image

"Aanvallers zoeken op grote schaal naar back-ups van WordPress-sites"

woensdag 30 november 2022, 14:46 door Redactie, 8 reacties

Aanvallers zoeken op grote schaal naar back-ups van WordPress-sites om zo inloggegevens te verkrijgen waarmee de website kan worden overgenomen. Dat stelt securitybedrijf Wordfence dat de afgelopen maand zeventig miljoen pogingen waarnam. WordPress beschikt over het bestand wp-config.php dat onder andere inloggegevens voor de database en secret keys bevat.

Informatie in het bestand kan aanvallers helpen om een website over te nemen. Het bestand is standaard binnen WordPress beschermd en niet toegankelijk. Een veelgebruikte methode om een back-up van wp-config.php te maken is door het bestand te kopieren en van een nieuwe extensie te voorzien, zoals .txt, .bak, of .html.

Wanneer beheerders dit bestand in de webdirectory achterlaten is het relatief eenvoudig voor aanvallers om deze bestanden te vinden. Dit kan bijvoorbeeld via Google, maar er zijn ook speciale scanners voor. Beheerders wordt dan ook aangeraden om hun back-ups niet in de webdirectory achter te laten. Volgens cijfers van marktvorser W3Techs draait 43 procent van alle websites op internet op WordPress.

Reacties (8)
30-11-2022, 15:02 door Anoniem
draait 43 procent van alle websites op internet op WordPress.


Zo lek als een mandje. Bija niemand vat dat je als je zoiets gebruikt, je een beheerder ervoor nodig hebt, die minstens de boel hardened, updated en secure houdt.

Van die mafketels die een webwinkel openen en 10 euro per maand voor webhosting betalen, en niet realiseren dat een serieuze webwinkel minstens 250 euro aan security per maand moet kosten.

En dan huilen bij oom agent over de slechte hacker.

Maargoed, dit schapenvolk loopt ook rond met een outdated android spyphone.
30-11-2022, 18:10 door Anoniem
Door Anoniem: draait 43 procent van alle websites op internet op WordPress.


Zo lek als een mandje. Bija niemand vat dat je als je zoiets gebruikt, je een beheerder ervoor nodig hebt, die minstens de boel hardened, updated en secure houdt.

Van die mafketels die een webwinkel openen en 10 euro per maand voor webhosting betalen, en niet realiseren dat een serieuze webwinkel minstens 250 euro aan security per maand moet kosten.

En dan huilen bij oom agent over de slechte hacker.

Maargoed, dit schapenvolk loopt ook rond met een outdated android spyphone.
WordPress is niet zo slecht als jj voorstelt. Het zijn meestal de plugins, die lek zijn.
30-11-2022, 18:53 door Anoniem
Door Anoniem: draait 43 procent van alle websites op internet op WordPress.


Zo lek als een mandje. Bija niemand vat dat je als je zoiets gebruikt, je een beheerder ervoor nodig hebt, die minstens de boel hardened, updated en secure houdt.

Van die mafketels die een webwinkel openen en 10 euro per maand voor webhosting betalen, en niet realiseren dat een serieuze webwinkel minstens 250 euro aan security per maand moet kosten.

En dan huilen bij oom agent over de slechte hacker.

Maargoed, dit schapenvolk loopt ook rond met een outdated android spyphone.

Weet niet waar je dat vandaan haalt, niks zo lek als een mandje en je 250 euro per maand is ook nergens op gebaseerd.
Wat doe je dan met die 250 europ iedere maand? Rian van Rijbroek consulteren?
30-11-2022, 19:18 door linuxpro
Het is hartstikke populair om Wordpress de grond in te boren zeker door mensen die graag als expert gezien willen worden. De waarheid ligt echter iets genuanceerder, Wordpress is op zich prima veilig te draaien alleen net zoals bij het repareren van een moderne electrische auto moet je wel weten hoe.

Kortom, geloof niet meteen de eerste de beste die meteen roept dat Wordpress per definitie onveilig is. (en nee, ik heb geen belangen in Wordpress)
30-11-2022, 22:21 door Anoniem
Het gaat niet om dit CMS, maar om onoordeelkundig gebruik bij onderhoud.

User enumeration en directory listing niet op disabled gezet. CMS, thema's en plugins niet geüpdate enz.

Zo kan elke fijn afgeleverde, veilige en gelikt ontworpen website naar de barrebiesjes worden geholpen of daar op den duur belanden. Tegen onkunde is niet te vechten.

Linuxpro kan dus gelijk hebben wat WP betreft, maar dit soort algemeen gestuntel benoemt hij niet.

luntrus
30-11-2022, 22:43 door Vicktor
Door Anoniem: draait 43 procent van alle websites op internet op WordPress.


Zo lek als een mandje. Bija niemand vat dat je als je zoiets gebruikt, je een beheerder ervoor nodig hebt, die minstens de boel hardened, updated en secure houdt.

Van die mafketels die een webwinkel openen en 10 euro per maand voor webhosting betalen, en niet realiseren dat een serieuze webwinkel minstens 250 euro aan security per maand moet kosten.

En dan huilen bij oom agent over de slechte hacker.

Maargoed, dit schapenvolk loopt ook rond met een outdated android spyphone.

Ik weet niet wat je drinkt of rookt maar dit slaat nergens op.
30-11-2022, 23:58 door Anoniem
Ha Vicktor,

Anoniem reageerde wat 'plastisch'. Hij is nogal ondersteboven van zijn eigen posting, denk ik. ;)

Voor de webwinkel zou ie een scannetje moeten uitvoeren bij magereport.

https://www.magereport.com/scan/?s=

Daarna misschien "cryptojacking code detected on outdated Magento version" of iets dergelijks.

Daar azen aanvallers ook op, op brakke Magento webshop sites.

luntrus
07-01-2023, 14:52 door WebsiteNazorg
Laten we even iets uit elkaar trekken. Een backup van een WordPress site is veelal een zipfile met echt alles erin. Er zijn WordPress plugins die die backups maken en lokaal opslaan. Ja, dat is heel, heel, heel dom. Dan lever je niet alleen de sleutels maar ook meteen alle data. Echter... de inhoud van het bericht gaat niet over WordPress backups maar onhandig hernoemen van de wp-config.php. Bijna geen enkele backup plugin van WordPress doet dit. Dit is veelal onhandig handwerk. Bovendien vrijwel altijd onnodig om te doen.

Wij adviseren altijd om geen backup plugins in WordPress te installeren. Ook niet als je backups naar externe opslag stuurt. Er zijn heel veel factoren waardoor backups van deze plugins corrupt kunnen zijn. O.a. hoelang een PHP script mag draaien. Daarnaast vertraagt een backup de hele site. Overigens kennen we wel uitzonderingen op deze regel.

Het beste is om te zorgen dat je een webhost met een goed backup beleid hebt. En probeer ook eens zo'n backup terug te draaien. Kijk eens hoe dat werkt, zodat je niet voor verrassingen staat wanneer er de noodzaak toe is.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.