Как можно навредить на wordpress сайте, если есть root, но нет прав записи?

Question

[Valeriy Solovyov]

Привет всем.

(после безконечных взломов моих сайтов, хочу максимально обезопасить их)

Интересует, что будет если я для на весь код wordpress поставлю права с ограничением на изменение. Тоесть нельзя переписать/дополнить/удалить.
Сам wordpress внутри OpenVZ/Docker/LXC контейнера.
Сам сайт:
chmod 555 /opt/wordpress/*

Вся статика будет отдаваться специально из-под другой директории. Без прав на исполнение.
База данных в локалке, но обновление разрешено, только INSERT/UPDATE.

Допустим к такой замечательной системе подобран пароль администратора. Что можно сделать?

Спасибо.

Answer 1

[Николай Корабельников]

#chmod 777 /opt/wordpress/*

Comments

[Valeriy Solovyov]

wordpress внутри OpenVZ/Docker/LXC контейнера.
Сам сайт:
chmod 555 /opt/wordpress/*

Answer 2

[Игорь]

Возможна такая схема:
- Получаем рутовые доступы к серверу
- Находим конфигурационный файл CMS с данными БД
- Подключаемся к БД под этими данными
- Меняем администраторский пароль к CMS через базу(конвертируем какой-нибудь 12345 в md5 и апдейтим ячейку с зашифрованным паролем)
- Заходим в админку. Гадим.

Comments

[Valeriy Solovyov]

Сам wordpress внутри OpenVZ/Docker/LXC контейнера.
Сам сайт:
chmod 555 /opt/wordpress/*

[Valeriy Solovyov]

Суперпользователь - это не root, это админ вордпресс.
Вордпресс бежит внутри контейнеров из которых нужно получить доступ к хосту(гипервизору)

[Valeriy Solovyov]

Как получить рутовый доступ к серверу из контейнера, в котором бежит php. Сами файлы пхп нельзя изменить