Wordpress: Merkwürdige Seiten

[thobie]

Ich habe seit kurzem diese im Screenshot abgebildete Seiten in meiner WP-Installation. Ich habe sie in den Papierkorb verschoben.

Ich kann mich nicht daran erinnern, irgend ein Plugin installiert zu haben, das diese Seiten erstellt.

Weiß jemand, wo diese Seiten herkommen können?

 

[MacMac512]

Bloß nicht zu viele Infos.

Ansonsten vielleicht damit mal gespielt?
https://de.wordpress.org/plugins/erp/

Bei der Vielzahl deiner Plugins und Depencies wird das wohl aber irgendwo von dir mit installiert worden sein.

 

[thobie]

Nein, das hatte und habe ich nie installiert oder damit herumhantiert. Selbst WooCommerce ist dort nicht installiert, da es dort nicht benötigt wird.

Die Site ist dreifach gesichert. Somit kann eigentlich niemand Zugriff auf das Backend haben.

Nur hatten sich vor kurzem zwei ominöse Benutzer im Forum angemeldet, mit Mailadressen unter @sarahconnor.co.uk, die ich aber relativ bald wieder gelöscht habe. Und Benutzeranmeldungen mit der Rolle "Abonnent" haben im Backend ja so gut wie keine Rechte.

 

[Difool]

Die Site ist dreifach gesichert. Somit kann eigentlich niemand Zugriff auf das Backend haben.

Naja, es gibt zahlreiche andere Wege, wie bsw. eine andere nicht so gesicherte Website auf dem selben Server oder Datenbankserver usw.
Plugins können auch kompromittiert werden; sogar extern.
Ich hatte zum Beispiel mal eine Site in Arbeit, wo der Update-Server eines Plugins gehackt worden war und man sich über das Update
dieses Plugins dann eine Backdoor reinholte.

Cross-Site Scripting (XSS) wäre auch möglich, je nach dem, was man da so installiert hat usw.usf…

Hat denn noch jemand Zugang mit Berechtigung dort Plugins zu installieren?
Falls nicht kopiere mal die WP-Core Dateien drüber, falls das eine ältere ewig upgedatete Wordpress-Version sein sollte.
Ggf. sogar eine frische Neuinstallation der Website machen, damit alter Dateien-Ballast wegfällt.
Zumindest die WP-Core Dateien mal mit einer aktuellen WP-Version vergleichen, ob da evtl. was bei ist, was da nicht zu- oder hingehört.

 

[thobie]

Falls nicht kopiere mal die WP-Core Dateien drüber, falls das eine ältere ewig upgedatete Wordpress-Version sein sollte.
Ggf. sogar eine frische Neuinstallation der Website machen, damit alter Dateien-Ballast wegfällt.
Zumindest die WP-Core Dateien mal mit einer aktuellen WP-Version vergleichen, ob da evtl. was bei ist, was da nicht zu- oder hingehört.

ich habe überlegt, dass ich vor einigen Monaten diverse Plugins für einen Veranstaltungkalender, Registrierungsformulare für Veranstaltungen u.a.m getestet habe. Das würde inhaltlich zu den Erp-Dateien passen. Vielleicht hat eines der aktivierten Plugins diese Seiten erzeugt und mir ist das nicht aufgefallen, da ich die Veranstaltungen und Ausstellungen per Beiträge veröffentliche.

Ich werde das mal weiter im Auge behalten. Und diese Seiten erst einmal löschen. Im schlimmsten Fall installiere ich die jetzige WP-Version nochmals oder setze WP neu auf und integriere nur die bisherigen Inhalte.

 

[thobie]

Ich habe noch einen Gegenvergleich gemacht. Ich administriere noch eine weitere Site, die auch ein Forum hat, und dort hat sich vor kurzem auch ein ominöser Benutzer mit @sarahconnor.co.uk angemeldet, den ich aber einige Tage später gelöscht habe. Auf dieser Site sind diese Seiten nicht vorhanden, es scheint somit nichts gehackt worden sein. Ich habe aber auf dieser Site auch kein Veranstaltungsplugin usw. getestet.

 

[MacMac512]

Bei aller Liebe, aber dass man einfach so "gehackt" wird, ist sehr unwahrscheinlich. (Sowas hat andere Gründe, wobei es natürlich grundsätzlich möglich sein kann.)

Ich glaube eher an...

ich habe überlegt, dass ich vor einigen Monaten [...] u.a.m getestet habe.

und mich inzwischen nicht mehr dran erinnern kann, was da ggfs. noch so alles zu installieren war und was ich installiert habe.

Nimm's mir nicht übel, aber ich glaube das kennt jeder, der keine sauberen Produktivinstallationen nutzt und dafür alles zum Testen auf dezidierten Testumgebungen laufen lässt. Deswegen heißen die ja auch Testumgebungen. Hab ich auch irgendwann lernen müssen.

Wie auch schon in anderen Threads vorgeschlagen wurde. Stelle deine Art zu arbeiten um, nutze eine Testumgebung, um Plugins zu testen und die normale Domain etc. für deine Kunden und die tatsächliche Webseite. Das ist erstmal mehr Arbeit in der Einrichtung, aber später verhindert es genau sowas und ist einfach der saubere und professionellere Weg.
"Gehackt" ist aber meistens umgangsprachlich für "hab ich aus unerfindlichen Gründen selbst gemacht, weiss aber nicht wie".

 

[MacKaz]

Ich würde das ergänzen um „halte Konfigurationsänderungen am Produktivsystem genau fest (Zeitpunkt, Umfang, etc.)“.
Auch, wenn Tests vorher erfolgreich verliefen und/oder Änderungen harmlos wirken.

 

[wegus]

Nimm's mir nicht übel, aber ich glaube das kennt jeder, der keine sauberen Produktivinstallationen nutzt und dafür alles zum Testen auf dezidierten Testumgebungen laufen lässt. Deswegen heißen die ja auch Testumgebungen. Hab ich auch irgendwann lernen müssen.

So ist es. Deswegen haben sich die meisten mit so etwas selbst gehackt oder aber so viele alte Installationsrest hinterlassen, dass sie tatsächlich angreifbar sind.