DDoS Atacke von einer meiner Wordpress Installationen

produkttest · 30. Oktober 2013

Hallo zusammen,

mein Hosting-Anbieter teilte mir eben mit, dass von meinem Benutzer aus eine DDoS-Attacke ausgeführt wurde. Ich habe derzeit nur Wordpress (zwei Installationen) im Einsatz und kann mir nicht erklären wie das passieren konnte.

Ich nutze bei beiden Installationen WP 3.7, habe keinen User "admin" und ein sicheres Kennwort, bestehend aus Buchstaben, Zahlen und Sonderzeichen.

Ich muss nun vom Hosting-Anbieter die fehlerhafte Datei suchen lassen - und das kostet Geld, was ich in diesem Fall gerne bezahle. Jedoch stellt sich mir nun die Frage wie man dies zukünftig vermeiden kann. Worauf kann ich denn noch achten?

Ich kann derzeit nicht sagen welche Plugins ich nutze, denn die Seite ist, selbst für mich, derzeit nicht erreichbar. Die Links helfen Euch im Moment auch nicht, denn der Hosting-Anbieter hat die Seiten derzeit komplett blockiert.

Ich würd mich über Eure Hilfe freuen um zukünftig solche Probleme vermeiden zu können.

Vielen Dank

Mathias

r23 · 30. Oktober 2013

Zitat von produkttest: ↑

Jedoch stellt sich mir nun die Frage wie man dies zukünftig vermeiden kann. Worauf kann ich denn noch achten?
Klicke in dieses Feld, um es in vollständiger Größe anzuzeigen.

Es gibt sehr viele Anleitungen im Web, wie du deine Wordpress version absichern kannst.

Selbst der Spiegel schreibt Hinweise:
http://www.spiegel.de/netzwelt/web/wordpress-so-sichern-sie-die-blog-maschine-ab-a-707286.html

http://www.spiegel.de/netzwelt/gadgets/weltweite-hacker-angriffe-gegen-blog-plattform-wordpress-a-894366.html

Ich habe mir eine Firewall geschrieben. Dh. die Eingaben von aussen werden auf Code Injektionen geprüft und ich habe mir ein Plugin Installiert, dass mir einmal am Tag die Änderungen an Wordpress mitteilt.

D.h. ich benkomme in der Mail mitgeteilt, welche neue Dateien auf dem Server sind und welche Scripte geändert wurden.

Sollte meine Firewall mal nicht helfen, habe ich so die Möglichkeit, dass ich die Änderungen schnell finde.

Zitat von produkttest: ↑

Ich würd mich über Eure Hilfe freuen um zukünftig solche Probleme vermeiden zu können.
Klicke in dieses Feld, um es in vollständiger Größe anzuzeigen.

Evtl. einen Dienstleiter übder Jobforum hier suchen, der dein System auf Sciherheitslücken prüft
http://www.exploit-db.com/search/?action=search&filter_page=1&filter_description=wordpress
und das System absichern lassen?

Hoffe, die Antwort hilft weiter

ralf

entwickler · 30. Oktober 2013

Welchen Hoster hast Du?
Kommst Du an die Logfiles?
Hast Du Shared Hosting oder einen Server?
Was schreibt Dir Dein Hoster im Detail?
Hat Dein Hoster Beweise?

Mich erinnert das etwas an meinen Besuch in der Autowerkstatt eben. Die Werkstatt hat einen Sensor ausgetauscht und ich habe einfach alles geglaubt und bezahlt. So doof war ich. Hätte ich mir bloß den defekten Sensor mitgeben lassen.

produkttest · 30. Oktober 2013

Hallo zusammen,
danke für die schnellen Antworten. Ich habe von meinem Hoster (Top-Hoster) folgende Mail erhalten:

aufgrund einer DoS-Attacke welche ausgehend von Ihren Web-Benutzer war, mussten wir folgenden Webaccount sperren:
Benutzer: webxxx
Server: SERVER-X
Die Sperrung ist aufgrund der Dringlichkeit der illegalen Aktivität erfolgt.
Zudem ist davon auszugehen, das die Sicherheitslücke in Ihren Scripten weiterhin vorhanden ist und vor Freischaltung entfernt sein muss. In der Regel ist ein ausgehender DoS durch eine Sicherheitslücke in der verwendeten Software zurückzuführen. Dafür ist u.a. Joomla, WordPress usw. bekannt, dass bspw. im Upload (/tmp) Verzeichnis Daten hochgeladen wurden.
Entsprechende Anhaltspunkte können Sie im FTP-Verzeichnis /log Ihrer
access- und error-log entnehmen.
HINWEIS:
Halten Sie aus diesem Grunde Ihre Websoftware immer auf den aktuellsten Stand mit Sicherheitsupdates etc. und insofern Sie hierbei Unterstützung benötigen, nehmen Sie bitte Kontakt mit uns auf.
Bitte beachten Sie, dass wir die Inhalte Ihres /html-Verzeichnisses aus Sicherheitsgründen in das /files-Verzeichnis verschoben haben.
Sollten Sie hierzu Fragen haben, nehmen Sie umgehend Kontakt mit uns auf um die Angelegenheit klären zu können.
Sobald die Sicherheitslücke/Fehler behoben ist, werden wir den Web-Benutzer wieder freigeben.

--<AUSZUG>---
webxxx 115001 0.0 0.0 0 0 ? Z Oct29 1:02 {php}
<defunct>
webxxx 125723 0.0 0.0 0 0 ? Z Oct29 0:26 {php}
<defunct>
webxxx 125737 0.0 0.0 0 0 ? Z Oct29 0:22 {php}
<defunct>
webxxx 135190 0.0 0.0 0 0 ? Z Oct29 0:26 {php}
<defunct>
webxxx 135191 0.0 0.0 0 0 ? Z Oct29 0:16 {php}
<defunct>
webxxx 135195 0.0 0.0 0 0 ? Z Oct29 0:16 {php}
<defunct>
webxxx 135196 0.0 0.0 0 0 ? Z Oct29 0:24 {php}
<defunct>
webxxx 135206 0.0 0.0 0 0 ? Z Oct29 0:30 {php}
<defunct>
webxxx 146338 0.0 0.0 0 0 ? Z Oct29 0:02 {php}
<defunct>
webxxx 146339 0.0 0.0 0 0 ? Z Oct29 0:00 {php}
<defunct>
webxxx 146341 0.0 0.0 0 0 ? Z Oct29 0:02 {php}
<defunct>
webxxx 147803 0.0 0.0 0 0 ? Z Oct29 0:01 {php}
<defunct>
webxxx 148225 0.0 0.0 0 0 ? Z Oct29 0:04 {php}
<defunct>
webxxx 148229 0.0 0.0 0 0 ? Z Oct29 0:02 {php}
<defunct>
webxxx 148265 0.0 0.0 0 0 ? Z Oct29 0:02 {php}
<defunct>
webxxx 148453 0.0 0.0 0 0 ? Z Oct29 0:00 {php}
<defunct>
webxxx 149846 0.0 0.0 0 0 ? Z Oct29 0:01 {php}
<defunct>
webxxx 149847 0.0 0.0 0 0 ? Z Oct29 0:00 {php}
<defunct>
webxxx 150296 0.0 0.0 0 0 ? Z Oct29 0:03 {php}
<defunct>
webxxx 150305 0.0 0.0 0 0 ? Z Oct29 0:01 {php}
<defunct>
webxxx 151891 0.0 0.0 0 0 ? Z Oct29 0:07 {php}
<defunct>
webxxx 151934 0.0 0.0 0 0 ? Z Oct29 0:02 {php}
<defunct>
webxxx 151982 0.0 0.0 0 0 ? Z Oct29 0:01 {php}
<defunct>
webxxx 152353 0.0 0.0 0 0 ? Z Oct29 0:00 {php}
<defunct>
webxxx 152574 0.0 0.0 0 0 ? Z Oct29 0:01 {php}
<defunct>
webxxx 153642 0.0 0.0 0 0 ? Z Oct29 0:02 {php}
<defunct>
webxxx 153839 0.0 0.0 0 0 ? Z Oct29 0:03 {php}
<defunct>
--<AUSZUG>---

Wenn Sie noch weitere Fragen haben oder Unterstützung benötigen,
stehen wir Ihnen gern zur Verfügung.
Klicke in dieses Feld, um es in vollständiger Größe anzuzeigen.

Auf Nachfrage habe ich erfahren, dass drei andere Anbieter die Attacke gemeldet haben. Ich gehe nicht davon aus, dass Top-Hoster mich bei dieser Sache betrügen will, denn ich bin sonst sehr zufrieden mit denen. Ich habe auch bereits 30 Minuten mit denen telefoniert und der Mitarbeiter war sehr hilfsbereit.
Ich habe mich eben im Internet ein wenig schlau gemacht und gesehen, dass wohl in den letzten 1,5 Monaten viele WP-Seiten an DDoS Attacken beteiligt waren.
An die Logfiles komme ich ran, diese sind aber 170 MB groß. Ich finde da auch nichts. Lediglich das Error-Log spielt verrückt seit dem meine Seite von Anbieter gesperrt wurde...
Ich bin einfach nur sehr verärgert, dass meine Sicherheitsmaßnahmen nicht gegriffen haben. Bei dem Server handelt es sich um ein normales Webspace und nicht um einen eigenen Server.
Gruß
Mathias

entwickler · 30. Oktober 2013

Die Benachrichtigung von Deinem Hoster ist Wischiwaschi. Sowas könnte er jedem schicken.

Logfiles die 170MB groß sind, finde ich unhandlich.
Ist die Datei etwa für einen einzelnen Tag so groß?
Wenn ja, dann war es wirklich eine Höllenattacke.

Mit dem "Auszug" kann ich nichts anfangen.
Apache Logdateien sehen anders aus.

Natürlich könnte jemand per ftp Dateien in Deinen Webspace laden und dann mißbrauchen. Hoffentlich ist Dein Passwort dort sicher.

produkttest · 30. Oktober 2013

Ich muss gerade feststellen, dass das Access-Logfile nur einen halben Tag Daten drin hat... Und es ist so groß. Ist ja schon fast als wäre die Attacke auf mich verübt worden...

Mein FTP-Passwort beinhaltet ebenfalls Groß- & Kleinbuchstaben, Zahlen und Sonderzeichen. Also das kann man nicht so einfach knacken.

Ich bin mal gespannt was der Hoster so rausbekommen wird. Vielleicht ist ja auch ein Plugin die Ursache für den Angriff. Das wäre das einfachste. Ich hab denen jetzt erst mal eine Stunde genehmigt, die ich natürlich bezahlen muss, aber besser als wenn ich alles neu aufsetzen müsste!

Aber so eine richtige Idee wie ich sowas ausschließen kann hab ich immer noch nicht...

Mathias

g3h · 30. Oktober 2013

Dazu müsste man ja erstmal genau wissen was passiert ist (was ohne genau angaben aus Logdateien nicht gehen wird). Aber vielleicht weißt du nach der Stunde ja mehr und kannst genaueres mitteilen, wäre aufjedenfall interessant zu wissen, wie das zustande kam.

@r23 wie heißt das Plugin das dir Änderungen an Wordpress mitteilt ?

MfG

Hille · 30. Oktober 2013

Zitat von g3h: ↑

wie heißt das Plugin das dir Änderungen an Wordpress mitteilt ?

MfG
Klicke in dieses Feld, um es in vollständiger Größe anzuzeigen.

z.B. http://wordpress.org/plugins/antivirus/

Auf einer eigenen Maschine z.B. Aide

WPDE.org

DDoS Atacke von einer meiner Wordpress Installationen

produkttest New Member

r23 Well-Known Member

entwickler Well-Known Member

produkttest New Member

entwickler Well-Known Member

produkttest New Member

g3h Well-Known Member

Hille Well-Known Member

Nützliche Suchen

DDoS Atacke von einer meiner Wordpress Installationen

produkttest New Member

r23 Well-Known Member

entwickler Well-Known Member

produkttest New Member

entwickler Well-Known Member

produkttest New Member

g3h Well-Known Member

Hille Well-Known Member