Как хостинги борятся со взломами CMS, типа WP, Drupal, Joomla?

Question

[Georgy Goshin]

Добрый день

На некоторых хостингах одни и те же версии WP взламываются, а на некоторых - нет. Вопрос, есть небольшой хостинговый сервер, под 500 сайтов, под управлением ispconfig.org, RHEL 8, актуальные версии apache, актуальные версии PHP (REMI repository). Постоянная проблема со взломом wordpress. Последнее время вот даже если все обновить, то через некоторое время оказывается, что в каталог wp-content/plugins напихано какого-то кода, иногда появляются фишинговые страницы, иногда меняются пароли. Ожидать от пользователей, что они будут сами следить за своими сайтами, как я понимаю, наивно, а со взломами как-то надо бороться.
Вопрос - что делают такого некоторые хостеры, что у на их серверах вломов нет или почти нет?

Comments

[Владислав Лысков]

Никак они не борятся, это не в их компетенции

[Georgy Goshin]

Владислав Лысков, На самом деле борятся. Потому как на одних хостингах сайты ломают, а на других, те же самые сайты - нет. Можно это назвать не борьбой, а как-нибудь по другому, конечно.

Answer 1

[Александр Фалалеев]

1.

Если среди ваших клиентов есть любители ставить "нулёные" или малоизвестные темы / плагины или темы/плагины которые двести лет не обновлялись - то можно только предупреждать таких а потом отказывать в обслуживании.

2.

Если нормальные клиенты на WP, которые и сами следят за безопасностью своих сайтов - то помочь Вы им можете в защите настроив WAF ( для apache/nginx). Бесплатный и надёжный это modsecurity.
Есть много вариантов настроеных правил для modsecurity конкретно под WordPress. Например:

https://github.com/Rev3rseSecurity/wordpress-modse...

Comments

[Georgy Goshin]

Да на клиентов надеяться то нельзя же и помогать им - слишком затратно по времени. Просто есть преценденты, когда сайт постоянно ломали, клиент переехал на другой хостинг и ломать прекратили.

настройки mod_security почитаю, спасибо!

Вот пример скана, вовсе не левые плагины, просто часть устаревшая

[+] qtranslate
| Location: https://www........./wp-content/plugins/qtranslate/
|
| Found By: Urls In Homepage (Passive Detection)
| Confirmed By: Urls In 404 Page (Passive Detection)
|
| [!] 2 vulnerabilities identified:
|
| [!] Title: qTranslate 2.5.34 - Setting Manipulation CSRF
| References:
| - https://wpscan.com/vulnerability/398710f4-17a5-40b...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
|
| [!] Title: qTranslate <= 2.5.39 - Cross-Site Scripting (XSS)
| References:
| - https://wpscan.com/vulnerability/1d438a9a-e5c7-4d1...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
| - https://seclists.org/bugtraq/2015/Jul/139
| - https://www.immuniweb.com/advisory/HTB23265
|
| Version: 2.5.34 (80% confidence)
| Found By: Readme - Stable Tag (Aggressive Detection)

или вот (elementor не обновить, там вёрстка кривой становится)

[+] WordPress theme in use: jupiterx
| Location: https://sport.somesite.com/wp-content/themes/jupiterx/
| Last Updated: 2022-07-01T08:32:36.000Z
| Readme: https://sport.somesite.com/wp-content/themes/jupit...
| [!] The version is out of date, the latest version is 2.0.9
| Style URL: https://sport.somesite.com/wp-content/themes/jupit...
| Style Name: JupiterX
| Style URI: https://jupiterx.artbees.net/
| Description: Jupiter X is a fast, light, and powerful WordPress theme for building all kinds of websites. Jupiter...
| Author: Artbees
| Author URI: https://artbees.net/
|
| Found By: Urls In Homepage (Passive Detection)
| Confirmed By: Urls In 404 Page (Passive Detection)
|
| [!] 2 vulnerabilities identified:
|
| [!] Title: JupiterX < 2.0.7 & JupiterX Core < 2.0.7 - Subscriber+ Arbitrary Plugin Deactivation and Settings Update
| Fixed in: 2.0.7
| References:
| - https://wpscan.com/vulnerability/d310f473-0cbb-4ee...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
| - https://www.wordfence.com/blog/2022/05/critical-pr...
|
| [!] Title: Jupiter < 6.10.2 & JupiterX < 2.0.7 - Subscriber+ Path Traversal and Local File Inclusion
| Fixed in: 2.0.7
| References:
| - https://wpscan.com/vulnerability/1d832899-68a2-499...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
| - https://www.wordfence.com/blog/2022/05/critical-pr...
|
| Version: 1.17.1 (80% confidence)
| Found By: Style (Passive Detection)
| - https://sport.somesite.com/wp-content/themes/jupit..., Match: 'Version: 1.17.1'

[+] elementor
| Location: https://sport.somesite.com/wp-content/plugins/elem...
| Last Updated: 2022-08-08T08:17:00.000Z
| [!] The version is out of date, the latest version is 3.7.0
|
| Found By: Urls In Homepage (Passive Detection)
| Confirmed By: Urls In 404 Page (Passive Detection)
|
| [!] 10 vulnerabilities identified:
|
| [!] Title: Elementor < 2.9.14 - Authenticated Stored Cross-Site Scripting
| Fixed in: 2.9.14
| References:
| - https://wpscan.com/vulnerability/7dfde62f-f167-403...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
| - hidden-one.co.in/2020/07/07/cve-2020-1020-stored-x...
|
| [!] Title: Elementor < 3.0.14 - SVG Upload Allowed by Default
| Fixed in: 3.0.14
| References:
| - https://wpscan.com/vulnerability/5c5f44e1-c00b-4a9...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
|
| [!] Title: Elementor < 3.1.2 - Authenticated Stored Cross-Site Scripting (XSS) in Column Element
| Fixed in: 3.1.4
| References:
| - https://wpscan.com/vulnerability/9647f516-b130-4cc...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
| - https://www.wordfence.com/blog/2021/03/cross-site-...
|
| [!] Title: Elementor < 3.1.2 - Authenticated Stored Cross-Site Scripting (XSS) in Heading Widget
| Fixed in: 3.1.4
| References:
| - https://wpscan.com/vulnerability/b72bd13d-c8e2-434...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
| - https://www.wordfence.com/blog/2021/03/cross-site-...
|
| [!] Title: Elementor < 3.1.2 - Authenticated Stored Cross-Site Scripting (XSS) in Divider Widget
| Fixed in: 3.1.4
| References:
| - https://wpscan.com/vulnerability/aa152ad0-5b3d-4d1...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
| - https://www.wordfence.com/blog/2021/03/cross-site-...
|
| [!] Title: Elementor < 3.1.2 - Authenticated Stored Cross-Site Scripting (XSS) in Accordion Widget
| Fixed in: 3.1.4
| References:
| - https://wpscan.com/vulnerability/772e172f-c8b4-4a6...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
| - https://www.wordfence.com/blog/2021/03/cross-site-...
|
| [!] Title: Elementor < 3.1.2 - Authenticated Stored Cross-Site Scripting (XSS) in Icon Box Widget
| Fixed in: 3.1.4
| References:
| - https://wpscan.com/vulnerability/ef23df6d-e265-44f...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
| - https://www.wordfence.com/blog/2021/03/cross-site-...
|
| [!] Title: Elementor < 3.1.2 - Authenticated Stored Cross-Site Scripting (XSS) in Image Box Widget
| Fixed in: 3.1.4
| References:
| - https://wpscan.com/vulnerability/2f66efd9-7d55-4f3...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
| - https://www.wordfence.com/blog/2021/03/cross-site-...
|
| [!] Title: Elementor < 3.4.8 - DOM Cross-Site-Scripting
| Fixed in: 3.4.8
| References:
| - https://wpscan.com/vulnerability/fbed0daa-007d-4f9...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
| - https://www.jbelamor.com/xss-elementor-lightox.html
|
| [!] Title: Elementor < 3.5.6 - DOM Reflected Cross-Site Scripting
| Fixed in: 3.5.6
| References:
| - https://wpscan.com/vulnerability/9758570b-4729-4ee...
| - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE...
| - https://rotem-bar.com/hacking-65-million-websites-...
|
| Version: 2.9.13 (100% confidence)
| Found By: Query Parameter (Passive Detection)
| - https://sport.somesite.com/wp-content/plugins/elem...
| - https://sport.somesite.com/wp-content/plugins/elem...
| Confirmed By: Readme - Stable Tag (Aggressive Detection)
| - https://sport.somesite.com/wp-content/plugins/elem...

Answer 2

[Владимир Коротенко]

Просто не борются это не их работа. Они огораживают себя ну вы поняли. У некоторых хостеров есть WAF это стоит отдельных денег, у других есть проверка вашего сайта с отправкой репорта. Третьи за деньги анализируют cve и отправляют вам рекомендации. Самый дорогой способ это поддержка вас от разработчика то есть он использует и возможности хостера и сам накатывает обновления и что то допиливает. Последний вариант наиболее удобен для клиента

Answer 3

[mletov]

Georgy Goshin, А можно статистику, доказывающую, что на одном хостинге взламывают сильно чаще, чем на другом. Причем статистику на достаточно большом количестве сайтов. А то звучит очень субъективно и предвзято.

одних хостингах сайты ломают, а на других, те же самые сайты - нет

Если есть дырка в конкретной версии CMS, то сломают и там, и там. Просто до одного сайта уже добрались, до другого нет

Некоторые хостеры прогоняют папки клиентов каким-нибудь веб антивирусом, типа ImunifyAV. Но они, как правило, не решают проблему, а блокируют те файлы и процессы, которые могут навредить другим юзерам (если хостинг шаред, а не VDS), а в панели управления выдают предупреждение "Мы нашли на вашем сайте вирус, мы заблокировали вредоносные файлы, вылечите свой сайт, иначе если ситуация будет повторяться - заблокируем весь аккаунт".

Я обычно предупреждаю клиентов, что в целях безопасности нужно обновлять версию CMS хотя бы раз в год, чтобы на нем внезапно не вылезла реклама проституток (был такой прецедент) или что-нибудь в этом роде, готов это делать за доп плату. А решение пусть они уж сами принимают.

Полагайтесь в первую очередь на себя, а не на хостера.

Comments

[Georgy Goshin]

Да я сам хостер (в том числе).

Я говорю, что есть одинаковые сайты, которые из года в год висят на некоторых хостингах и их не ломают. Мало того, мы в порядке эесперимента попросили пару клиентов перенести свои несколько сайтов, которые постоянно ломали у нас, на другой хостинг, и там они висят без проблем уже больше полугода.

А с бесплатными CMSками такая штука, что ни всегда с дырами. Если не сейчас, так через пол года обнарушатся. WP можно на автообновление поставить конечно и скриптом версии отслеживать, а вот некотоыре плагины просто перестают поддерживаться и хрен ты что с ними сделаешь, а клиенту каждые пару лет переверстывать сайт тоже плохо.

У CentOS webpanel, например, есть такая фича, как сделать большую часть файлов WP read only, не знаю, помогает ли это...

[mletov]

Мало того, мы в порядке эесперимента попросили пару клиентов перенести свои несколько сайтов, которые постоянно ломали у нас, на другой хостинг, и там они висят без проблем уже больше полугода.

Georgy Goshin, а доменное имя старое осталось или новое?

[Georgy Goshin]

mletov, старое.

[mletov]

Georgy Goshin, значит, кулхацкеры перебирают не доменные имена, а айпишники. Айпишник сменился - их скрипт потерял сайт клиента из виду, но это не значит, что сайт стал защищенным - просто его взлом отсрочился (если, конечно, версию CMS не обновят раньше). У меня один сайт через 6 лет взломали после того, как я его сделал, так что скорее всего это вопрос времени, а не хорошей работы хостера.

Хотя нельзя исключать, что хостеры тоже прикладывают руку к защите. Например, у таймвеба есть услуга "Защищенный IP", неплохо защищают от ддос атак. Наверное, там какой-нибудь фаервол или скрипт, который просто блокирует подозрительные запросы. Но это, конечно, чутка другое.

[Georgy Goshin]

mletov, вот я именно про "чутка другое" и спрашиваю )

У меня все "дизайнеры", которые хостят сайты на моих серверах в голос говорят, что у меня их сайты ломают, а на другом хостинге - нет (