die Google Webmastertools Hinweise beachten - kann der Angriff schon vor Monaten gewesen sein.

    Such dir einen Dienstleister über das Job-Forum, der die Sicherheitslücke beseitigt und die fremden Inhalte löscht.

    Viel Glück

    Ralf

    Mit offenen Augen träumen

    Allerdings muss es doch irgendwie möglich sein, diese Sicherheitslücke auch selbst zu finden. In der DB konnte ich erstmal nichts finden. Die HTML-Dateien existieren jedoch definitiv nicht.
    Öffne ich zuhause eine dieser URLs, werde ich zu einer dubiosen Seite weitergeleitet. Auf der Arbeit ist dies nicht der Fall (wohl wegen Blacklist). Stattdessen wird mir vom Theme eine Fehlerseite 404 angezeigt. In der Adresszeile steht dabei weiterhin die gefälschte URL. Im Quelltext finde ich dann zig Links zu dubiosen Seiten. Irgendwie gibt es diese HTML-Seite und irgendwie doch nicht. Es ist mir ein Rätsel.

    Zitat von Brennr

    ................ Es ist mir ein Rätsel.

    genau aus dem Grund wäre es sehr sinnvoll eine Entwicklerin // einen Entwickler zu beauftragen, deren Job ist es, dass sowas eben kein "Rätsel" ist.

    Zitat von Monika

    genau aus dem Grund wäre es sehr sinnvoll eine Entwicklerin // einen Entwickler zu beauftragen, deren Job ist es, dass sowas eben kein "Rätsel" ist.

    So gesehen braucht es auch dieses Forum nicht, da man ja bei jedem Problem gleich einen Entwickler beauftragen könnte...

    mit 36 Beiträgen in 8 Jahren redest du von Hilfe im Forum? Vielleicht forderst du zukünftig nicht nur .... denk mal drüber nach.

    [size=10]Bitte immer zuerst die Forensuche nutzen und erst danach Deine Fragen hier im Forum stellen, denn sehr vieles wurde schon mehrfach beantwortet. Bitte dabei auch die Forenregeln beachten.
    Kein Support per PN - Fragen gehören ins Forum.[/SIZE]
    [size=8]Wenn du eine weise Antwort verlangst, musst du vernünftig fragen. (Johann Wolfgang von Goethe)[/SIZE]

    Zitat von Brennr

    So gesehen braucht es auch dieses Forum nicht, da man ja bei jedem Problem gleich einen Entwickler beauftragen könnte...

    es macht Unterschied, ob es um "gehackt sein" geht wo wirklich sehr gutes Fachwissen nötig ist, um jede Lücke zu finden oder ob es um Dinge geht, die man auch einem Laien oder einem Profi, der mal am Schlauch steht, erklären kann.

    Und bei "ich bin gehackt" hilft Halbwissen einfach nicht.

    Zitat von maxe

    mit 36 Beiträgen in 8 Jahren redest du von Hilfe im Forum? Vielleicht forderst du zukünftig nicht nur .... denk mal drüber nach.


    Ich weiß, was Du mir damit sagen möchtest. Ja, vor 8 Jahren hatte ich mich mal registriert. Das war genau der Zeitpunkt, als ich meinen Blog startete. Doch ich merkte schnell, dass ich die meisten meiner Probleme selbst lösen konnte, wenn ich mich ein wenig damit auseinandersetze. Deswegen auch die wenigen Beiträge. Sind wir doch mal ehrlich, die meisten User schreiben hier doch nur, wenn sie selbst ein Problem haben und versuchen es dann gemeinsam zu lösen. Ist doch ganz normal. Bekomme ich mein Problem dann irgendwie doch selbst gelöst, würde ich es dann aber auch allen in meinem Beitrag mitteilen.

    Zitat von Brennr

    Ich weiß, was Du mir damit sagen möchtest. Ja, vor 8 Jahren hatte ich mich mal registriert. Das war genau der Zeitpunkt, als ich meinen Blog startete. Doch ich merkte schnell, dass ich die meisten meiner Probleme selbst lösen konnte, wenn ich mich ein wenig damit auseinandersetze. Deswegen auch die wenigen Beiträge. Sind wir doch mal ehrlich, die meisten User schreiben hier doch nur, wenn sie selbst ein Problem haben und versuchen es dann gemeinsam zu lösen. Ist doch ganz normal. Bekomme ich mein Problem dann irgendwie doch selbst gelöst, würde ich es dann aber auch allen in meinem Beitrag mitteilen.

    ich gebe sicher viel weiter, doch bei "gehackt sein" gibts einfach nichts allgemein gültiges. Jeder Hack ist anders, jeder Angreifer hat eine andere Lücke gefunden, etc.. jede Installation ist doch anders.

    Wenn aber jeder nur dann schreibt bei eigenen Problemen, dann bitte auch nicht wundern, dass keiner hilft. Gerade bei der Denkweise sollte man nicht die Hilfe FORDERN.

    [size=10]Bitte immer zuerst die Forensuche nutzen und erst danach Deine Fragen hier im Forum stellen, denn sehr vieles wurde schon mehrfach beantwortet. Bitte dabei auch die Forenregeln beachten.
    Kein Support per PN - Fragen gehören ins Forum.[/SIZE]
    [size=8]Wenn du eine weise Antwort verlangst, musst du vernünftig fragen. (Johann Wolfgang von Goethe)[/SIZE]

    Zitat von Monika

    ich gebe sicher viel weiter, doch bei "gehackt sein" gibts einfach nichts allgemein gültiges. Jeder Hack ist anders, jeder Angreifer hat eine andere Lücke gefunden, etc.. jede Installation ist doch anders.


    Das mag stimmen, aber man kann doch mit Sicherheit die Stelle ausfindig machen, die manipuliert wurde. Irgendwie müssen ja die Fake-HTML-Seiten bzw. Weiterleitungen zustande kommen. Diese Seiten müssen wohl existieren, aber nicht dort, wo es die URL vermuten lässt. Meine Vermutung: Irgendwo im Dateiverzeichnis liegen die HTML-Seiten und irgendwo in der DB wurde eine Weiterleitung daruaf eingetragen. Die Seiten selbst leiten dann selbst zu einer dubiosen Seite weiter. Ich werde die Quelle finden. Die Frage ist dann aber halt noch, wo die Lücke ist.

    Zitat von Brennr

    Das mag stimmen, aber man kann doch mit Sicherheit die Stelle ausfindig machen, die manipuliert wurde. Irgendwie müssen ja die Fake-HTML-Seiten bzw. Weiterleitungen zustande kommen. Diese Seiten müssen wohl existieren, aber nicht dort, wo es die URL vermuten lässt. Meine Vermutung: Irgendwo im Dateiverzeichnis liegen die HTML-Seiten und irgendwo in der DB wurde eine Weiterleitung daruaf eingetragen. Die Seiten selbst leiten dann selbst zu einer dubiosen Seite weiter. Ich werde die Quelle finden. Die Frage ist dann aber halt noch, wo die Lücke ist.


    zuerst: alle Passwörter ändern, die mit diesem Webspace und allen darauf liegenden DOmains, die dir gehören in Verbindung sind,
    ausnahmslos alle => vom Domainverwaltungszugang bishin zum letzten FTP Zugang, Datenbank ==> ändern in der wp-config.php
    sichere den Adminbereich deiner WP Installation mit einem htaccess Passwort (Tutorials gibts im WWW )


    hol dir deine WP Version komplett neu auf den Rechner
    hol dir jedes Plugin neu
    sichere dein Theme auf dem PC

    kontrolliere die Dateien im Root => das ist dort wo die wp-config.php liegt

    lösche wp-admin, wp-includes, alle Dateien im Root => wp- config.php hast auf deinem Rechner //Sicherheitscodes erneuert,

    lösche wp-content/plugins
    wp-content/themes
    wp-content/languages

    lade alles wieder hoch
    kontrolliere jede ausnahmslos jede Datei deines Themes
    kontrolliere jeden Ordner /Unterordner deines wp-content/upload Ordners, da verstecken sich oft gehackte Bilder..

    mit viel Glück haste dann Ruhe,
    wenn alle Plugins absolut neu sind
    dein Theme neu ist
    Garantie geb ich damit nicht

    weil dann ist da noch die Datenbank
    das zu erklären übersteigt den Rahmen hier..

    ach ja etwaige Backups neu erstellen, alte löschen da kann auch Schadcode drin sein...

    und hast du auf dem Webspace mehrere Domains, dann all dies bei allen Domains.... egal ob WP oder nicht

    Zitat von Brennr

    Allerdings muss es doch irgendwie möglich sein, diese Sicherheitslücke auch selbst zu finden. In der DB konnte ich erstmal nichts finden. Die HTML-Dateien existieren jedoch definitiv nicht.
    Öffne ich zuhause eine dieser URLs, werde ich zu einer dubiosen Seite weitergeleitet. Auf der Arbeit ist dies nicht der Fall (wohl wegen Blacklist). Stattdessen wird mir vom Theme eine Fehlerseite 404 angezeigt. In der Adresszeile steht dabei weiterhin die gefälschte URL. Im Quelltext finde ich dann zig Links zu dubiosen Seiten. Irgendwie gibt es diese HTML-Seite und irgendwie doch nicht. Es ist mir ein Rätsel.

    Sicherheitslücke beantwortet die Frage, wie wurde die Änderung an dem System durchgeführt. Nach deiner Ausführung hier suchst du noch _was wurde wo geändert_.

    In den letzten 4 Wochen hat deine Sichtbarkeit bei Google gelitten (du wirst unter merkwürdigen Begriffen gefunden) und deine Online Reputation fährt zurzeit an die Wand. Es ist somit für dich nicht wichtig...

    Ok. beschäftigen wir uns mit dem unwichtigsten - was wurde wo geändert. Dies hatte ich dir schon beantwortet.

    Du kannst mit Verzeichnisvergleich in Filezilla https://filezilla-project.org/ unter Ansicht => Verzeichnisvergleich hier aktivieren deine Online WordPress Version mit einer original Version vergleichen.

    D.h. du installierst dir auf deinen Rechner unter Xampp https://www.apachefriends.org/de/index.html eine original WordPress Version. Wenn du Online eine 2.9.1 verwendest, musst du dir lokal (auf deinem Rechner) auch eine 2.9.1 installieren.

    Dann logst du dich mit FileZialla ein und vergleichst die Verzeichnisse.

    1. neue Dateien werden dir angezeigt
    2. geänderte Dateien werden dir farblich angezeigt.
    3. nicht geänderte Dateien sind nicht sichtbar.

    Du wirst so neue Verzeichnisse mit neuen Scripten auf deinem Server finden.

    Aber VORSICHT - diese Scripte enthalten in der Regel Viren oder Trojaner. D.h. wenn du diese Scripte auf deinen Rechner holst und ausführst wirst du bei dem nächsten Besuch deiner WebSite keine Änderungen mehr erkennen. Oder etwas deutlicher - der Rechner im Büro hat sich vermutlich einen Virus gefangen.

    Die Frage, wie findet man eine Sicherheistlücke? Ist relativ einfach - wenn man keine Log-Fiels mehr auswerten kann -wie bei dir, verwendet man die Werkzeuge, die auch die Angreifer verwenden.

    Der Verlag nennt die Quellen in den Fachartikeln.
    http://www.heise.de/security/

    In den Scripten, die du auf deinem Server findest steht in der Regel auch der Name der verwendeten Tools.

    Das Open Web Application Security Project (OWASP) ist eine Non-Profit-Organisation mit dem Ziel, die Sicherheit von Anwendungen und Diensten im World Wide Web zu verbessern. Durch Schaffung von Transparenz sollen Endanwender und Organisationen fundierte Entscheidungen über wirkliche Sicherheitsrisiken in Software treffen können.
    https://www.owasp.org/index.php/Main_Page

    WordPress stellt ein WordPress Security Whitepaper zur Verfügung
    https://wordpress.org/about/security/


    Im PHP Magazin gab es einen Security Workshop
    http://www.ceilers-it.de/phpmag/411.html

    In diesem werden notwenige Werkzeuge und Tolls genannt.

    Die Sicherheitslücke muss nicht in WordPress sein. Es kann auch der Rechner im Büro sein, der keine Änderungen zeigt. Oder PHP, oder der WebServer oder etwas anderes.

    /*
    Das HPI-VDB-Portal (https://hpi-vdb.de/) ist das Ergebnis von Forschungsarbeiten unter der Leitung des IT-Security Engineering Teams an meinem Lehrstuhl "Internet-Technologien und -Systeme"' am Hasso-Plattner-Institut. Es ist eine umfassende und selbst aktualisierende Datenbank, die eine große Anzahl bekannter Sicherheitslücken von Software enthält. Die Software-Sicherheitsanfälligkeiten werden im Internet gesammelt, ausgewertet, normalisiert und in einer hoch-performanten Datenbank zentralisiert. Zurzeit beinhaltet die Datenbank über 66.000 Schwachstellen aus über 170.000 verschiedenen Softwareversionen von fast 15.000 verschiedenen Herstellern.
    */

    https://hpi-vdb.de/vulndb/

    einfach nach wordpress suchen...

    Mit offenen Augen träumen

    Einmal editiert, zuletzt von r23 (15. Januar 2016 um 11:33)

    Ok, ich habe verstanden. Das ist wohl doch alles etwas komplexer. Und ich als Laie werde es wohl nicht beheben können. Danke für die Tipps und die Belehrung. Aber wer genau könnte mir jetzt helfen? Könnt ihr jemanden empfehlen? und was würde mich das kosten?

    Update: Ich habe unter "wp-content/stb-themes/stb-metro/dl.php" eindeutig Schad-Code gefunden. Entdeckt hat dies das Plugin "Wordfence". Bin gespannt, was ich noch alles finde.

    Einen Dienstleister kannst du hier über unsere Jobbörse finden

    Zitat von r23

    Such dir einen Dienstleister über das Job-Forum, der die Sicherheitslücke beseitigt und die fremden Inhalte löscht.

    [size=10]Bitte immer zuerst die Forensuche nutzen und erst danach Deine Fragen hier im Forum stellen, denn sehr vieles wurde schon mehrfach beantwortet. Bitte dabei auch die Forenregeln beachten.
    Kein Support per PN - Fragen gehören ins Forum.[/SIZE]
    [size=8]Wenn du eine weise Antwort verlangst, musst du vernünftig fragen. (Johann Wolfgang von Goethe)[/SIZE]

Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!

Benutzerkonto erstellen Anmelden