Взлом wordpress — и до меня добрались. Защита wordpress.
Сегодня хочу поговорить о взломе wordpress, хе хе, взламывать мы ничего не будем, мы же честные люди и зарабатываем себе на хлеб только лишь своими силами. Так что начнем с предистории.
Блог этот я создал уже вот как 8 месяцев, давным давно, когда был (хотя по большому счету и остаюсь) нубом в сайтостроительстве. Понятное дело, что о защите своего блога от двойного проникновения мошенников я даже на задумывался. Время шло, блог я развивал и сам развивался вместе с блогом, постигая основы продвижения сайтов и заработок в интернете. Посещаемость росла и меня это не могло не радовать. Так что seo плагины ставьте обязательно.
Но в последнее время меня стало сильно напрягать стремительно растущее количество страниц в гугле. Сейчас же оно перевалило уже за 1000, когда как в яндексе все нормально, 190. Я конечно же задумался, что не так и полез смотреть файл robots.txt, так как было очевидно, что поисковые боты залезли туда, куда им давным давно это я запретил. И что я вижу, первой строчкой там идет херь типа Allow: /wp-content/uploads/, то есть поисковым ботам кто - то открыл доступ в папки загрузки. Ну думаю, не иначе как взлом wordpress, сломали меня. Помимо всего это я пролистал проиндексированные страницы в гугле и увидел, что примерно после 200 страницы начинаются совсем неведомые мне файлы какого - то форума про автомобили. Тут я совсем охренел и полез в папку uploads и что же я там увидел - огромную кучу файлов с расширением html. То есть злоумышленники взломали мой wordpress блог и создали на моем блоге свой форум. Вот думаю почему количество страниц в гугле растет с неимоверной силой, эти ублюдки постоянно добавляют новые страницы. Не пойму только, зачем им это нужно.
Помимо этих файлов я увидел непривычный файл j3.swf, вроде это должен быть баннер, давным давно когда ставил баннер от джетсвапа - расширение было именно такое. Но не в этом суть - я его решил перебросить с хостинга к себе на комп и посмотреть, шо за зверь такой, копирую и мой Аваст заголосил во всю глотку - ААА, Лехаа, Вируус, шо делать буим? Я ему говорю - гаси его, твою мать. В общем файл этот я удалил, все левые файлы в папке аплоадс тоже удалил, оставил лишь те, которые мои.
И сразу же приступил к защите wordpress блога. Погуглил, инфу нашел, так что делюсь. Проделал самые необходимые вещи, хотя способов защиты wordpress блога превеликое множество.
Итак, в первую очередь установил плагины wordpress против взлома админки wordpress.
Плагин полезный, про него многое написано, обязательно установите, иначе дождетесь.
Этот плагин предотвращает проникновение в админку wordpress, у него есть настройки, типа если с 3 раз не зашел, то тебе блокируют доступ вообще. Можно установить любое количество попыток, также время разлогинивания. Настройки плагина понятные и гибкие, обязательно устанавливаем.
Если злоумышленники знают вашу версию wordpress, то ломать вас им легче в 100500 раз, так что необходимо стереть всю информацию о вашей версии движка. Так что стираем файлы licence.txt и readme.txt, они вам абсолютно не нужны, а вот ублюдкам помогут обязательно. Стираем данные файлы из корневой папки вашего блога, обычно эта папка public.html.
Ну и меняете свои логины и пароли для входа в админку wordpress, у меня стоял пароль, которые мне пришел в письме, когда я только установил wordpress на блог. Я его и не менял, а зря оказывается.
Помимо этих действий профессионалы рекомендуют еще кучу манипуляций, я же решил на этом пока что остановиться. Посмотрим на результаты.
Кстати, файл robots.txt переписал и залил новый. По идее количество страниц в гугле должно начать стремительно уменьшаться, пока не дойдет до нормального. Так что если вы еще не защитили wordpress от взлома - рекомендую не дожидаться атаки, а сразу все настроить. Я вот не придал значения и видите какая шляпа получилась. если будете читать эту запись сразу же после публикации и в течении недели - посмотрите количество моих проиндексированных страниц в гугле, полистайте их и увидите страницы форума. Поубивал бы, честное слово. У меня на моем хостинг - тарифе из-за этих уродов кончилось место на диске ))Пришлось апгрейдить тариф.
Заодно настроил бэкапы блога, потому что стало страшно - ведь так можно и блог потерять, это столько работы. Плагин wordpress database backup - автоматически генерирует бэкапы по расписанию и сохраняет их на хостинг или на почту, как настроите. Я настроил, чтобы получать бэкапы каждый день на почту. Так что теперь все в поряде.
Итак, скоропостижный апдейт поста. Еще 2 моих вордпресс блога взломаны, причем они располагаются на разных хостингах, так что вариант с тем, что взломали хостинг - отпадает. Зашел по фтп на второй блог и увидел файл index1.php, сами понимаете, что такого быть не может, вытаскиваю его через фтп, Аваст выдает картинку имя вируса - PHP:Shell-AX(Trj), тип вируса - троян. Вот такой пидарастический троянец. Соответственно количество страниц на других блогах тоже увеличилось в разы )) Вывод - троян ломанул пароль от фтп, который я сохранил в винде, еще вывод - никогда не сохраняйте пароли к фтп тотал командера и прочих командеров.
А ваш блог на wordpress ломали?
также полезно почитать
К записи "Взлом wordpress — и до меня добрались. Защита wordpress." оставлено 10 коммент.
Оставить комментарий
подписка на обновления
Использую в работе
Все для создания сайтов
Работа с контентом
Социальные сигналы
Мой хостинг провайдер
Комментарии
- irocez: Да — это хорошая схема продвижения, хотя и затратная. Я кстати уже читал про такой метод у буржуев.
- Наталья: К концу года, даже не сомневаюсь — удвоение будет, ждем. Но пишите, очень интересно наблюдать за...
- Николай: Статья интересная, спс. По поводу дорого. Расскажу свой опыт, покупки статьи. Ресурс старый и трастовой тиц...
- darwin: способ крутой, но дорого блин. хотя трафику можно и побольше собрать, если купить статью и ссылки на очень...
- darwin: Да конечно пойду
. Только сейчас не много подожду, так как 300-от посетителей совсем не давно набрал. Дела...
Где брать контент для сайтов? Конечно же в Монстре ))
Приветствую всех манимейкеров, вебмастеров, кто зарабатывает в интернете или только еще решает, стоит ли этим заниматься. Сегодня хочу обсудить тему, которая становится все более актуальной для владельцев контентных, статейных проектов и тема эта - добыча контента. Раньше, когда у меня было 1-2 сайта, я даже не обращал внимание на это, а вполне управлялся своими силами [...]
В поисках уникального контента для сайта
Приветствую друзья. Вот и снова я пишу в блог, ибо вы уже наверно соскучились по моим бредовым записям Сижу на больничном уже почти неделю и мне это уже начинает нравится, ведь ходить на работу каждый день не особо радует, ведь так. Но работа в оффлайне еще долго будет меня мучить и доставать, но чтож делать, [...]
Приветствую вас, вы попали на мой блог, посвященный созданию и продвижению сайтов и блогов, а также монетизации проектов. Авторские статьи, эксперименты и только личный опыт, начиная с самого нуля.
Пока блог не ломали, xss сразу ставил, ломали на народе сайтик, но быстро исправил
Как я выяснил, я подловил трояна, который стырил пароли от фтп соединения с блогами (пароль я сохранял прямо в тотал коммандере), теперь вот чищу комп всеми возможными антивирусами, где -то цепко сидит зараза, касперыча вырубает сразу, cure.it не видит не хрена, один только mbam за вчера нашел 7 троянов. Жестоко вирусня накрыла, половина программ на компе не работает и не устанавливается, не работает ворд, пэйнт, посты теперь буду из блокнотика писать ))
При выпуске блога в первую очередь подумал о безопасности.
А я вот подумал — кому мой блог нужен )) ХЕ хе, вот и поплатился.
Безопасность в первую очередь!!!
сразу запретил доступ (в .htaccess) к директориям которые только для меня, открыл тольоко для своего IP
Плагины буду тоже ставить, читаю статьи ибо ставлю первый блог.
Сначала безопасность потом всё остальное!
Все правильно, Алекс, о безопасности нужно заботится сразу, в любом деле ))
Мне сначала на UCOZ «подфартило» обидно было заплатил и настроил, а админам как-то мимо мол сам разбирайся, кто знает может они сами, сайту было бы 5 лет. Хорошо хоть домен открепили и на том спасибо. Теперь на WP интересуюсь что да как, значит тоже не Бог, которого так возвышают, хм так какую же систему выбрать если всё придумано человеком? Сарказм да и только =)!
В каком виде бэкапы приходят? Надеюсь не голые картинки как на UCOZ?
Admin, Спасибо просветил!
Ну на самом деле WP ничо так, если настроить по уму защиту своего блога, иметь нормальный антивирус на компе и прочее.
Бэкапы у меня приходят на почту — «архив базы данных», а сам сайт я полностью копирую на диск примерно раз в месяц, так что все нормально ))
А как «запретил доступ (в .htaccess)» если можно то поподробнее… просто профан в этом ….
Где-то не форуме профита я тему создавал, там все и отписывал. Если вкратце — «погуглите»
Там всего-то делов — заблокировать несколько десятков ай-пи адресов — ну это если у вас хостинг слег от количества запросов к БД.