Безопасность Wordpress на сайтах, размещенных на IIS.


10

Со вчерашнего дня на одном из моих сайтов происходят странные вещи.

Файл index.php моего WordPress-сайта на IIS изменился с 1 кБ до 80 КБ. Также map.xml и sitemap.xml являются новыми в каталоге. Некоторые дополнительные файлы также находятся в wp-content / themes или wp-content / includes folers. Как b.php или e.asp.

В журналах я могу найти запись, которая показывает процесс, который я думаю. POST /wordpress/wordpress/wp-content/plugins/easyrotator-for-wordpress/b.php - 80 или POST /wp-content/themes/koppers12/library/e.asp | 26 | 800a0408 | Invalid_character 80

Вероятно, это связано с тем, что мои настройки безопасности могут быть менее строгими, однако я не могу понять, как повысить безопасность, но позволяю механизму обновления для самого wordpress, тем и плагинов работать.

В настоящее время права (iusr) настроены на чтение и запись для всего сайта. Если я изменяю его только на чтение, весь механизм обновления не работает из-за меньшего количества прав

Есть ли какой-нибудь способ предотвратить внедрение нежелательных файлов на сайт, а также иметь возможность обновлять WordPress, темы и плагины?

Может ли используемая инъекция быть эксплойтом какого-либо плагина, или же из-за прав сайт вводится с нежелательными файлами?

(Я заблокировал IP-адреса, которые вызвали это, но это не очень помогает, так как этот метод внедрения уже был замечен на других IP-адресах / диапазонах.)


Ответы:


10

Я следовал этому руководству, которое хорошо работает

https://codex.wordpress.org/Hardening_WordPress

Имейте в виду несколько вещей: если вы разрешаете нескольким пользователям загружать контент на ваш сайт, создавайте свои собственные статьи, у них должна быть не только учетная запись со специальными привилегиями в WordPress, но и диктованная учетная запись пользователя ftp на коробке. Этот пользователь не должен иметь права входа в систему.

Если это всего лишь один пользователь, вносящий изменения, настройте базовую аутентификацию с локальной учетной записью Windows. Когда вы нажимаете на ссылку, чтобы добавить медиа или внести изменения, вам будет предложено ввести имя пользователя и пароль.

Используя наш сайт, вы подтверждаете, что прочитали и поняли нашу Политику в отношении файлов cookie и Политику конфиденциальности.
Licensed under cc by-sa 3.0 with attribution required.