Soporte » Seguridad » [URGENTE] Hackean WordPress 3.5.1 con BUG

  • Resuelto LinkServ

    (@linkserv)


    Hola,

    Ayer publiqué un tema en el cual pedía ayuda para saber
    porqué se me cambiaba el usuario en mi blog.

    Ahora sé que es porque alguien lo cambió mediante un BUG (al menos eso creo que es).

    Tienen que solucionar el problema, WordPress jamás me había dado molestias hasta ahora.

    Gracias.

Viendo 7 respuestas - 1 de 7 (de 7 total)
  • Puedes decir qué bug es?

    La verdad no sabría decirte bien que BUG es, pero estoy seguro que es un BUG del WordPress porque de algún modo u otro lograron sacar mi usuario y clave de mi blog y me pusieron un index con los apodos de los hackers y a un conocido también le sucedio eso y curiosamente sucedio días después de haber instalado desde 0 la versión 3.5.1.

    Después instalé la versión 3.4 y esa no pudieron hackearmela.

    Saludos

    Yo encotre un XSS en 3.5.1 pero no se como reportalo 🙁

    morganpentest envíales un correo de contacto, así reportas alguna falla

    Hola, tengo ya 3 días peleando con unos «hackers» específicamente de esta pagina de facebook https://www.facebook.com/An0nymousAl?ref=ts&fref=ts, se hacen pasar por anonymous y solo defazan sitios wordpress.

    Mi problema con ellos ha sido que a pesar de que me he librado del ataque varias veces, de igual forma siguen atacando y por más seguridad que tengo, entre .htaccess, robots.txt, htpassword, usuarios con claves enormes, etc. De alguna forma pueden ejecutar un sql injection que cambia mi usuario maestro a «admin», intente crear el usuario admin y dejarlo con rol de suscriptor pero no funcionó, ya que de igual forma cambiaron el maestro a admin.

    En un ultimo intento desesperado cree 4 usuarios con user_login distintos y muy largos y TODOS cambiaron a ser admin con una clave distinta.

    La diferencia de ahora es que no importa si cambia el admin, gracias al htpassword no logra entrar al wp-admin y «hackear» la web

    Ya que el unico cambio que hacen es sustituir el 404.php del tema actual por su «pagina de hackeado» y luego en su perfil de facebook publican, que la web fue hackeada y colocan eldominio.com/Anonymous.php y obviamente como esa paginaa no existe muestra el 404 de wordpress modificado por ellos,

    Esta es toda la info que tengo por el momento, pero me gustaria obtener una solucion ya que realmente soy un poco despistado en cuanto a seguridad se refiere

    Muchas gracias por su atencion.

    Saludos

    Hola javotroya,

    Mi problema es justamente el que tú tienes, de seguro tienes la versión 3.5.1.

    Te recomiendo usar cualquier versión de la 3.4.x

    Saludos.

    He sobrevivido ya 24 hrs sin ataque (a menos que no trabajen los fines de semana), no habia pasado mas de 5 hrs anteriormente.

    Un ultimo archivo robots.txt fue la solucion. A continuacion lo posteo:

    #
    User-agent: *
    Disallow: /cgi-bin
    Disallow: /wp-admin
    Disallow: /wp-includes
    Disallow: /wp-content/plugins/
    Disallow: /wp-content/cache/
    Disallow: /wp-content/themes/
    Disallow: */trackback/
    Disallow: */feed/
    Disallow: /*/feed/rss/$
    Disallow: /category/*

Viendo 7 respuestas - 1 de 7 (de 7 total)
  • El debate ‘[URGENTE] Hackean WordPress 3.5.1 con BUG’ está cerrado a nuevas respuestas.