Newsgroup: it.lavoro.professioni.webmaster
Titolo: Installazioni WP ancora sotto attacco

Salve a tutti, alcuni mesi fa le installazioni di WP sotto un certo MNT 
(tutte, e solo quelle) furono attaccate da hacker che modificarono un 
gran numero di files allo scopo di inviare spam dal server.
 
Da allora, riassumendo, ho rimosso i files aggiunti, sostituito tutti i 
files di WP, aggiornato costantemente WP e plugin, installato Wordfence 
e iThemes Security.
 
Nonostante tutto ciò, in questi giorni ho trovato queste stesse 
installazioni ancora attaccate: addirittura, sono riusciti ad aggiungere 
due utenti "admin" e "backup" (o solo "backup" dove avevo impostato il 
firewall per bloccare chi cercasse di effettuare il login come admin).
 
Non so più bene cosa fare. Il MNT nega qualsiasi falla nei suoi sistemi, 
io sono costretto a controllare periodicamente questi siti ed intervenire.
 
Avete dei suggerimenti al riguardo per "chiudere" il sito alle intrusioni?
 
Grazie e buon weekend
 
Paolo

 intrusioni?
 
Come dico sempre, la sicurezza non è uno "stato" ma un "processo".
Non puoi mettere in sicurezza qualcosa per sempre.
 
L'unico modo è seguire costantemente i bollettini di sicurezza di tutti i 
tool che usi, a partire dalla distribuzione Linux (o dai bollettini MS) 
passando per il server web, il linguaggio, il DB e tutti i software 
connessi, plugin inclusi, quotidianamente, e applicare le patch prima 
possibile.
 
Questo non ti mette completamente al sicuro, perché c'è sempre un periodo, 
per quanto breve, tra l'uso della falla, la scoperta della falla e la 
correzione della falla, ma aiuta.
 
Bye.


 
D'accordo ma in questo momento c'è qualcosa di specifico che non 
funziona come dovrebbe.
 
La perplessità comincia dal fatto che 5 installazioni sullo stesso MNT 
vengono tutte attaccate allo stesso modo e ad un paio di decine di 
altre, su Aruba, Register.it, Tophost (scelta del cliente ...) e un MNT 
svizzero, non accade proprio niente.
 
Ovviamente procederò a spostare domini e siti però mi domando se ad 
entrare in gioco sono anche errori o limiti tecnici del fornitore, 
rispetto ai quali non posso fare niente.
 
Paolo
 
 

 posso fare niente.
 
Se l'hoster ha una falla e sei su server condiviso, penso tu possa proteggerti 
fino ad un certo punto. Non è detto sia un problema di WP, immagino invece che 
abbiano accesso al DB e quindi da lì creino direttamente gli utenti. Quindi una 
vulnerabilità di MySQL o del pannello di controllo, oppure della versione di 
phpMyAdmin o simile tool.
 
Pertanto prima di tutto, visto che usi WordFence, sentirei loro se hanno 
qualche idea, in seguito al controllo del log esteso (lo devi aver abilitato 
nelle opzioni) e poi chiedi al tuo hoster le versioni in uso dei vari componenti.
 
buon fine settimana!
 
Gabriele
 

 pannello di controllo, oppure della versione di phpMyAdmin o simile tool.
 
Qualche anno fa (credo 2006 o 2007) l'hosting che usavo in quel periodo,
non aveva aggiornato il Plesk e avevano bucato tutti i siti, inserendo
qualcosa nei file index.php, cancellando tutti i file con nome "logo*" e
cose simili.
 
I problemi li ho avuto anche in un sito che era solo in html, per cui
non era bucabile per qualche vulnerabilità del codice (come Joomla!, WP
o altri cms)
 
L'hosting ha sempre negato le responsabilità, non ha ripristinato i
backup... ma sopratutto dopo (credo) meno di un mese ha convertito tutto
da Plesk ad un altra piattaforma.
 
Nel giro di un anno ovviamente ho cambiato hosting portando tutti i
domini da un altra parte.
 
 
 
-- 
Daniele Pinna  (leva oops. per rispondere)
Utente Skype: dapinna
Sito Web: 
http://www.dapinna.com
 
Il Docfa in Pillole:  
http://www.ildocfainpillole.it
 
DAPINNA.COM
 su Facebook: 
https://www.facebook.com/dapinnadotcom
 
Blog - Storie di un Laboratorio di Informatica:
http://storielaboratorioinformatica.wordpress.com
 
-----
*** Powered by Linux KUbuntu 14.04 LTS "Trusty Tahr" ***

Più l'ambiente è isolato e meglio è. 
Io utilizzo o VPS o sistemi di cloud hosting, quando non ho necessità di muovermi su server dedicati o analoghi... e scelgo sempre società di cui mi fido.
Credo che spendere un centinaio di euro in meno all'anno non abbia senso se poi uno si deve rodere il fegato e perdere le nottate... per i piccoli lavori Aruba va più che bene.
 
Anche secondo me ti conviene non perdere più tempo e spostare il tutto.
 
Se sei sicuro di non avere punti deboli, tipo plugins vulnerabili, lascia perdere e spostati non appena puoi. Se sei su hosting condiviso non hai alcuna possibilità di venirci a capo, se poi il buco è loro difficilmente te lo verranno a dire, dopo diversi casi. Magari puoi chiedere di girarti i logs di accesso, così se è un problema del tuo sito dovresti capirlo.
 
Metti che sia configurato da cane apache, magari da un altro sito, bucato, riescono ad accedere a tutti i domini configurati sulla macchina.
 
Anch'io come voi, dopo aver avuto esperienze pessime su macchine amministrate male, ho chiuso con smanettoni vari che non hanno competenze da sistemisti (non lo sono nemmeno io, quindi conosco i miei limiti e i limiti di un non-sistemista) e che credono di poter configurare e amministrare una macchina alla come va-va.


Grazie a tutti per le risposte.
 
L'hosting è su Newmedialabs, alias Sistemi Multimediali Avanzati: l'ex 
Rubalo.it per intenderci.
 
Ho ancora una manciata di siti appoggiati lì ma a questo punto devo 
portarli via al più presto.
 
Buona giornata,
 
Paolo