Rilevata intrusione ad alto rischio

Question

Rilevata intrusione ad alto rischio

#1 da (3 voti)

0

Ho una protezione endpoint da Symantec. Recentemente, ho ricevuto molte e-mail di Symantec Cloud Alert.

wp-admin/admin-ajax.php?action=revslider_show_image&img=../wp-config.php

Hanno attaccato un dominio casuale ospitato sul mio server. La maggior parte del mio sito Web utilizza un framework basato su .NET, solo alcuni siti Web sono in esecuzione su Wordpress. E tutti quelli di Wordpress non usano questo plugin revslider_show_image .

Non conosco la definizione di questo attacco (forse DoS?), ma vorrei qualche consiglio su come risolvere questo problema.

Attualmente, blocco solo l'indirizzo IP usando questo metodo , ma non sono sicuro che possa essere d'aiuto.

Questa è una risposta di Symantec, che in realtà non aiuta molto:

You will see that many of these URLs end with "../wp-config.php". This appears to be a Wordpress exploit of some kind.

I think you should take the following actions:

Run a full scan on each machine and submit any results to our site http://www.symantec.com/security_response/submitsamples.jsp

If you are using Wordpress, have a look at these articles:

http://blogvault.net/wordpress-security-1-securing-wp-config-php/

http://www.wpbeginner.com/wp-tutorials/how-to-find-a-backdoor-in-a-hacked-wordpress-site-and-fix-it/

http://blog.sucuri.net/2014/07/malware-infection-breaking-wordpress-sites.html

windows wordpress webserver ids

posta user2056901 16.09.2014 - 04:21

fonte

1 risposta

Leggi altre domande sui tag windows wordpress webserver ids

Come condividere documenti sensibili con parti sconosciute / non fidate? Blowfish bruteforcing

score 3 · Accepted Answer

Quello che vedi è un sondaggio automatico per i buchi di sicurezza nel tuo sito web. Attualmente, gli attacchi che cercano di recuperare i contenuti di wp-config.php sono la cosa importante; altri target popolari sono phpMyAdmin e php-cgi.

Per sonde come queste, o sei vulnerabile (e probabilmente già stato attaccato con successo) o non sei vulnerabile (e non hai nulla di cui preoccuparti). Nel tuo caso, poiché non stai eseguendo "revslider_show_image", cadi nel gruppo "non vulnerabile".

Puoi bloccare gli indirizzi IP dai quali provengono le sonde, ma non farà molto bene: i computer coinvolti sono quasi certamente parte di una botnet, e il vero aggressore ha decine di migliaia di queste macchine con cui lavorare. La cosa migliore che puoi fare è rimuovere il software non necessario e assicurarti che il resto sia aggiornato.