[Millionth_Visitor]

Widziałem już trochę włamów do #wordpress ale takiego jeszcze nie:

109.234.37.214 - - [08/Nov/2018:14:37:43 +0100] "GET / HTTP/1.1" 200 15399 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.143 Safari/537.36"
109.234.37.214 - - [08/Nov/2018:14:37:44 +0100] "POST /wp-admin/admin-ajax.php HTTP/1.1" 200 617 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.143 Safari/537.36"
109.234.37.214 - - [08/Nov/2018:14:37:44 +0100] "POST /wp-admin/admin-ajax.php HTTP/1.1" 200 617 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.143 Safari/537.36"
109.234.37.214 - - [08/Nov/2018:14:37:45 +0100] "POST /wp-login.php?action=register HTTP/1.1" 302 550 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.143 Safari/537.36"
109.234.37.214 - - [08/Nov/2018:14:37:56 +0100] "GET /wp-login.php?checkemail=registered HTTP/1.1" 200 2797 "[https://trololo.pl/wp-login.php?action=register"](https://trololo.pl/wp-login.php?action=register") "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.143 Safari/537.36"
109.234.37.214 - - [08/Nov/2018:14:37:56 +0100] "POST /wp-admin/admin-ajax.php HTTP/1.1" 200 617 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.143 Safari/537.36"
109.234.37.214 - - [08/Nov/2018:14:37:57 +0100] "POST /wp-admin/admin-ajax.php HTTP/1.1" 200 617 "-" "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.143 Safari/537.36"

Bot po prostu wysłał sobie posta i zarejestrował konto z rolą admina w serwisie na adres [e-mail]. Jakim cudem?
Przejrzałem logi i nie widzę nic podejrzanego, żadnego skanowania czy hackowania plug-inów, których swoją drogą w tym wp praktycznie nie ma (woocommerce, redux i page builder). WP aktualny (4.9.8). Rejestracja wyłączona.

#security #php

[Rst00]

@Millionth_Visitor: masz bardziej dokładne logi żeby zobaczyć jak wyglądał ten POST?

[Millionth_Visitor]

@Rst00: Wysłałem do hostingu zapytanie czy gdzieś się to zapisuje, ale bardzo wątpię.

[Millionth_Visitor]

@interface: No ale była i jest wyłączona ¯\_(ツ)_/¯ Co ciekawe normalnie przyszedł mail o nowo zarejestrowanym koncie.

[Rst00]

@Millionth_Visitor: jakiś plugin może jest dziurawy? Dużo ich masz?

[windforce]

Jak uda Ci się dostać dokładne logi, wołaj pls.

[cecyl]

@Millionth_Visitor: bo to Wordpress xd

[A.....h]

@Millionth_Visitor: jak jesteś pewny, że nie masz dziurawych wtyczek, to wołaj @ ZaufanaTrzeciaStrona i @ niebezpiecznik-pl jeśli w internetach nie ma nic o nowej dziurze. Z3S odpowiada też całkiem sprawnie na FB, możesz podpytać.

[getin]

a ja już słyszałem o takim przypadku bot zmienia uprawnienia i dostaje rolę admina, podobno przez system komentarzy ale głowy nie dam

[Kamil_Wojtylak]

@Millionth_Visitor:
wolaj jak bedzie wiecej szczegolow

[Mariogrom]

U mnie też wjechał. Wtyczki aktualne. Powywalałem wszystko co zbędne. Zmieniłem hasło profilaktycznie. Zagadka jak to się zarejestrowało?

[wwwebcal]

WP GDPR Compliance <= 1.4.2 - Unauthenticated Call Any Action or Update Any Option

[Mariogrom]

WP GDPR Compliance

@wwwebcal: Dzięki. Chyba temat rozwiązany. Miałem to gówno, nawet nie używane, właśnie tylko na tej jednej stronie gdzie wjechał.

[Millionth_Visitor]

@wwwebcal: Faktycznie jest i u mnie ta wtyczka ale obecnie w wersji 1.4.3.
@windforce: @Rst00: @Aysorth:

Być może przed atakiem była 1.4.2

[Rst00]

@Millionth_Visitor: czyli jak zwykle to nie WP dziurawe tylko gówniana wtyczka xD

[gluzmen]

Mam to samo. Właśnie teraz.

[krzysztof-radzikowski]

https://wpvulndb.com/vulnerabilities/9144

[Binarnie_pl]

Miałem to samo na binarnie.pl. Mi bot zmienił htaccess dodając xmlrrc

[dobrze-zbudowany-grubas]

czyli jak zwykle to nie WP dziurawe tylko gówniana wtyczka xD

@Rst00: może nie jak zwykle, ale zdecydowanie jak najczęściej. Niby fajnie, że jest tyle wtyczek i motywów, ale złą sławę robią :/