Praxiswissen WordPress » Sicherheit

WordPress – Vorsicht bei Themes unbekannter Herkunft!

Olivia Adler — Tue, 01 Jun 2010 18:28:07 +0000

Im Buch und auch in Beratungen gebe ich immer den Tipp, sich Themes, die nicht von wordpress.org oder wordpress-deutschland.org kommen, ganz genau auf möglichen Schadcode anzusehen, bevor man sie einsetzt. (Wobei man auch bei vertrauenswürdigen Quellen wie diesen nie eine 100 %-Garantie geben kann – “Vertrauen ist gut, Kontrolle ist besser”.)

Aktuell sind wieder mal Themes mit einem Quasi-Trojaner im Gepäck ins Gerede gekommen: Sucuri Security berichtet über WordPress-Themes, die nach Hause telefonierten und dem Server der Theme-Entwickler Meldung machten über jeden Besucher (mit IP-Adresse!) von Websites, die mit diesem Theme ausgestattet sind. Das ist nicht nur wegen der Missbrauchsmöglichkeiten kritisch (immerhin könnte jemand den Server der Entwickler hacken und auf diesem Weg alle Sites, die das Theme einsetzen, mit Malware infizieren), sondern auch vom Datenschutz-Aspekt her: hier würde eine IP-Speicherung auf fremden Servern erfolgen, über die der Blogbetreiber aufgrund von Unkenntnis des Vorgangs den Blogbesucher gar nicht via Datenschutzerklärung informieren konnte.

Die Hintertür flog auf, als der Server eine Weile offline war und Fehlermeldungen in den Blogs, die mit diesem Theme ausgestattet waren, erschienen.

Besonders perfide war, dass der fragwürdige Code nicht etwa innerhalb einer PHP-Datei versteckt war, sondern in einer Bilddatei namens wp.gif. Darauf muss man auch erstmal kommen.

(via wpSEO)

Copyright © limone.de 2009
This feed is for personal, non-commercial use only.
The use of this feed on other websites breaches copyright. If this content is not in your news reader, it makes the page you are viewing an infringement of the copyright. (Digital Fingerprint: e2e8c6368a7a9a59ae63ca1ec8e8f728)

Admin-Bereich in WordPress absichern

Olivia Adler — Tue, 11 May 2010 11:13:21 +0000

Man kann es nicht oft genug sagen: das Dashboard (= Admin-Bereich) sollte nicht öffentlich zugänglich sein, und mit Hilfe von .htaccess ist eine zusätzliche Passwort-Absicherung schnell und einfach zu realisieren. Am einfachsten ist zwar, das gesamte wp-admin-Verzeichnis abzusichern, damit schränkt man aber den Betrieb von WordPress ein, weil WordPress ebenfalls von außen auf dieses Verzeichnis zugreift (beispielsweise bei der Verifizierung der Eingabe in Formularfeldern). Besser ist daher, nur einzelne System-Dateien abzusichern. Wie, das erklärt Sergej Müller gut verständlich und eindringlich auf playground.ebiene.de.

Für das Problem mit dem Zugriff auf den Admin-Ordner bei unvollständig ausgefüllten Kommentarfeldern gibt es noch eine andere Lösung, vorgestellt bei “dies und das”.

WordPress sicherer machen: Artikel online auf magnus.de

Adler Olivia — Sat, 08 May 2010 02:18:57 +0000

Mein WordPress-Security-Artikel, den ich für das Internet Magazin Ausgabe 04/2010 geschrieben habe, ist inzwischen auch online verfügbar: WordPress gegen Angriff schützen: So halten Sie Hacker vom Blog fern – WordPress vor Hackern schützen – Webdesign – Internet – magnus.de.

Weitere wichtige und aktuelle Security-Tipps finden Sie bei Frank Bueltge: WordPress gehackt, was tun – eine Schnellhilfe.

Umfangreiches PDF zu WordPress-Sicherheit

Olivia Adler — Thu, 10 Sep 2009 18:44:08 +0000

Gerade eben im WordPress-Deutschland-Forum gefunden: PDF-Dokument WordPress Sicherheit von “glcknb” (nach Aussage des Autors noch nicht ganz fertig). Das Dokument beschreibt ausführlich, welche Angriffsarten es gibt (z. B. sog. “MySQL-Injections”, die direkt die Datenbank angreifen) und welche Möglichkeiten es gibt, das eigene WordPress-Blog zu schützen. Auch das Thema Spam kommt nicht zu kurz. (Heutzutage werden Blogs üblicherweise sowieso gehackt, um möglichst unauffällig Spam-Links darin unterzubringen, weshalb die Angriffe oft nicht bemerkt werden.)

WordPress Security Guide

Olivia Adler — Sat, 05 Sep 2009 16:10:24 +0000

Der WordPress Security Guide von J. T. Pratt beschreibt, woran man eine gehackte WordPress-Installation erkennt und was man tun kann, um das eigene Blog sicherer zu machen.

Mehr zum Thema Sicherheit ist übrigens auch im Buch “Praxiswissen WordPress” nachzulesen – weil es so wichtig ist, habe ich dem Thema ein ganzes Kapitel gewidmet.

Angriffswelle auf alte WordPress-Versionen

Olivia Adler — Sat, 05 Sep 2009 15:59:37 +0000

Wie Vlad Perun in seinem Blog berichtet, stehen alte WordPress-Versionen aktuell unter Beschuss, erkennbar an einem neuen Admin-Konto und veränderter Permalink-Struktur.

Die Quell-News sind in englisch bei TechCrunch nachzulesen, in einem dort verlinkten Blogartikel ist davon die Rede, dass alle Versionen, die älter als 2.8.3 sind, anfällig für den Angriff sind, der direkt die Datenbank attackiert. Die Angriffe gehen gerade erst los und weiten sich noch aus. Weitere Details bei fieser-admin.de.

Alle Empfehlungen sind gleich: updaten auf WordPress 2.8.4, befallene Datenbanken nicht sichern, sondern die Beiträge über die WordPress-eigene Export-Funktion exportieren. Außerdem wird dringend empfohlen, den Admin-Bereich zu sichern, siehe dazu Sergej Müllers (aka wpSEO) Artikel: 10 Schritte zum Schutz des Admin-Bereichs.

Aber Achtung: wenn die WordPress-Version sehr alt ist, ist es unter Umständen nötig, in kleinen Schritten via Zwischenversionen zu updaten, statt den großen Sprung auf die neueste Version zu machen. (Nachtrag: mit 2.0.2 habe ich es erfolgreich getestet, keine Zwischenschritte nötig – man muss lediglich nach Aufspielen der neuen WordPress-Version einmalig /wp-admin/upgrade.php aufrufen, um die Datenbank zu konvertieren. Allerdings kann es danach zu Problemen mit dem Zeichensatz kommen, siehe Lösungsvorschläge im Artikel “WordPress und die leidigen Charsets“. Ich empfehle aber, nicht mit den Originaltabellen zu arbeiten, sondern eine Kopie zu verwenden, am besten in einer separaten Datenbank, wenn möglich. Oder, alternativ Backup der Datenbank anlegen, damit man das bei Bedarf zurückspielen kann.)

Nachtrag: Hier noch ein Lösungsansatz von Andy Sowards, via wpSEO@twitter.

Mehr Sicherheit für die Mediathek ab WP 2.8.5

Olivia Adler — Sun, 30 Aug 2009 14:33:40 +0000

Das nächste Punktrelease steht in den Startlöchern: bald soll 2.8.5 rauskommen, und es bringt ein neues Sicherheitsfeature. Bisher konnten Administratoren beliebige Dateitypen in die Mediathek hochladen. Ab 2.8.5 geht das nicht mehr, dann sind nur noch Dateitypen zulässig, die in einer Whitelist festgelegt sind, wie TalkPress schreibt. Dort wird auch erklärt, wie man dieses Feature ausschalten kann, nämlich durch folgenden Eintrag in einer zusätzlichen Zeile in der wp-config.php:

define ('ALLOW_UNFILTERED_UPLOADS', true);

Bequemer geht es mit dem ebenfalls von TalkPress empfohlenen Plugin WordPress mime-config.

.htaccess und die Tücken

Olivia Adler — Mon, 17 Aug 2009 17:55:36 +0000

Im Buch gebe ich (wie viele Kolleginnen und Kollegen auch) den Tipp, den Admin-Bereich (Unterverzeichnis /wp-admin/) zusätzlich durch .htaccess und .htpasswd zu schützen.

Mit Hilfe von htaccesstools.com kann man sich die nötigen Dateien erstellen lassen, wenn der gemietete Webspace nur FTP-Zugriff bietet.

Eine Tücke ist mir gerade aufgefallen: wenn das Verzeichnis /wp-admin/ so geschützt wird, kommt auch beim Upload von Bildern o. ä. in die Mediathek eine Passwortabfrage – und sobald die Daten eingegeben wurden, passiert nichts mehr, der Browser bleibt hängen. Abhilfe: auf den HTML-Uploader umstellen (wird im Upload-Dialog angeboten), dann funktioniert der Upload problemlos.