Comment ont-ils piraté mes sites Wordpress

Bienvenue dans la réalité. Vos sites ont été piratés parce que vous n'avez pris aucune précaution. L'utilisation de versions de WordPress aussi anciennes et vulnérables ne fait qu'encourager ce genre de choses. Compte tenu de l'invitation que vous avez créée, ne soyez pas surpris si des gens viennent à la fête.

Je vous suggère soit de mettre un peu d'effort dans vos sites web, soit d'arrêter de jouer au webmaster et de demander à quelqu'un qui sait ce qu'il fait de gérer vos systèmes et de s'assurer que toutes les mesures de sécurité raisonnables sont mises en œuvre, y compris les mises à jour nécessaires. Un site Web ne se résume pas à l'installation d'une version préemballée d'un logiciel, à la saisie d'un contenu et à un simple repos.

À moins que vous n'ayez les journaux de bord du jour où cela s'est produit, il n'y a probablement aucun moyen de savoir comment cela s'est produit. Il y a des tonnes d'exploits contre les versions historiques de Wordpress comme la 2.5. Voici quelques CVE qui pourraient expliquer comment ils sont entrés :

• CVE-2008-2068
• CVE-2008-2392
• CVE-2009-2762
• CVE-2009-3890

Maintenez-vous vos plugins à jour ? Il y a des exploits contre eux aussi, ça pourrait être le voie d'attaque aussi.

Vous pourriez passer des jours à examiner les CVE et les codes d'exploitation, mais la raison pour laquelle ils sont entrés (en supposant que c'était par Wordpress) était un bug dans le code. Ce bug a probablement été trouvé il y a plusieurs années, largement publié et déjà corrigé. Il n'y a probablement rien de spécial dans votre installation de wordpress, il a probablement été exploité par un outil automatisé recherchant les anciennes versions de wordpress.

Maintenez-vous vos plugins à jour ? Il y a des exploits contre eux aussi, ça pourrait être le voie d'attaque aussi.

Si vous voulez simplement voir comment quelqu'un pourrait exploiter une ancienne version de wordpress, il suffit de rechercher http://exploit-db.com .

Les mots de passe FTP/SSH/Cpanel sont assez forts.

Réutilisez-vous les mots de passe ? Votre mot de passe FTP est-il le même que celui du forum auquel vous vous êtes peut-être inscrit il y a trois ans et qui stockait ses mots de passe en clair et a été piraté ? C'est un autre moyen d'attaque.

Voir FAQ : Mon site a été piraté " WordPress Codex y Comment nettoyer complètement votre installation wordpress piratée y Comment trouver une porte dérobée dans un WordPress piraté ? y Durcissement de WordPress " WordPress Codex

Cette question est vraiment ancienne, mais comme j'ai été récemment confronté au même type d'attaque, voici quelques mesures de base que vous pouvez prendre :

1. Modifiez votre fichier php.ini pour interdire l'accès à base64_decode fonctionnalité. Trouvez la ligne qui dit disable_functions = et le changer en disable_functions = eval, base64_decode, gzinflate . Beaucoup de ces scripts utilisent cette fonction pour décompresser leurs fichiers et les faire fonctionner sur votre serveur. Cela empêchera au moins les fichiers de se décompresser automatiquement.
2. Changez le préfixe de votre table wordpress. Vous devrez le faire dans votre base de données MySql ainsi que dans votre fichier config.php fichier. Le préfixe par défaut est wp_ et cela permet de deviner les noms des tables et des champs très facilement pour 90 % des blogs wordpress existants. Ce n'est pas une solution miracle, mais cela les obligera à essayer de deviner les noms de votre base de données, ce qui pourrait les ralentir suffisamment pour qu'ils renoncent à insérer des éléments dans votre base de données.
3. Changez le nom de votre dossier uploads. Wordpress permet un accès en écriture à ce dossier via le media uploader, ce qui en fait un endroit très facile pour télécharger des fichiers PHP contenant Shell Shell et il est probable que vous ne les verrez pas ici. Ils n'apparaîtront pas dans votre médiathèque ET ils seront enterrés dans un endroit où vous n'êtes pas susceptible de naviguer en utilisant un programme FTP. Tout comme la modification du préfixe par défaut de la base de données, si vous laissez ce dossier par défaut, toute personne un tant soit peu compétente pourra deviner le chemin d'accès à ce dossier. Nous sommes également allés jusqu'à restreindre les types de fichiers qui peuvent être ajoutés à ce dossier à .jpg , .gif y .png puisque le nom du dossier de téléchargement peut facilement être découvert en vérifiant l'url de n'importe quelle image sur votre blog.
4. Procurez-vous un bon plugin de sécurité comme Wordfence . J'en ai été très satisfait jusqu'à présent.
5. Je ne recommande pas aux utilisateurs inexpérimentés de le faire, mais un autre bon moyen de garder vos chemins de fichiers secrets est de déplacer votre dossier de contenu en dehors de l'installation principale de Wordpress (c'est-à-dire le répertoire d'application). Cela fonctionnera de la même manière que d'avoir un répertoire virtuel, où les URL sur votre blog ne reflètent pas les chemins de fichiers littéraux. En faisant cela, s'ils essaient de télécharger vers des répertoires trouvés dans votre URL, ils rencontreront des erreurs. Vous trouverez des informations sur la modification de l'emplacement de votre dossier de contenu dans le codex. ici

En général, c'est une bonne idée de changer tous les paramètres par défaut pour personnaliser votre installation autant que possible. Il y a beaucoup, beaucoup plus de choses que vous pouvez faire et je vous recommande vivement de vous documenter sur le renforcement de wordpress et de php, mais des choses simples comme celles-ci empêcheront la plupart des pirates occasionnels et ceux qui utilisent des scanners de vulnérabilité automatisés d'entrer en action.

Sachez également que s'ils ont eu un accès complet à votre serveur, vous allez devoir modifier tous vos comptes d'utilisateur. Changez le nom de votre compte. Changez vos mots de passe. TOUS vos mots de passe, y compris ceux de la base de données, du FTP... tout ce qui nécessite une validation est maintenant compromis et s'ils les ont, tout le durcissement du monde ne signifie rien.