1. Herzlich willkommen bei WPDE.org, dem grössten und ältesten deutschsprachigen Community-Forum rund um das Thema WordPress. Du musst angemeldet oder registriert sein, um Beiträge verfassen zu können.
    Information ausblenden

WordPress gecrackt?

Dieses Thema im Forum "Konfiguration" wurde erstellt von Dunkelangst, 22. Februar 2013.

Schlagworte:
  1. Dunkelangst

    Dunkelangst Well-Known Member

    Registriert seit:
    28. Juni 2007
    Beiträge:
    682
    Zustimmungen:
    0
    Hallo WordPress Community!

    Es geht um mein Blog www.dunkelangst.org.

    Ich habe diesen Blog so eingestellt, dass man sich registrieren muss, um Kommentare zu hinterlassen. Bei der Registrierung muss man ein Captcha Symbol (verwende das SI CAPTCHA Anti-Spam Plugin) eingeben; auf diese Weise möchte ich maschinell erzeugte Fake Accounts vorbeugen.

    Ich habe außerdem am 5. Februar einen Beitrag geschrieben und diesen mit einem Passwort versehen um halbwegs kontrollieren zu können wer diesen (doch etwas persönlicheren Eintrag) liest. Um diesen Beitrag im besonderen geht es nun:

    Um an diesem Beitrag einen Kommentar zu hinterlassen muss man also zum einen registriert sein und zum anderen noch das Passwort zu diesem Beitrag kennen.

    Ich habe heute einen Spam Kommentar erhalten; dieser wurde zwar von meinem Spamfilter (Antispam Bee) ordnungsgemäß erkannt und in den Spamfilter geschoben; jedoch:


    • Er wurde von keinem registrierten Benutzer geschrieben.
    • Er wurde an den Passwortgeschützten Beitrag geschrieben.

    Das verwundert mich nun schon. Wie ist das überhaupt möglich? Was ist hier passiert? Wurde mein Blog gecrackt? Was ist zu tun?

    Falls das zur Sache beiträgt: den Screenshot von dem Spammer/Cracker gibt es im Anhang.
     

    Anhänge:

    • spam.jpg
      spam.jpg
      Dateigröße:
      34,7 KB
      Aufrufe:
      13
    #1 Dunkelangst, 22. Februar 2013
  2. Dunkelangst

    Dunkelangst Well-Known Member

    Registriert seit:
    28. Juni 2007
    Beiträge:
    682
    Zustimmungen:
    0
    Hab da noch mal eine andere Frage zu diesem Passwortgeschützten Beitrag:
    Wenn ich diesen Link auf Facebook teile, dann erscheint der folgende Inhalt, der eigentlich nur nach Eingabe des Passwortes betrachtet werden können sollte:
    So, was ist hier jetzt faul: Facebook hat auf gar keinen Fall das Passwort um diesen Satz sehen zu können.

    Grafik siehe Anhang.

    Ich interpretiere dies nun eindeutig als Sicherheitslücke. Irgendwas stimmt nicht. :evil:

    Ich bin für jedwede Hilfe Dankbar! :)
     

    Anhänge:

    #2 Dunkelangst, 22. Februar 2013
    Zuletzt bearbeitet: 22. Februar 2013
  3. Putzlowitsch

    Putzlowitsch Well-Known Member

    Registriert seit:
    21. Oktober 2006
    Beiträge:
    5.955
    Zustimmungen:
    47
    Zu dem Facebook-Problem.

    Das Plugin "Jetpack Open Graph Tags" setzt den Text als Beschreibung in den Header, und das auch, wenn der Artikel geschützt ist. Ist also eher ein Fehler des Plugins.

    Gruß
    Ingo
     
    #3 Putzlowitsch, 22. Februar 2013
  4. Dunkelangst

    Dunkelangst Well-Known Member

    Registriert seit:
    28. Juni 2007
    Beiträge:
    682
    Zustimmungen:
    0
    Hallo Ingo!

    Danke für Deine Hilfe!
    Wenn ich alle Plugins deaktiviere, bleibt das Problem bestehen. Gerade ausprobiert.
     
    #4 Dunkelangst, 22. Februar 2013
  5. Putzlowitsch

    Putzlowitsch Well-Known Member

    Registriert seit:
    21. Oktober 2006
    Beiträge:
    5.955
    Zustimmungen:
    47
    Na ich denke, daß Facebook das irgendwie zwischenspeichert und nicht jedesmal den Artikel neu von Deiner Seite abfragt.

    Mach doch mal zum Test einen neuen, geschützten Artikel und probiere das damit bei Facebook.
    Oder ändere am Anfang den Text des geschützen Artikels, dann müßte das sich ja auch auf Facebook auswirken, wenn Du den Artikel dort neu verlinkst.

    Gruß
    Ingo
     
    #5 Putzlowitsch, 22. Februar 2013
  6. Dunkelangst

    Dunkelangst Well-Known Member

    Registriert seit:
    28. Juni 2007
    Beiträge:
    682
    Zustimmungen:
    0
    Hab das JetPack Plugin jetzt kurzerhand gelöscht umd Missverständnisse außen vor zu lassen.

    Habe einen neuen Beitrag geschrieben und mit Passwort versehen. Facebook hat *keinen* Zugriff auf den Inhalt.
    Beim alten Beitrag, dem Problem Beitrag, bleibt das Problem bestehen.

    Wie kann Facebook etwas zwischenspeichern, an das Facebook nur mit Passwort kommen sollte?
     
    #6 Dunkelangst, 22. Februar 2013
  7. Putzlowitsch

    Putzlowitsch Well-Known Member

    Registriert seit:
    21. Oktober 2006
    Beiträge:
    5.955
    Zustimmungen:
    47
    Als das Plugin noch aktiv war, hast Du ja den Link bei Facebook gepostet und Facebook hat den Anfang des Artikel aus der Beschreibung im Header (vom Plugin dort eingetragen) ausgelesen.

    Genau diese Information hat sich Facebook gemerkt, also den Beschreibungstext zu dem Link. Wenn Du jetzt den Link erneut bei Facebook eingibst, wird die zwischengespeicherte Beschreibung angezeigt. Facebook fragt also Deinen Artikel gar nicht erneut ab und merkt so nicht, daß nun die Beschreibung fehlt. Oder Facebook merkt das zwar und sagt sich aber, ich habe ja die Beschreibung schon, also nehme ich diese.

    Gruß
    Ingo
     
    #7 Putzlowitsch, 22. Februar 2013
  8. Dunkelangst

    Dunkelangst Well-Known Member

    Registriert seit:
    28. Juni 2007
    Beiträge:
    682
    Zustimmungen:
    0
    Vielen Dank Ingo! Damit bleibt JetPack deinstalliert. :)

    Bleibt nun noch das Spam Problem. Das finde ich für sich genommen auf jeden Fall mysteriös.
     
    #8 Dunkelangst, 22. Februar 2013
  9. Putzlowitsch

    Putzlowitsch Well-Known Member

    Registriert seit:
    21. Oktober 2006
    Beiträge:
    5.955
    Zustimmungen:
    47
    Zumindest Spam für geschützte Artikel ist auch kein größeres Mysterium.

    Beim geschützten Artikel sieht man ohne Passwort nicht den Text und damit auch nicht das Kommentar-Formular. Spambots rufen aber in der Regel direkt das für die Verarbeitung der Kommentardaten zuständige PHP-Skript wp-comments-post.php auf. Wordpress prüft nun aber nicht extra bei der Kommentarverarbeitung, ob bei einem geschützten Artikel der Nutzer tatsächlich das Passwort eingegeben hatte.

    Das Problem "Nur angemledet Nutzer dürfen kommentieren" könnte auch damit zu tun haben oder es ist wieder ein Plugin dafür verantwortlich, welches irgendwie dazwischen funkt. Habe mir den Teil im WP-Quelltext jetzt noch nicht angesehen.

    Gruß
    Ingo
     
    #9 Putzlowitsch, 22. Februar 2013
  10. Dunkelangst

    Dunkelangst Well-Known Member

    Registriert seit:
    28. Juni 2007
    Beiträge:
    682
    Zustimmungen:
    0
    Hallo Ingo!

    Noch einmal vielen dank und schön zu Wissen, dass ich nicht gecrackt worden bin. Dann behalte ich besser einmal mein Spam Plugin installiert, denn dieses hat den Spammer tadellos erkannt. Dachte eigentlich, dass dieses nun überflüsssig geworden ist. :D

    Die vielen Dank!
     
    #10 Dunkelangst, 25. Februar 2013
  11. djmugge

    djmugge Well-Known Member

    Registriert seit:
    16. April 2008
    Beiträge:
    364
    Zustimmungen:
    1
    Das wird wohl ein Wunschtraum bleiben dass ein solches Plugin mal überflüssig sein könnte. Ganz im Gegenteil. Es wird immer mehr nicht mehr ohne gehen.
     
    #11 djmugge, 25. Februar 2013
(Du musst angemeldet oder registriert sein, um Beiträge verfassen zu können. )
  1. Diese Seite verwendet Cookies, um Inhalte zu personalisieren, diese deiner Erfahrung anzupassen und dich nach der Registrierung angemeldet zu halten.
    Wenn du dich weiterhin auf dieser Seite aufhältst, akzeptierst du unseren Einsatz von Cookies.
    Akzeptieren Weitere Informationen...
    Information ausblenden
  1. Diese Seite verwendet Cookies, um Inhalte zu personalisieren, diese deiner Erfahrung anzupassen und dich nach der Registrierung angemeldet zu halten.
    Wenn du dich weiterhin auf dieser Seite aufhältst, akzeptierst du unseren Einsatz von Cookies.
    Akzeptieren Weitere Informationen...
    Information ausblenden