Um schreiben oder kommentieren zu können, benötigen Sie ein Benutzerkonto.
Sie haben schon ein Benutzerkonto? Melden Sie sich hier an.
Jetzt anmeldenHier können Sie ein neues Benutzerkonto erstellen.
Neues Benutzerkonto erstellenNatürlich würde ich die Werte nicht genau so übernehmen, wenn ich das Mailfeature nutzen würde.
Aber allein die Tatsache, dass hier in WP Felder vorausgefüllt sind mit Werten, die somit jeder kennt und der Umstand, dass es sich um Logindaten handelt...das könnte man vielleicht zu Hackingzwecken nutzen... war mein Gedanke.
Wenn nicht, umso besser.
Hallo,
in den Schreibeinstellungen gibt es die Option "post via email".
Dort sind drei Eingabefelder, nämlich Mail Server, Login Name und Password, welche alle drei daneben mit leicht zu erratenden Werten bereits ausgefüllt sind, z.B. "password" als PW.
Ist das aus Sicht der Sicherheit eine gute Idee? Kommt mir vor, als ob das WP-PW "Admin" voreingestellt wäre. Ihr wisst, was ich meine.
Grüße,
Autor33
Ein täglicher Überblick über alle Datei-Änderungen, ja, sowas wäre schon mal gut.
Ich kann beim Hoster einen Scan laufen lassen, aber halt immer nur auf extra Antrag und der scant auf Malware.
https://jetpack.com/support/scan/ scheint von einem Plugin zu sprechen, ohne es direkt als solches zu nennen, da auch ein one-click-fixing dabei ist und das kann ja nur funktionieren, von etwas installiert ist von Jetpack.
Kennst du Jetpack aus eigener Erfahrung?
@Putzlowitsch:
Admins sehen es, ja, aber die löschen es gleich, ohne es wirklich zu "sehen". Da wäre ein öffentlicher Kommentar oder Trackback, der einige Zeit öffentlich ist, bevor er dann "wahrscheinlich, früher oder später" gelöscht wird, sehr viel sinnvoller.
@Marcus[IS] :
Ich habe die Settings jetzt geändert. Hoffentlich verhindert das solchen Spam im Dashboard zukünftig. Nicht dass es technisch doch noch möglich bleibt, so etwas abzusetzen.
Hallo,
hat hier vielleicht der eine oder andere Erfahrung mit Wordfence?
Ich habe es auf einer Site mal nur installiert und aktiviert, ohne etwas explizit anzustoßen oder zu konfigurieren, weil ich da gerne Schritt für Schritt vorgehen würde.
Was ich im Web so gefunden habe, scheint es gute Dienste zu tun, also tatsächlich Angriffe zu blockieren (Firewall) und sinnvolle Infos mitzuteilen, aber es braucht viel RAM und eigentlich möchte ich nicht, dass das Plugin einfach irgendwas in meine htaccess oder functions.php reinschreibt.
Im Wesentlichen suche ich ein gutes Monitoring.
die readme.html oder liesmich.html Datei legt man schon auch Sicherheitsgründen nicht auf den Server. Auch wp-config-sample.php und haben license.txt nichts auf dem Server verloren.
An den Inhalten kann ein Angreifer die WordPress Version unter ungünstigen Bedinungen erkennen. Bei automatischen Updates kommen die Dateien per se zurück...
Das heißt, du löscht diese Dateien einfach und nach jedem Update erneut? Empfiehlt WP das bei bzw. nach der Installation?
Ich habe in meiner htaccess den Zugang zu readme und liesmich gesperrt, dann muss man nicht immer dran denken bei jedem Update.
Der Trojaner hatte die liesmich und license meiner Erinnerung nach tatsächlich angefasst. Jedenfalls waren diese Dateien mit einem veränderten Datum versehen.
Hier hat ein Artikel seine meinung zum Löschen solcher dateien geändert: https://wpsmackdown.com/delete-unnecessary-wordpress-files/
@b3317133
Das Herunterladen meiner WP-Version hat ergeben, dass beide Versionen drin sind. Vermutlich hat das mit irgendeinem Sprachupdate seit meiner damaligen Installation vor einigen Jahren zu tun.
Also lass ich auch beide drin.
Danke für die schnelle Antwort.
Wenn ich eine alte Kopie meiner Website anschaue, dann habe ich dort die englische readme. Allerdings war dort immer (fälschlich) Englisch als Site language eingestellt.
Ich lade mir trotzdem mal 4.9.15 runter.
Mit "Einstellungen > Allgemein > Sprache der Website" z.B. "Deutsch" bekommt man also die Auszeichnung einer deutschen Website beim doctype im Quellcode. Quasi die öffentliche Erklärung, "diese Site ist (vorwiegend) für deutsche Besucher, verwendet deutsche Texte, ist deutsch am Frontend.
Im Backend bin ich aber Englisch gewöhnt und habe ursprünglich ein englisches WP installiert. Beim User-Setting daher jetzt Englisch eingestellt.
Wahrscheinlich spielt die korrekte readme.html für ein Funktionieren von WP keine Rolle, aber sollte ich nun eine deutsche liesmich.html oder eine englische readme.html im Hauptverzeichnis haben? Momentan habe ich, bedingt durch gewisse Arbeiten am CMS, beide Versionen.
Nicht dass beim anstehenden großen Upade von 4.9.15 auf 5.2 das Vorhandensein beider evtl. Schwierigkeiten macht.
, post: 795872, member: 25287"]
Hast du denn Spam Schutzmaßnahmen, wie zum Beispiel das Plugin Antispambee für Kommentare und Track- / Pingbacks auf deiner Seite in Betrieb?
Da ich nie einen Blog vorhatte und nie Kommentare/Trackbacks/Pingbacks erwartet habe, habe ich auch keine Schutzmaßnahmen per Plugin ergriffen. Zumal ich immer versuche, Plugins zu vermeiden.
, post: 795872, member: 25287"]Hi,
Wenn du das also nicht unbedingt benötigst, kannst du das auch deaktivieren.
Das sind dann wohl die beiden "Allow..."-Punkte in den Discussion Settings ganz oben, siehe screenshot?
, post: 795872, member: 25287"]Hi,
Das könnte auch erklären wieso du diese Viagra Trackbacks erhältst. Da hat dich jemand in seiner Trackbackliste verewigt.
Tauchen die Einträge in den Kommentaren automatisch auf?
Wie meinst du "automatisch"?
Wie gesagt, "posts" mit einem Kommentarbereich gibt es nicht und die pages haben ebenfalls keinen Kommentarbereich.
Ziemlich selten taucht aber dann doch hin und wieder im dashboard ein Spam-Kommentar oder Trackback auf, der sich auf eine bestimmte page bezieht und bearbeitet werden soll.
So einen Kommentar oder Trackback wird also nie jemand zu Gesicht bekommen und das dürfte der Verursacher auch wissen... das kommt mir halt komisch vor, das macht ja noch nicht mal als Spam Sinn oder wozu?
Hallo,
wie kann ein Spammer einen Viagra-Trackback hinterlassen, obwohl es gar keine Blogbeiträge gibt ("statische" Info/Firmen-Site)?
Könnte das sicherheitstechnisch eine Gefahr sein?
Das "Kopfschüttel" war auf die Schadenfreude von r23 bezogen, das war missverständlich, weil nach deinem post, sorry.
Ansonsten, es geht um die beiden genannten Dateien und die beiden Ordner, nur nicht "jeder in jedem". Die Schreenshots machen es dann aber deutlich. Würde man mit der falsch plazierten htaccess in wp-content dann gar nichts sehen, wäre die Frage diesbezüglich nach "kann das o.k. sein" überflüssig gewesen, denn dann hätte ich einen offensichtlichen Murks am Frontend gehabt.
Soweit es mich betrifft, liegt die htaccess im Updraft-Ordner, nicht in wp-content und die index.php in den beiden anderen, siehe Eingangspost und die Beispiele.
"Kopfschüttel".
Ich hatte das so verstanden... aber... ich bin wahrscheinlich einfach etwas durch den Wind im Moment.
Habe es wahrscheinlich mit der Äußerung zum Profil verwechselt.
Die Sprache des Websites stellt man im Menü Einstellungen > Allgemein > Sprache der Website ein.
Also tatsächlich beides, "Website" am Frontend (bzw. im Quellcode dort) und im Backend?
Dann darf man sich also von der prompten Veränderung im Backend gleich nach dem Speichern nicht täuschen lassen...
Hallo,
im head des Quellcodes meiner Sites steht
<!DOCTYPE HTML><html lang="en-US">
WP ist englisch und das Theme auch, aber die Seiten selbst, also deren Texte sind natürlich schon deutsch.
Wenn ich https://wiki.selfhtml.org/wiki/HTML/Tutorials/HTML5/Grundgerüst lese, dann läuft das also nicht richtig bei mir, denn da steht:
"Im html-Element muss mit dem lang-Attribut die Sprache des Seiteninhalts angegeben werden; das ist wichtig für die allgemeine Benutzbarkeit der Seite. (für deutschsprachige Seiten: <html lang="de">; für englischsprachige "en")".
Hier bei https://de.wordpress.org/support/topic/…-statt-deutsch/ heißt es, dass mit Einstellungen - Allgemein nur die Sprache im Backend geändert wird, was auch tatsächlich geschieht, ich habe es probiert. Seltsamerweise ändert sich aber auch der obige String beim DOCTYPE in deutsch.
Hat sich das mal geändert und ist das jetzt die richtige Stelle auch für die obige Sprachangabe des Seiteninhaltes beim DOCTYPE im Quellcode?
Alles klar, dank euch.
Und ich dachte, "Silence is golden" ist eine Veräppelung vom Hacker, denn diese Dateien waren schon letzte Woche dort drin.
Hätte aber auch ohne Hacking und bei einem ganz neuen WP mit diesen beiden Dateien in vielen Unterordnern nichts anzufangen gewusst und mich gewundert.
Ich kannte die immer nur vom Hauptverzeichnis.
"Lade ein frisches WordPress Archiv herunter, dann kannst Du abgleichen, welche Dateien mit welchem Inhalt standardmässig wo sind."
Für das hacking braucht es das nicht mehr, aber ich habe es vor einigen Tagen mal probiert und das hätte wohl Ewigkeiten gedauert, ist dann irgendwann plötzlich stecken geblieben. Habe dann gegoogelt nach den Standardpfaden und so, aber immer nur Teile gefunden.
"Ergänzung: Viele Trojaner verstecken sich u.a. auch in diesen standardmässig vorhandenen index.php Dateien, das erkennt man an der dann abweichenden Grösse der Datei und natürlich auch am Inhalt."
Das war bei mir auch so. Offenbar ein Backdoor-Trojaner, der durch eine Sicherheitslücke eines Editors im Theme reinkam. Kleiner Trost ist, dass es zumindest nicht an etwas lag, was ich in der Hand und mich darum gekümmert habe (Plugins, Passwort ect.).
Schon erschreckend, ich meine, wirklich erschreckend, wenn du dein Herzblut in nicht nur primär kommerzielle Sites und sehr viel Zeit legst und alles aus deiner Sicht Erdenkliche tust, um auch der Sicherheit genüge zu tun und dann passiert es trotzdem.
Eine Erfahrung, die mich lehrt, zukünftig etwas für den Fall zu tun, dass eine Infizierung geschehen ist, also dass das sofort entdeckt wird. Denn wirklich sicher vermeiden kann man es nicht, auch bei aller guter Absicht und Bewusstheit nicht. Selbst dann, wenn ich mir demnächst gleich zwei Sicherheitsplugins zulege.
Sogar UpdraftPlus und Duplicator sind schon Mal Risiken gewesen und sogar Sicherheitsplugins selbst! Was soll man da noch sagen...
Hallo,
ist es normal, dass eine "index.php" und "htaccess" in Unterordnern wie dem von "UpdraftPlus" oder "Themes" oder in "wp-content" sind? Siehe screenshots.
In der index steht
<?php
// Silence is golden.
In der htaccess
deny from all
Ja, der Support ist wirklich gut, soweit ich es nach zwei Anrufen sagen kann.
Geschwindigkeit war auch gut für dich?
Warum bist du denn nicht mehr dort, wenn alles so gut ist?
Hallo,
hat jemand mit WebhostOne Erfahrungen, also Shared Hosting in kleinerem/mittlerem Tarif für WP-Sites?
Wenn man dadurch wochenlang kein Update wagen kann, ist das jedenfalls schlecht. Und vor allem: Ich habe das nur rein zufällig bemerkt. Normalerweise hätte ich das Update gemacht und dann vermutlich den Salat gehabt. Und dann beweise mal, dass es daran lag...
