Wordpress Seite wird ständig gehackt

#1 Ich habe eine Wordpress Seite, die ständig gehackt wird. Obwohl Wordpress und alle Plugins auf dem neuesten Stand sind und ich sogar ein Security Plugin installiert habe. Die Passwörter sind sicher.

Was kann ich noch prüfen?

#2 meine Such(t)maschine hört gar nicht mehr auf Ergebnisse zu liefern wenn ich nach der Sicherheit von WP frage...
ich fürchte, das ist ein Fass ohne Boden und hier vermutlich das falsche Forum.
Alleine der link hier von 2012 lässt einen schwindelig werden...
http://www.afoma.de/artikel/sicher-ist-wordpress-blog-hacker-angriffe-wp-blogs

T S

#3 Ja Wordpress war schon immer Mist, wollte jetzt eigentlich nichts zu schreiben -
leider ist es ja so das man da nicht viel machen kann außer es eben nicht zu benutzen.

Eine komplette Code Revision wäre wohl viel zu teuer, ich selber würde so etwas gar nicht verwenden.
Hilft dem Nils13 jetzt nicht, allerdings gibt es ja derartige Framework's wie Sand am Meer -
vielleicht kann einer mit viel Erfahrung ja etwas gutes empfehlen.
Ich tendiere dazu mir derartige Sachen selbst zu schreiben bzw. verfüge auch schon über eine große Codebasis... wenn ich es denn mal brauche für etwas (betreibe selber keinen Blog o.ä.).
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#4 Ich hatte eigentlich das Gefühl, dass sich das bei Wordpress wesentlich gebessert hat, mag mich aber auch irren. Möglich wäre ja auch ein kompromittierter Webserver?
__________
Woher soll ich wissen was ich denke, bevor ich höre was ich sage??
Sag NEIN zu HD+/CI+ - boykottiert die Etablierung von HD+/CI+!

#5 Die Frage ist doch erstmal (bevor hier wild spekuliert wird): wie macht es sich bemerkbar?

Wird hier zum Beispiel Schadcode in die Seite eingefügt, werden neue Scripte auf dem Server installiert, werden irgendwelche Blogposts verfasst?

Welche Plugins sind installiert?
__________
Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren.
Der Grabsteinschubser

#6 Sorry für die späte Rückmeldung, irgendwie hat die Benachrichtigungsfunktion nicht richtig geklappt.

Das Problem macht sich so bemerkbar, dass ich immer eine Meldung von Google Chrome (Malware gefunden) bekomme, wenn ich auf meine Seite gehe. Plug-Ins habe ich Contact Form 7 und NextGen Gallery installiert. Und eben das Secuirty Plug-In.

#7 Ok, das bedeutet entweder, dass direkt in den Blog Schadcode eingeschleust wird oder dass auf Deiner Domain in irgendeinem Unterverzeichnis was bösartiges abgelegt wurde und Google nun die komplette Domain als schädlich einstuft. Das kann zum Beispiel dann passieren, wenn die FTP-Zugangsdaten in falsche Hände geraten sind und nun irgendjemand damit Malware auf Deinem Webspace ablegt oder den Code der Wordpressinstallation kompromittiert. Du solltest auf jeden Fall das FTP-Passwort ändern und wenn möglich kein ungesichertes FTP, sondern nur verschlüsseltes FTP (SFTP) nutzen.

Eine kurze Recherche hat allerdings auch ergeben, dass das Plugin Contact Form 7 in der Vergangenheit sehr häufig Sicherheitslücken hatte. Gerade im August 2014 wurde wieder eine Sicherheitslücke entdeckt. Die ist hoffentlich in aktuelleren Versionen (gestern wurde Version 4.0.1 veröffentlicht) geschlossen.

Edit: das gleiche gilt auch für NextGen Gallry, da gab es im Juli eine Lücke, wodurch ein Angreifer Code hochladen und ausführen konnte. (siehe: http://de.1337day.com/exploit/22409)

Stelle auf jeden Fall sicher, dass alle Deine verwendeten Plugins auf dem aktuellen Stand sind. Stelle sicher, dass Deine Wordpress-Installation auf dem aktuellen Stand ist (Version 4). Stelle sicher, dass Dein verwendetes Theme auf dem aktuellen Stand ist und keine Sicherheitslücken enthält. Falls Du noch andere Plugins installiert hast, die aber nicht aktiviert sind, solltest Du sie trotzdem löschen, da auch dort Sicherheitslücken vorhanden sein können, die ausgenutzt werden könnten.

Mich würde noch interessieren, welches Security Plugin Du installiert hast. Ich selbst setze Wordfence ein.
__________
Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren.
Der Grabsteinschubser

#8 Wahrscheinlich liegt auf dem Host im WP Verzeichnis irgendwo eine Shell.
Wurde der Host daraufhin schon untersucht?

#9 Danke für die Anworten!

Habe jetzt alle Plug-Ins deaktiviert und die Seite neu aufgesetzt. NextGen Gallery und Contact Form 7 habe ich durch Alternativen ersetzt. Aktuell gibt es keine Probleme. Shell sollte also nirgendwo eines liegen. Ich halte euch auf dem Laufenden, falls es noch einmal Probleme gibt!

#10 Weiß nicht obs dir Hilf, habe aber mal gehört das der Hauptangriffspunkt das Adminmenü ist und das viele Ruhe hatten nach dem Sie das Admin-Menü via .htaccess und htpasswd geschützt haben...

#11

Zitat

Glavas postete
Weiß nicht obs dir Hilf, habe aber mal gehört das der Hauptangriffspunkt das Adminmenü ist und das viele Ruhe hatten nach dem Sie das Admin-Menü via .htaccess und htpasswd geschützt haben...

ja ist auf jeden Fall ein sehr wichtiger Schritt. Nützt aber nicht viel, wenn die Seite bereits infiziert wurde :/

Mittlerweile gibt es aber auch in dem Bereich professionelle Hilfe, falls man alleine nicht mehr weiter kommt: https://wp-sicher.de/wordpress-webseiten-von-viren-und-schadcode-saeubern/

#12 Stimmt, wenn die Seite nicht infiziert wurde, dann hilft Adminmenü.

#13 Ich hatte mit meiner Wordpress Seite ein ähnliches Problem, wobei es bei mir an nur einem PlugIn lag, was ich aber direkt von einer Agentur beheben ließ. Als die Hack-Angriffe vermehrt wieder auftraten und man mir versicherte, dass es nicht an der Sicherheit von Wordpress lag, blieb nur der Rückschluss, dass es eventuell der Hoster ist. Wir sind dann umgehend zu einem anderen gewechselt, arbeiten seitdem mit einer Agentur Toolbox, mit der es sich bei Wordpress und anderen CMS sehr viel leichter arbeiten lässt (Infos hier https://www.mittwald.de/hosting/agentur-toolbox) und profitieren von den hohen Sicherheitsanforderungen unseres Hosters.
Demnach würde ich eher bedenken, ob das Problem nicht womöglich woanders liegt..

#14 manchmal kann es aber auch an den mangelhaften Plug Ins liegen

#15 besteht das Problem denn noch?