Nenehni vdori na Wordpress strani

Če imaš cPanel potem imas dostop do access loga v samem cPanelu. Log je star 24 ur (če nima vklopljeno arhiviranje logov).

Sicer pa kontaktiraj svojega gostitelja in ti bo zagotovo zrihtal loge in povprašaj malo kako imajo urejene zaščite na serverju (mod_security, anti xploit, WAF itd.).

Možnosti za vstop je veliko. Vtičnike uporbaljaš? Iste na stari in novi verziji strani?

.htaccess datoteke in podobno si nastavil? administracijo pod geslo dodatno (htaccess)?

Vezava administracije na IP?

Geslo nima veze, če pridejo not preko varnostno oporečne komponente. Razen če jih ne uporabljaš sploh.

Shranjuješ FTP gesla v Filezillo? Si preveril FTP log?

Iste vtičnike sem uporabil na obeh straneh. Na supportu vtičnikov nisem zasledil nobenega problema glede ranljivosti.

Vse varnostne nastavitve sem naredil preko iThemes vtičnika. Očitno to ne zadostuje.

Mi lahko prosim podrobno napišeš, kaj in kako treba spremeniti v htaccess?

Gesel ne shranjujem v ftp, vedno uporabljam "vprašaj za geslo" opcijo.

Ftp log: Fri Oct 10 12:49:31 2014 0 89.212.192.66 17249 /home/wwwzavod/public_html/wp-config.php a _ o r wwwzavod ftp 1 * c

Mi pa ti logi ne pomagajo, ker jih ne znam brati :-(

Poizkusi še z Wordfence, če ga še ne uporabljaš.

Zablokiraj dostop do wp-login.php in wp-admin vsem razen lastnemu IPju, ithemes security ima po novem tudi distribuirano brute force zascito, omogoca pa tudi "skrivanje" admina (dostop le preko xyz linka). Potem pa vrzi se wordfence cez vse fajle.

Lombi:

Zablokiraj dostop do wp-login.php in wp-admin vsem razen lastnemu IPju, ithemes security ima po novem tudi distribuirano brute force zascito, omogoca pa tudi "skrivanje" admina (dostop le preko xyz linka). Potem pa vrzi se wordfence cez vse fajle.

Ampak če maš dinamični IP potem je problem blokirati IP-je razen svojega...

Dovolis samo IPje od tvojega ISPja

mckmck:

Lombi:

Zablokiraj dostop do wp-login.php in wp-admin vsem razen lastnemu IPju, ithemes security ima po novem tudi distribuirano brute force zascito, omogoca pa tudi "skrivanje" admina (dostop le preko xyz linka). Potem pa vrzi se wordfence cez vse fajle.

Ampak če maš dinamični IP potem je problem blokirati IP-je razen svojega...

Ja. Naceloma obstaja tudi ogromno poti kako svoj IP dodajas noter, ampak ce ze zapres wp-login in wp-admin izven slovenije, si zaflikal 90% "problema" - ce izvzamemo timthumb ter druge slabo napisane teme in/ali plugine, potem je s popolno blokado problem resen - ce ne tekmujes z matematicno verjetnostjo (wp pac nima integrirane brute force zascite), potem imas toliko manj moznosti za tezavo.

Cisto za primer - 4 leta stare "proof of concept" zascita:

• deny to all (login/admin)


• skrivni url dovoli prijavo (whitelista ip, vkolikor ga ni noter)


• registracija/lost password zablokirana, registracija fizicno zbisana (glej PS)


• 1 prijava z neobstojecim uporabnikom globalno zapre dostop do celotnega racuna

Okoli 90 (vcasih vec, recesija in to) narocniskih strani uporablja ta "proof of concept", v 4 letih sta se zgodila samo 2 vdora, oba zaradi varnostne luknje v gostovanju.

PS: Seveda ta resitev deluje izkljucno na straneh, kjer se obiskovalci ne prijavljajo/registrirajo v WP, torej da backend deluje izkljucno kot management vsebin.

...

Ampak ja, ce je prisel do podatkov skozi tvoj mail, potem ti nobena zascita ne pomaga (enako kot oba vdora v hosting), podobno tudi za delovno postajo in kak slabo zasciten cloud backup. Ce ves, v katerem grmu tici zajec, lazje zabetoniras grm ;)

Morda bo tudi tale članek uporaben:

http://www.thecodertips.com/2013/10/top-3-wordpress-security-plugins.html

Je smiselno namestiti en kup pluginov za varnost ali je bolje imeti le npr iThemes in Wordfence?

Sprašujem za spletne strani, kjer na dashboard ne dostopa nihče drug kot administrator.