"Aanvallers zoeken op grote schaal naar back-ups van WordPress-sites"
Aanvallers zoeken op grote schaal naar back-ups van WordPress-sites om zo inloggegevens te verkrijgen waarmee de website kan worden overgenomen. Dat stelt securitybedrijf Wordfence dat de afgelopen maand zeventig miljoen pogingen waarnam. WordPress beschikt over het bestand wp-config.php dat onder andere inloggegevens voor de database en secret keys bevat.
Informatie in het bestand kan aanvallers helpen om een website over te nemen. Het bestand is standaard binnen WordPress beschermd en niet toegankelijk. Een veelgebruikte methode om een back-up van wp-config.php te maken is door het bestand te kopieren en van een nieuwe extensie te voorzien, zoals .txt, .bak, of .html.
Wanneer beheerders dit bestand in de webdirectory achterlaten is het relatief eenvoudig voor aanvallers om deze bestanden te vinden. Dit kan bijvoorbeeld via Google, maar er zijn ook speciale scanners voor. Beheerders wordt dan ook aangeraden om hun back-ups niet in de webdirectory achter te laten. Volgens cijfers van marktvorser W3Techs draait 43 procent van alle websites op internet op WordPress.
Zo lek als een mandje. Bija niemand vat dat je als je zoiets gebruikt, je een beheerder ervoor nodig hebt, die minstens de boel hardened, updated en secure houdt.
Van die mafketels die een webwinkel openen en 10 euro per maand voor webhosting betalen, en niet realiseren dat een serieuze webwinkel minstens 250 euro aan security per maand moet kosten.
En dan huilen bij oom agent over de slechte hacker.
Maargoed, dit schapenvolk loopt ook rond met een outdated android spyphone.
Zo lek als een mandje. Bija niemand vat dat je als je zoiets gebruikt, je een beheerder ervoor nodig hebt, die minstens de boel hardened, updated en secure houdt.
Van die mafketels die een webwinkel openen en 10 euro per maand voor webhosting betalen, en niet realiseren dat een serieuze webwinkel minstens 250 euro aan security per maand moet kosten.
En dan huilen bij oom agent over de slechte hacker.
Maargoed, dit schapenvolk loopt ook rond met een outdated android spyphone.
Zo lek als een mandje. Bija niemand vat dat je als je zoiets gebruikt, je een beheerder ervoor nodig hebt, die minstens de boel hardened, updated en secure houdt.
Van die mafketels die een webwinkel openen en 10 euro per maand voor webhosting betalen, en niet realiseren dat een serieuze webwinkel minstens 250 euro aan security per maand moet kosten.
En dan huilen bij oom agent over de slechte hacker.
Maargoed, dit schapenvolk loopt ook rond met een outdated android spyphone.
Weet niet waar je dat vandaan haalt, niks zo lek als een mandje en je 250 euro per maand is ook nergens op gebaseerd.
Wat doe je dan met die 250 europ iedere maand? Rian van Rijbroek consulteren?
Kortom, geloof niet meteen de eerste de beste die meteen roept dat Wordpress per definitie onveilig is. (en nee, ik heb geen belangen in Wordpress)
User enumeration en directory listing niet op disabled gezet. CMS, thema's en plugins niet geüpdate enz.
Zo kan elke fijn afgeleverde, veilige en gelikt ontworpen website naar de barrebiesjes worden geholpen of daar op den duur belanden. Tegen onkunde is niet te vechten.
Linuxpro kan dus gelijk hebben wat WP betreft, maar dit soort algemeen gestuntel benoemt hij niet.
luntrus
Zo lek als een mandje. Bija niemand vat dat je als je zoiets gebruikt, je een beheerder ervoor nodig hebt, die minstens de boel hardened, updated en secure houdt.
Van die mafketels die een webwinkel openen en 10 euro per maand voor webhosting betalen, en niet realiseren dat een serieuze webwinkel minstens 250 euro aan security per maand moet kosten.
En dan huilen bij oom agent over de slechte hacker.
Maargoed, dit schapenvolk loopt ook rond met een outdated android spyphone.
Ik weet niet wat je drinkt of rookt maar dit slaat nergens op.
Anoniem reageerde wat 'plastisch'. Hij is nogal ondersteboven van zijn eigen posting, denk ik. ;)
Voor de webwinkel zou ie een scannetje moeten uitvoeren bij magereport.
https://www.magereport.com/scan/?s=
Daarna misschien "cryptojacking code detected on outdated Magento version" of iets dergelijks.
Daar azen aanvallers ook op, op brakke Magento webshop sites.
luntrus
Wij adviseren altijd om geen backup plugins in WordPress te installeren. Ook niet als je backups naar externe opslag stuurt. Er zijn heel veel factoren waardoor backups van deze plugins corrupt kunnen zijn. O.a. hoelang een PHP script mag draaien. Daarnaast vertraagt een backup de hele site. Overigens kennen we wel uitzonderingen op deze regel.
Het beste is om te zorgen dat je een webhost met een goed backup beleid hebt. En probeer ook eens zo'n backup terug te draaien. Kijk eens hoe dat werkt, zodat je niet voor verrassingen staat wanneer er de noodzaak toe is.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
