Bezpieczeństwo Wordpress na stronach hostowanych w IIS.


10

Od wczoraj na jednej z moich stron internetowych dzieją się dziwne rzeczy.

Indeks.php mojej witryny wordpress na IIS zmienił się z 1 kb na 80 KB. Również map.xml i sitemap.xml są nowe w katalogu. Niektóre dodatkowe pliki można również znaleźć w wp-content / themes lub wp-content / include folers. Jak b.php lub e.asp.

W logach mogę znaleźć pozycję, która pokazuje proces, który moim zdaniem. POST /wordpress/wordpress/wp-content/plugins/easyrotator-for-wordpress/b.php - 80 lub POST /wp-content/themes/koppers12/library/e.asp | 26 | 800a0408 | Invalid_character 80

Prawdopodobnie ma to związek z faktem, że moje ustawienia zabezpieczeń mogą być mniej zaostrzone, jednak nie jestem w stanie wymyślić, jak zaostrzyć zabezpieczenia, ale pozwalam mechanizmowi aktualizacji samego WordPressa, motywów i wtyczek działać.

Obecnie prawa (iusr) są ustawione na odczyt zapisu dla całej strony internetowej. Jeśli zmienię to tylko na odczyt, cały mechanizm aktualizacji zawiedzie z powodu mniejszych uprawnień

Czy jest jakiś sposób, aby zapobiec wstrzykiwaniu niechcianych plików na stronie, ale także być w stanie zaktualizować wordpress, motywy i wtyczki?

Czy zastosowany zastrzyk może być exploitem jakiejś wtyczki, czy może ze względu na prawa strona wstrzykiwana jest z niechcianymi plikami?

(Zablokowałem adresy IP, które to spowodowały, ale to nie pomaga, ponieważ ta metoda wstrzykiwania była już widoczna na innych adresach IP / zakresach.)


Odpowiedzi:


10

Postępowałem zgodnie z tym przewodnikiem, który działa dobrze

https://codex.wordpress.org/Hardening_WordPress

Kilka rzeczy, o których należy pamiętać, jeśli pozwalasz wielu użytkownikom przesyłać treści do Twojej witryny, twórz własne artykuły, powinni mieć nie tylko specjalne konto uprzywilejowane w WordPress, ale także podyktowane konto użytkownika ftp na pudełku. Ten użytkownik nie powinien mieć żadnego prawa logowania.

Jeśli to tylko jeden użytkownik wprowadza zmiany, skonfiguruj uwierzytelnianie podstawowe za pomocą lokalnego konta Windows. Po kliknięciu łącza w celu dodania multimediów lub wprowadzenia zmian zostanie wyświetlony monit o podanie nazwy użytkownika i hasła.

Korzystając z naszej strony potwierdzasz, że przeczytałeś(-aś) i rozumiesz nasze zasady używania plików cookie i zasady ochrony prywatności.
Licensed under cc by-sa 3.0 with attribution required.