cPanel i WP?

[obi_van]

Pozdrav,

imam jedan site koji je uradjen u WordPressu, i nalazi se na hostingu kod EuNeta. Vec treci put u zadnje tri nedelje svi php fajlovi u root-u WP sajta pokazuju da su modifikovani. Svi istog dana, istog sata i minuta. Kada se to desi kontakt forma prestane da radi, validacija na istoj konkretno. Zasto se to odrazi samo na kontakt formu nemam pojma, ali mi nije jasno ko i sta modifikuje fajlove. Sami se od sebe modifikuju ili sta? Jel WP ima neki auto update mozda, da li moze da se iskljuci?? Kada sam zvao EuNet podrsku, prvo su mi trazili username i pass za cpanel nalog, a onda u odgovoru naveli da pazim da ne saljem slucajno korisnicko ime i lozinku putem emaila??! Elem, odgovor je sledeci, pogledajte logove u vasem cPanelu. -.-

Jel zna neko zasto se ovo desava, konkretno to za modifikovanje fajlova, formu cu vec da sredim nekako. Hvala u napred na odgovorima.

 

[kUdtiHaEX]

WP nema autoupdate tj. update se radi iskljucivo klikom na UPDATE dugme u administraciji. A za logove su u pravu, pogledaj sta je tacno uticalo na promenu fajlova jer je moguce da neko drugi ima pristup tvom FTP-u i da prepisuje fajlove.

Ono sto mozes jos da uradis je da instaliras Better WP security i da upalis File modification monitor kako bi ustanovio kako i kada se to desava. Za pocetak, promeni sve sifre

 

[obi_van]

Na cPanelu sam juce izmenio sifre. Pogledacu jos oko logova, i instaliracu Better WP security, pa cu da vidim sta i kako. Hvala.

 

[obi_van]

Hvala jos jednom za savet. Vidim da je neko prckao sa IP-a ispod i pokusavao da se loguje. Stavljen je na ban listu pa cu videti ubuduce sta se desava.

"A host, 178.151.216.53(you can check the host at http://ip-adress.com/ip_tracer/178.151.216.53) has been locked out of the WordPress site at http://**********.*** until Saturday, February 2nd, 2013 at 3:52:34 am UTC due to too many login attempts."

 

[kUdtiHaEX]

Savetujem ti da dobro podesis BWS plugin i da ukljucis ban liste kao i da aktiviras banovanje raznoraznih botova. Sve ovo imas po tabovima u okviru plagina. Takodje, pametno bi bilo da izmesti wp-admin na neki drugi URL.

Pre 10 dana je otkriven opasan XSS bug u WP 3.4+ koji napadacu omogucava administratorske privilegije nakon uspesnog napada. Koliko ja znam, trenutno nma zvanicne zakrpe tako da je moguce da si zrtva tog napada. To mozes ustanoviti tako sto ces pogledati svoj access_log koji ti nudi cPanel i proveriti da li u njemu vidis nesto nalik na: http://grave.deminted.com/bla.txt

 

[obi_van]

hmm ne vredi. Opet jutros u 9:41 svi php fajlovi u rutu modifikovani.

Dodao sam taj adresni opseg iz Ukrajine u ban listu, i taj IP pojedinacno, isto tako i username i pass, kao i admin URL promenio. I opet kao sto rekoh gore ista prica. Ne kontam sta bi to moglo da bude. Onako na prvi pogled kada otvorim te fajlove u editoru ne vidim nista cudno.

 

[kUdtiHaEX]

Ja mogu da pogledam o cemu se radi i da ti kazem okvirno ko te maltretira ali mi trebaju logovi i, evenetualno, pristup cPanelu Postoje 3 nacina koja nekome omogucavaju izmenu fajlova:
1. Editor u Wordpress-u
2. Direktan FTP pristup
3. Apache hostsymnlink bug ili neki drugi vid propusta na serveru (mogucnost izlaza van svog home direktorijuma i file browsing drugde po serveru)

 

[obi_van]

Kako uopste da otvorim ovaj raw access log sa cPanela? Ja ga skinem ali za svaki mi 7zip kaze da je ostecen. U cemu mogu na Win masini da ga otvorim, ako uopste mogu?

 

[IgorHW]

WP editor moze da se iskljuci iz wp-config.php tako sto dodas:

define('DISALLOW_FILE_EDIT', true);

Sto mislim da treba raditi uvek.

 

[obi_van]

Dodao sam tu liniju. Imam je vec na druga dva wp sajta. Videcu kada budem kuci jos jednom te logove, ali za ovaj sajt su definitivno osteceni i prazni?! Za druge sajtove loguje ok.

 

[obi_van]

Da se nadovezem na moje pisanje od proslog meseca. Elem, mislili smo da smo sredili navedeni "problem", ali isti se opet vratio, i svako jutro izmedju 9-10AM vecina php fajlova bi bila modifikovana, i kontakt forma, to jest validacija za istu bi prestajala da radi. Opet smo usli u prepisku sa EuNetom, i opet nam je receno da je sa njihove strane sve ok. E sad, pre desetak dana ja vidim da sajt ne radi, znaci mrtav totalno. Pogledam malo bolje, a domen kao da nepostoji, ni ping, ni webmail, nista. Prijavim to u firmi, i direktorka nadje u spam folderu mail od dan ranije u kome se navodi da ima nekih nejasnoca u podacima navedenim prilikom registracije domena, i da ce ukoliko se ne isprave do 1 marta domen suspendovati?! Mi im posaljemo mail, kazemo sta se desilo, i da jos nije 1 mart, itd, i oni ponovo "puste", aktiviraju domen, i gle cuda od tada se vise fajlovi ne menjaju, i kontakt forma kao i sam sajt rade najnormalnije svo vreme? Jel ima neko ideju sta bi to moglo da bude? Mislim nek ostane ovako i svi srecni, ali kakve veze ima deaktiviranje i aktiviranje domena sa navedenim "problemom"?

 

[kUdtiHaEX]

Apsolutno nikakve.