WP 4.4.2: Fehlgeschlagene Anmeldeversuche / Hackversuche

wepego · 24. Februar 2016

Hallo,

ich habe seit ein paar Tagen merkwürdige unregelmäßige Anmeldeversuche erkannt, seit dem Upgrade auf 4.4.2.
Zunächst dachte ich an Brute-Force oder ähnlichem und loggte alle Aufrufe des Logins. Aber da kam gar-nichts.

Erst ein Blick ins server-log offenbarte, das der Angriff über den Aufruf von xmlrpc.php erfolgt.

Hier ein Auszug:

Code:
Entschuldige, aber du musst dich registrieren oder anmelden um den Inhalt sehen zu können!
Sorgen macht mir auch die jeweils 65569 Bytes, die übertragen werden.

Ist die Site nun schon gehackt worden?
Was sollte ich tun?

Den Admin-Account werde ich jetzt umbenennen/entfernen.

Beste Grüße

Frank9652 · 24. Februar 2016

Seit der letzten Wordpress-Version ist die XML-RPC Schnittstelle freigeschaltet.
Hier der entsprechende Wikipedia-Link.
Trotz der Erklärung habe ich aber auch nicht so recht verstanden wozu man diese Schnittstelle verwenden kann.
Man kann sie wohl im Zusammenhang mit mobilen Endgeräten verwenden.
Irgendwo im Forum hatte ich gelesen, wer sie nicht brauchen würde, könnte sie auch abschalten.
Das habe ich über das Plugin iThemes Security gemacht. Nach der Deaktivierung konnte ich keine Änderungen in der Darstellung (auch übers Handy) feststellen.
Ob deine Seite schon gehackt wurde kann ich nicht beantworten. Es ist aber wohl so, dass vor der letzten Wordpress-Version es entweder diese Schnittstelle noch nicht gab, oder sie noch deaktiviert war.

Soweit ich es verstanden habe, hat die XML-RPC Schnittstelle nichts mit dem Admin Account zu tun. Über die Schnittstelle kann man aber auch versuchen in Wordpress einzudringen. Stellt also einen weiteren potentiellen Angriffspunkt dar.

Gruß Frank

Hille · 24. Februar 2016

@Frank kein Halbwissen verbreiten [emoji6]. Die Schnittstelle ist seit 3.5 Standardmäßig aktiviert. Hier kannst du mehr dazu lesen bzw wie man diese deaktiviert

http://fastwp.de/2068/

wepego · 25. Februar 2016

Ok, ich habe die Aufrufe erstmal per htaccess unterbunden.
Da ich sah, das der Admin-Account als Login versucht wurde, wollte ich den umbenennen - aber das geht garnicht in der Benutzerverwaltung.
(Ich dachte mir, wo kein Standart-Account 'admin' ist, kann dieser auch nicht blind probiert werden).
Ist das eine gute Idee? Wie geht das?

SirEctor · 25. Februar 2016

Leg dir einen neuen Admin-Account an. Mit diesem neuen loggst du dich dann ein und löschst den alten Admin-Account. Dabei wirst du dann gefragt was mit den Posts passieren soll. Die kannst du dann ganz einfach dem neuen Account übergeben.

WPDE.org

WP 4.4.2: Fehlgeschlagene Anmeldeversuche / Hackversuche

wepego New Member

Frank9652 Well-Known Member

Hille Well-Known Member

wepego New Member

SirEctor Well-Known Member
Ehrenmitglied

Nützliche Suchen

WP 4.4.2: Fehlgeschlagene Anmeldeversuche / Hackversuche

wepego New Member

Frank9652 Well-Known Member

Hille Well-Known Member

wepego New Member

SirEctor Well-Known Member Ehrenmitglied

SirEctor Well-Known Member
Ehrenmitglied