[Wordpress] Hackers blijven site aanvallen

[TheNephilim]

Enkele weken terug hebben we een website voor een klant opgeleverd in Wordpress. De website is online gzet en daarmee is het voor ons klaar, hosting en dergelijke is niet onze verantwoordelijkheid.

Vorige week belde de hoster, dat de website gehacked is en bla bla. Dus ik kijken en inderdaad, alles CHMOD 777 en in de root een inbex.php bestandje die weer geïnclude werd in index.php. Er werd een zooitje links geinclude vanuit /temp/links.db die stond in de directory boven public_html.

De bestanden /temp/links.db zijn geplaatst door user FTP met CHMOD 666. Mijn redenatie was dat ftp-wachtwoord gehacked moet zijn of iets dergelijks, een apache account kan toch nooit ftp als user gebruiken? De hoster was het er niet mee eens en het moest aan Wordpress liggen.
Alle plugins en Wordpress zelf zijn echter up-to-date en ik kan niks vinden over bekende vulnerabilities. Maar goed, wachtwoorden gewijzigd, alles opgeruimd. Klaar!

Nu is het vandaag weer zoverVolgens de hoster gedraagd de website zich 'suspicious' en uiteraard krijgt Wordpress de schuld en weet ik het wat, en deze keer zomaar een log file (of iets dergelijks) erbij. Overigens, we hebben veel meer websites online gezet in Wordpress, nooit last van dit soort dingen.

Onderstaande logfile kreeg ik van de hoster. Het lijkt mij dat de website gewoon gescanned word en wie weet zit er ergens een gat in Wordpress, maar ik kan hem niet vinden. Aan de andere kant heb ik het idee dat de hoster z'n spullen niet op orde heeft, ik kan namelijk nergens iets vinden over bekende problemen.

public_html/wp-admin/includes/class-ftp-pure.php: Suspicious(socket): timeout','socket set send

public_html/wp-admin/includes/class-wp-filesystem-ssh2.php: Suspicious(phpinfo): phpinfo() streams
public_html/wp-admin/includes/class-wp-filesystem-ftpsockets.php: Suspicious(socket): system_ftpsockets extends
public_html/wp-admin/includes/class-ftp-sockets.php: Suspicious(socket): (!@socket_set_optio
public_html/wp-includes/class-pop3.php: Suspicious(socket): uffer for socket fgets() c
public_html/wp-includes/Text/Diff/Engine/shell.php: Suspicious(shell_exec): ogram via shell_exec to comput
public_html/wp-includes/js/tinymce/plugins/spellchecker/rpc.php: Suspicious(socket): $socket = fsockop
public_html/wp-includes/js/tinymce/plugins/spellchecker/classes/PSpellShell.php: Suspicious(shell_exec): $data = shell_exec($cmd);
public_html/wp-includes/js/tinymce/plugins/spellchecker/classes/GoogleSpell.php: Suspicious(socket): / Use raw sockets
public_html/wp-includes/class-smtp.php: Suspicious(socket): n; // the socket to the se
public_html/wp-content/plugins/sitepress-multilingual-cms/inc/php-version-check.php: Suspicious(phpinfo): _GET['icl_phpinfo']==1){
public_html/wp-content/themes/twentyten/title.php: Suspicious(r57): TfXDto+zK6r57nQUj7e8+/e

public_html/wp-admin/includes/class-ftp-pure.php: Suspicious(socket): timeout','socket set send
public_html/wp-admin/includes/class-wp-filesystem-ssh2.php: Suspicious(phpinfo): phpinfo() streams
public_html/wp-admin/includes/class-wp-filesystem-ftpsockets.php: Suspicious(socket): system_ftpsockets extends
public_html/wp-admin/includes/class-ftp-sockets.php: Suspicious(socket): (!@socket_set_optio

public_html/wp-includes/class-pop3.php: Suspicious(socket): uffer for socket fgets() c
public_html/wp-includes/Text/Diff/Engine/shell.php: Suspicious(shell_exec): ogram via shell_exec to comput
public_html/wp-includes/js/tinymce/plugins/spellchecker/rpc.php: Suspicious(socket): $socket = fsockop
public_html/wp-includes/js/tinymce/plugins/spellchecker/classes/PSpellShell.php: Suspicious(shell_exec): $data = shell_exec($cmd);
public_html/wp-includes/js/tinymce/plugins/spellchecker/classes/GoogleSpell.php: Suspicious(socket): / Use raw sockets
public_html/wp-includes/class-smtp.php: Suspicious(socket): n; // the socket to the se

public_html/wp-content/plugins/sitepress-multilingual-cms/inc/php-version-check.php: Suspicious(phpinfo): _GET['icl_phpinfo']==1){
public_html/wp-content/themes/twentyten/title.php: Suspicious(r57): TfXDto+zK6r57nQUj7e8+/e

Plugins

Allemaal up-to-date

- TinyMCE Advanced
- WordPress SEO
- WPML Multilingual CMS
- WPML String Translation
- WPML Translation Management
- 3 plugins voor formulieren, zelf geschreven.

Heeft iemand enig idee wat we hiermee aanmoeten? Ergens zit ik er over te denken om te verhuizen naar mijndomein.nl, als het daar nog voorkomt ligt het gewoon aan Wordpress, klaar, maar nu weten we ook niks. De hoster kan alleen maar blaten over updaten, in plaats van eens degelijke logfiles en dergelijke te overhandigen.

[AndriesLouw]

Kans is klein dat het aan WordPress zelf ligt, als de user FTP het geupload heeft. Doet mij ook vermoeden dat hoster zaakjes niet op orde heeft, dan wel de FTP gegevens op straat liggen. Verander dus in ieder geval de FTP inloggegevens, en vraag de hoster eens om een logbestand van z'n FTP-server, hierin moeten authenticatie pogingen, als wel bestanden die geupload zijn gelogd worden.

Je quote lijkt me niets meer dan een simpel scannertje dat veelvoorkomende snippets code zoekt, die ook voorkomen in zgn. shell's. Voor zover ik kan beoordelen staat er niets tussen dat heel gek is, voor de door jou genoemde plugins.

[ Voor 130% gewijzigd door AndriesLouw op 30-08-2012 23:22 ]