Webhost gehackt (hoe kan ik dit in de toekomst voorkomen?)

[Verwijderd]

Vanmorgen werd ik wakker en had ik een email in mijn inbox van Wordpress waar in stond dat mijn wachtwoord was gewijzigd. Ik had zoiets van wat is hier nou weer aan de hand, dus ik kijk naar mijn website en ineens staat er "hacked by blablabla".

Ik heb toen meteen mijn admin wachtwoord van wordpress gewijzigd en zag toen dat mijn index.php in een of ander script wat veranderd. (weet niet of ik het hier mag delen). Heb mijn oude index.php weer teruggezet, mijn wachtwoorden in cpanel gewijzigd en nu is alles weer goed.

Nu heb ik een reseller account bij deze hosting partij en zijn er ongeveer 8/15 sites gedefaced met deze melding. Inmiddels is alles hersteld, en heb ik alle wachtwoorden veranderd.

Maar dan vraag je je toch af hoe dit nou kan gebeuren, dus ik heb in mijn server logs gekeken en toen bleek dat de 'hacker' van een site afkwam met een hele lijst sites die allemaal gehackt kunnen worden. En nu blijkt het om een bepaalde symlink exploit te gaan. klik.

Nu heb ik meteen contact opgenomen met mijn hosting provider en die stuurde een mail terug dat ik wordpress moest updaten (is al up to date) en een moeilijker wachtwoord kiezen. Via internet heb ik gevonden dat het opgelost zou moeten zijn in de nieuwe versie van Apache alleen ik kan daar niet bij, en voordat de hosting iets kan doen zijn we weer dagen verder. Ik heb wel al mijn config bestanden van wordpress een chmod 600 gegeven.

Heeft iemand hier ervaring mee of tips wat ik hier nog aan kan doen?

[3dfx]

Network Solutions heeft dat ook een paar keer gehad, die gaven ook de schuld aan de (zwakke) wachtwoorden van de eindgebruikers, terwijl de fout bij NetSol zelf lag...
http://www.computerworld....utions_sites_hacked_again

Wat je eraan kunt doen op korte termijn? Overstappen naar een webhost die wel meer aandacht aan updates en beveiliging schenkt.
Of alles zelf hosten op een eigen server, maar ja, dat is ook weer zoiets...

Op lange termijn zou je kunnen proberen ze te overtuigen dat zij ook maar eens moeten updaten

[SinergyX]

Draaide de andere 8 sites ook Wordpress?

Maar als reseller heb je een compleet eigen server of een shared met andere resellers? Mijn oude reseller account kon ik gewoon een verzoek indienen tot upgrade, die werd meestal binnen een week gedaan.

[Verwijderd]

SinergyX schreef op maandag 27 februari 2012 @ 10:56:
Draaide de andere 8 sites ook Wordpress?

Maar als reseller heb je een compleet eigen server of een shared met andere resellers? Mijn oude reseller account kon ik gewoon een verzoek indienen tot upgrade, die werd meestal binnen een week gedaan.

Allemaal wordpress inderdaad, de sites zonder wordpress daar is niets mee aan de hand. Op de een of andere manier hadden ze toegang tot het wp-config bestand en hebben ze vanuit daar mijn database benaderd en het adres van de het admin account gewijzigd. Vervolgens hebben ze een nieuw wachtwoord aangevraagd via wordpress zelf.

[CrankyGamerOG]

Verwijderd schreef op maandag 27 februari 2012 @ 11:03:
[...]

Allemaal wordpress inderdaad, de sites zonder wordpress daar is niets mee aan de hand. Op de een of andere manier hadden ze toegang tot het wp-config bestand en hebben ze vanuit daar mijn database benaderd en het adres van de het admin account gewijzigd. Vervolgens hebben ze een nieuw wachtwoord aangevraagd via wordpress zelf.

Even wat dingen op rij,
De symlink exploit is niet zondermeer op een standaardserver tegen te houden.
Wat niet wegneemt dat de hack zelf is gedaan op onjuist geconfigureerde systemen/websites.
Dikke kans dat ze een R57/C99/etc shell hebben gebruikt erna om je spul te verknoeien

JIJ hebt zelf ook een securityflaw gemaakt door je wordpres config : 1. in de webdir te zetten 2. niet te renamen naar iets anders.
Verder had je de admin moeten afschermen met deny all en allow per ip (jouw ip).

[ Voor 6% gewijzigd door CrankyGamerOG op 27-02-2012 11:10 ]