Newsgroup: it.comp.www.php
Titolo: scrittura file su wp-content/uploads

Hola, ho un cliente con wordpress tutto aggiornato (4.7), 2 amministratori  
con user non admin ma ogni tanto (spesso) vengono scritti dei file .php che 
poi vengono utilizzati per inviare phish o spam.
Non utilizzo wp quindi a parte un po' di manutenzione spicciola 
(aggiornamenti, backup ed installazione di qualche plugin di controllo, 
ithemes secutiry) non riesco ad arginare la cosa: come scrivono dentro la 
uploads?
I commenti sono disattivati, la registrazione pure.
Ho letto che è un attacco su scala molto vasta ( 
https://goo.gl/yiLHIl
 )
cosa potrei provare?
 
 
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 cosa potrei provare?
 
il cliente ha i dati di accesso FTP? Quest'ultimo e gli
altri che hanno accesso a wordpress hanno un antivirus decente
e aggiornato, con scansione del loro pc fatta e 0 schifezze trovate?
 
 
 


Le schifezze sono tutte uploadate tramite http, niente ftp.
Non ho analizzato troppo la questione ma sono migliaia di accessi verso 
xmlrpc.php 
Ora ho tolto il permesso di scrittura alla uploads ed è tornato tutto a 
posto.


 xmlrpc.php
 
Quel file serve solo per fare amministrazione remota (tipo con client 
standalone invece che web), se ricordo bene.
 
Qualche anno fa qualcuno consigliava addirittura di cancellarlo, ma non 
so se nel frattempo la struttura di WP è cambiata tanto da renderlo 
necessario.
 
Visto che hai tolto i permessi di scrittura in upload, probabilmente 
puoi anche provare a rinominare xmlrpc.php e vedere se si rompe 
qualcosa, e nel caso ridare i permessi di scrittura ad upload 
(altrimenti non potranno più caricare immagini dal backend).
 
Bye.
 
 

 Bye.


 ma mi sembra un po' colabrodo
 
è il rovescio della medaglia: vero che wordpress è facile e comodo,
ma è anche target di attacchi e problemi vari. Per cui bisogna
stargli sempre dietro e spendere tempo in continui aggiornamenti
e controlli vari. Il problema è che i webmastella sbattono
wordpress dovunque vendendolo ad ignari clienti, e poi "dimenticano"
di seguirlo, con conseguenze spesso disastrose...
 
 
 
 
 
 

 di seguirlo, con conseguenze spesso disastrose...
straquoto. Io faccio tutto a manella e da una parte ci vuole piů tempo (e 
costo), dall'altra ho sicuramente meno problemi


 costo), dall'altra ho sicuramente meno problemi
 
Non sono daccordo al 100%. Tra Wordpress e fare tutto a mano esiste una
saggia via di mezzo, anzi ne esistono a tonnellate (Laravel, per dirne
una molto di moda ai giorni nostri).
 
-- 
g4b0, linux user n. 369000
http://brosulo.net
 

 
Bisogna stare attenti a non confondere i CMS con i framework.
 
adesso io non ho mai lavorato su framework, ma credo che il prodotto 
finale, 
debba essere residente in un server dove c'è il framework stesso per girare.
O sbaglio?
 
in questo caso devi avere un clouds, o un vps o un server, altrimenti dove 
lo fai girare  il sito , su un hosting da 50 euro? dove wordpress ci sta 
senza problemi.
 
sbaglio?

 
 
Ho affrontato questo problema già su linux.sys
 
allora quello che faccio su i mie script, che non credo riuscirai a fare su 
wordpress è  cambiare i permessi alla cartella prima di fare l'upgrade del 
file e ricambiarli  una volta caricato il file .
il proprietario delle cartelle è apache.  
#in upload utente lettura e scrittura, gruppo lettura e scrittura
#finito l'upload utente lettura e scrittura, gruppo lettura
 
pero essendo apache il proprietario tramite un ignection possono comuque 
ricambiarti i permessi e ricaricarti i file, sempre tramite ignection .
 
wordpress genera le cartelle pertanto il proprietario delle cartelle è 
apache. 
 
se le carichi in ftp invece il proprietario è user ftp.
 
a quel punto, puoi fare fare a php un'azione in ftp, che cambia i permessi 
delle cartelle prima e dopo l'upload.
#in upload utente lettura e scrittura, gruppo lettura e scrittura
#finito l'upload utente lettura e scrittura, gruppo lettura
 
attenzione: devi caricare in un file ben protetto login e password ftp per 
farle utilizare a php per fare l'operazione. 
 
da apache, non essendo proprietario, non puoi ricambiare i permesis alle 
cartelle, quindi cartelle insolo lettura, tranne che non conosci password e 
login di ftp
 
ma con wordpress, non credo riesci a farlo
 
Comunque , pare anche sia un bag di una verisone di php, devo dire che una 
volta aggiornato le ultime verioni di php, non mi è mai ricapitato.
 
Se qualcuno conosce una best pratic , posti pure.
 
enrico 
 
 
 
 
 
 
 

 O sbaglio?
 
No. Oggi praticamente tutti i framework si installano tramite composer, 
quindi finiscono dentro la cartella vendor/ nel tuo progetto. Basta fare 
l'upload di quella e hai il framework.
 
Certo che, per motivi di sicurezza, è sempre meglio avere la possibilità 
di far puntare il virtual-host in una cartella (di solito public/) del 
progetto, e non alla root del progetto stesso, e questo non tutti gli 
hosting lo permettono.
 
Bye.

 hosting lo permettono.
 
problema di sicurezza da non poco.
 
 
quindi io la vedo così:
 
se progetto a basso costo: no framework ma al limite cms
 
se progetto a costi da medio a infinito, dipende da:
# il volume del codice che devi scrivere
# livello sicurezza e aggiornamenti
 
se devo usare un framework è perchè ho da scrivere un grosso volume di 
codice, con parti che evito di scrivere e prendo da montare.
perchè per far prima mi voglio ""occupare solo dell'output"" 
 
vorrei però che per motivi di sicurezza il framework fosse continuamente 
aggiornato con varie patch meglio se allineate a aggiornamenti di sistema. 
li vorrei un sistemista che mi cura e mi armonizza tutta la sicurezza.
 
mio modesto parere
 
enrico
 

 mio modesto parere
 
Altrettanto.
 
 

 li vorrei un sistemista che mi cura e mi armonizza tutta la sicurezza.
 
Per esperienza personale, un sistemista nel 90% dei casi non sa niente 
della sicurezza delle applicazioni user-facing, soprattutto dei CMS.
 
Lui si occupa della sicurezza del S.O. e dei server (Apache, Nginx, al 
massimo PHP, ecc.), ma se gli chiedi di tenerti aggiornato Wordpress (o, 
peggio, Drupal :P) ti ride in faccia.
 
O almeno io lo farei (o ti chiederei TANTI soldi) se fossi ancora 
SysAdmin.
 
La figura del DevOps è nata anche per quel motivo: fondere sistemisti 
(Op) e sviluppatori (Dev) in modo che l'applicazione sia adattata ai 
server e viceversa.
 
Ma questo raramente funziona coi CMS, perché è difficile adattarli 
all'infrstruttura su cui girano, essendo molto orizzontali di loro.
 
 
Alla fine è una questione di cosa stai facendo, di quanto vuoi spenderci, 
di quanto tempo hai, di quali competenze hai e di quali risorse hai.
 
È impossibile generalizzare.
 
Bye.

 È impossibile generalizzare.
 
 
mi sa che ero rimasto un po' indietro a phpzend , mi ha dato de buoni motivi 
per ridare un occhiata ai framework.
 
grazie
enrico