Какво ново?
От:
Подробно търсене…
SearchEngines.bg

Това е примерно съобщение за гост. Регистрирайте безплатен акаунт днес, за да станете потребител на SearchEngines.bg! След като влезете, ще можете да участвате в този сайт, като добавите свои собствени теми и публикации, както и да се свържете с други членове чрез вашата лична входяща кутия! Благодарим ви!

Да стегнем малко горкия, беззащитен Wordpress :)

Re: Да стегнем малко горкия, беззащитен Wordpress :)

Темата е уникална. Спестява много енергия и време :D
Иначе по някаква причина, не мога да си оправя с правата на папките, единичните файлове ок, но не и папките. Главната папка, в която е wp , както и wp-admin, wp-conten, wp-includes водят или до цялостна забрана за достъп (в първия случай) или до липса на връзка с дб. В момента са на 755 , Каква би могла да бъде причината ?
 
Re: Да стегнем малко горкия, беззащитен Wordpress :)

При мен си работи след като промених правилата на папките. Не знам защо при теб не става. Аз много не разбирам от права и т.н., така че някой друг да помогне тук.
А за плъгина, моето лично предпочитание е да не слагам такива сложни плъгини дето ръчкат навсякъде по разни htaccess файлове щото правят една голяма каша на края :D. За това ръчно си правя промените и си знам поне какво съм направил и как да го премахна.
 
Re: Да стегнем малко горкия, беззащитен Wordpress :)

scoobydoo каза:
При мен си работи след като промених правилата на папките. Не знам защо при теб не става. Аз много не разбирам от права и т.н., така че някой друг да помогне тук.
А за плъгина, моето лично предпочитание е да не слагам такива сложни плъгини дето ръчкат навсякъде по разни htaccess файлове щото правят една голяма каша на края :D. За това ръчно си правя промените и си знам поне какво съм направил и как да го премахна.
Увеличете...

И аз като видях какво съдържа ми прилоша, освен това ползва много натрапчив банер, за ъпгрейд. Нямам нищо против платените неща, но малко по-културно :)
 
За: Да стегнем малко горкия, беззащитен Wordpress :)

За: Да стегнем малко горкия, беззащитен Wordpress :)

Днес добавих още един съвет - номер 14. Идеята е да се премахнат темите, които не се ползват, вместо да стоят напразно заедно със своите евентуални дупки в сигурността. Въпреки че не са активирани и не се ползват, хакерите могат да правят разни заявки към файловете им.
 
За: Да стегнем малко горкия, беззащитен Wordpress :)

За: Да стегнем малко горкия, беззащитен Wordpress :)

Ето една съвсем прясна информация, касаеща любимата на доста хора Уърдпрес, която може да ги накара да се замислят и да обърнат внимание на ZB Block. Тук има хора, които го ползват вече и могат да дадат точна оценка на работата му. Отново напомням, че системата е безплатна и аз нямам никаква далавера от това да ви я препоръчвам, освен че съм доволен от защитата. :)
 
За: Да стегнем малко горкия, беззащитен Wordpress :)

За: Да стегнем малко горкия, беззащитен Wordpress :)

diabolic.bg каза:
Ето една съвсем прясна информация, касаеща любимата на доста хора Уърдпрес, която може да ги накара да се замислят и да обърнат внимание на ZB Block. Тук има хора, които го ползват вече и могат да дадат точна оценка на работата му. Отново напомням, че системата е безплатна и аз нямам никаква далавера от това да ви я препоръчвам, освен че съм доволен от защитата. :)
Увеличете...


Никога не съм мисли, че ще кажа нещо в защита на WP, но специално в този случай грешиш. Вината за "създаването" на този ботнет е изцяло на собствениците на сайтовете. Лесният начин на работа с WP превърна всеки олигофрен с достъп до интернет в webmaster guru. Ако тези хора използват нормални пароли, разбирай поне 10 символа със смесен регистър (големи и малки букви), поне една цифра и поне един служебен символ, никога няма да станат жертва на подобни атаки. Общо взето качват php shell директно през админ панела. Заявките за налучкване на пролата са към wp-admin/index.php, а не директно към wp-login.php . Качения php shell го именуват като плъгин "tell a friend"

Код: 
/usr/local/apache/domlogs/*********:87.244.157.41 - - [10/Apr/2013:23:00:29 +0300] "POST /wp-admin/update.php?action=upload-plugin HTTP/1.1" 200 4533 "http://*********/wp-admin/plugin-install.php?tab=upload" "Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0)"

/usr/local/apache/domlogs/**********:87.244.157.41 - - [10/Apr/2013:23:00:31 +0300] "GET /wp-admin/load-scripts.php?c=1&load=admin-bar,hoverIntent,common,jquery-color&ver=3.4.2 HTTP/1.1" 200 5480 "http://*********/wp-admin/update.php?action=upload-plugin" "Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0)"

/usr/local/apache/domlogs/*********:87.244.157.41 - - [10/Apr/2013:23:00:36 +0300] "GET /wp-content/plugins/tell-a-friend/tell-a-friend.php HTTP/1.1"  200 113 "-" "Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0)"
 
За: Да стегнем малко горкия, беззащитен Wordpress :)

За: Да стегнем малко горкия, беззащитен Wordpress :)

Напълно съм съгласен с теб. Винаги съм твърдял, че паролата е най-важната защита и самият аз за моя админ панел ползвам 16 символна парола, като половината са служебни символи и главни букви. Но на нашенския потребител, колкото и да му се обяснява, него го мързи да мисли и предпочита зашеметяващите пароли от типа 123456, които най-трудно се отгатват... :clap:
 
За: Да стегнем малко горкия, беззащитен Wordpress :)

За: Да стегнем малко горкия, беззащитен Wordpress :)

123456 се брои за трудна парола. Повечето спират като стигнат до 5
 
Последно редактирано:
За: Да стегнем малко горкия, беззащитен Wordpress :)

За: Да стегнем малко горкия, беззащитен Wordpress :)

Относно текущата атака, до колкото гледам от мои блогове заявките са без referrer. Предлагам да се направи едно изискване в htaccess, което да проверява заявките към wp-login.php дали имат referrer. Може би нещо подобно (не е тествано):

Код: 
<FilesMatch "^wp-login\.php$">
RewriteEngine On
RewriteCond %{HTTP_REFERER} ^$
RewriteRule .* - [F,L]
</FilesMatch>

Няма логика там да отиват заявки без referer.
 
За: Да стегнем малко горкия, беззащитен Wordpress :)

За: Да стегнем малко горкия, беззащитен Wordpress :)

Защо да няма? Ако те е набелязал преди час и сега с влизането задава директно заявка към твоя wp-login.php, мисля, че няма да има referer. Не случайно и броячите отчитат реферални посещения и директно влизане. Може и да греша де, не споря, ама си мисля, че referer не е задължителна величина при всяко влизане. Ако пък дойде от wp-admin/index.php, както пише s1yf0x, как ще го спре този код?
 
Последно редактирано:
За: Да стегнем малко горкия, беззащитен Wordpress :)

За: Да стегнем малко горкия, беззащитен Wordpress :)

Тук от Суперхостинг са писали доста за атаките и някои начини за защита. Глобална Brute Force атака към WordPress сайтовете | Блог на SuperHosting.BG
Аз лично съм задал да мога да достъпвам wp-admin само от моето IP, това в комбинация с някои други методи които са споменавани в тази и други теми на форума.
 
За: Да стегнем малко горкия, беззащитен Wordpress :)

За: Да стегнем малко горкия, беззащитен Wordpress :)

Който е приложил нещата от темата, е защитен от тази атака и то по няколко начина дори. Така че поздравления на всеки, който е решил да инвестира времето в прилагането на съветите от темата :).
 
За: Да стегнем малко горкия, беззащитен Wordpress :)

За: Да стегнем малко горкия, беззащитен Wordpress :)

Май през миналата седмица стана приказка за ботнета, който провежда brute force атака и чупи паролите на Wordpress сайтове по целия свят. Тези, които използват безплатния ZB Block, вече могат да се възползват от още една екстра - специална защита срещу този тип атака. Повече подробности за начина на употреба и изискванията може да прочетете във форума на автора тук.
 
Трябва да си влезнал или регистриран, за да отговориш тук.

Горе