Каким образом регистрируются пользователи и получают роль администратора?

Question

[Ajax]

Всем привет.
Помогите отбить сайт!
Регистрация на сайте закрыта, но злоумышленники каким то образом регистрируются и получают роль администратора, после загружают какие то файлы либо медиа либо плагины.

Плагины безопасности установлены, стоят защиты в htaccess. ЕСТЬ нулленные плагины, знаю что скорее всего идут именно оттуда, помогите понять какой именно плагин.

Список плагинов:

spoiler

Classic Editor

Element Pack

Elementor - nulled

Elementor Pro - nulled

Envato Market - off

Essential Addons for Elementor

Essential Addons for Elementor - Pro - nulled

Go Pricing - WordPress Responsive Pricing Tables - off

Hide My WP Ghost Lite

iThemes Security

Phlox Core Elements - nulled

Phlox Pro Tools - nulled

PowerPack Pro for Elementor - nulled

PublishPress Capabilities

reCaptcha by BestWebSoft

Slider Revolution

The Plus Addons for Elementor Page Builder - nulled

The Plus Addons for Elementor Page Builder Lite

Webcraftic Cyrlitera – transliteration of links and file names

Webcraftic Robin image optimizer

WP Maintenance Mode - off

WP Rocket

Yoast SEO

Comments

[Aricus]

Вероятно, список плагинов помог бы ответить на вопрос.

[Ajax]

Aricus, дополнил, спасибо

[Aricus]

Если дело в плагине, я бы поставил на PublishPress Capabilities

PublishPress Capabilities gives you control over all the permissions on your WordPress site. We built this user role editor plugin so you have an EASY and POWERFUL way to manage users.

[Вова Дружаев]

Elementor - nulled

так тебе и надо, вор.
#nowarez

[Ajax]

Aricus, он был установлен уже после всех этих авторизаций. Я его поставил с целью удалить все лишние роли

[Ajax]

Владимир Дружаев, сайт не мой, но спасибо, отшельник

Answer 1

[Dimonchik]

начинаешь отсюда, особенно POST
https://serverfault.com/questions/246764/nginx-dum...

Comments

[Ajax]

Вот что удалось обнаружить. Все злоумышленники сначала делают запрос
GET /wp-admin/admin-ajax.php

[Dimonchik]

ну так а параметры где? задача ж переменные выцепить , по ним уже рыть отладку

[Ajax]

Dimonchik,

spoiler

194.87.117.163 - - [21/Apr/2021:01:00:07 +0300] "POST /wp-admin/admin-ajax.php HTTP/1.1" 200 55 "https://site.ru/wp-admin/admin-ajax.php" "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:84.0) Gecko/20100101 Firefox/84.0" 1047504 223333:213333
5.255.231.3 - - [21/Apr/2021:01:13:21 +0300] "GET /contact HTTP/1.1" 301 - "-" "Mozilla/5.0 (compatible; YandexBot/3.0; +http://yandex.com/bots)" 99550 46666:46666
5.255.231.27 - - [21/Apr/2021:01:13:26 +0300] "GET /contact HTTP/1.1" 404 15297 "-" "Mozilla/5.0 (compatible; YandexBot/3.0; +http://yandex.com/bots)" 1744119 516666:186666
87.236.16.9 - - [21/Apr/2021:01:13:26 +0300] "POST /wp-cron.php?doing_wp_cron=1618956806.5712978839874267578125 HTTP/1.1" 200 - "https://site.ru/wp-cron.php?doing_wp_cron=1618956806.5712978839874267578125" "WordPress/5.7.1; https://site.ru" 4621181 246666:139999
5.255.231.161 - - [21/Apr/2021:01:14:21 +0300] "GET / HTTP/1.1" 301 - "-" "Mozilla/5.0 (compatible; YandexMetrika/2.0; +http://yandex.com/bots yabs01)" 98321 43333:49999
141.8.142.65 - - [21/Apr/2021:01:14:21 +0300] "GET / HTTP/1.1" 200 27171 "-" "Mozilla/5.0 (compatible; YandexMetrika/2.0; +http://yandex.com/bots yabs01)" 1390718 1133333:189999
213.180.203.96 - - [21/Apr/2021:01:19:31 +0300] "GET /wp-includes/wlwmanifest.xml HTTP/1.1" 200 460 "-" "Mozilla/5.0 (compatible; YandexBot/3.0; +http://yandex.com/bots)" 17654 13333:3333
87.236.16.9 - - [21/Apr/2021:01:19:35 +0300] "POST /wp-cron.php?doing_wp_cron=1618957175.6711289882659912109375 HTTP/1.1" 200 - "https://site.ru/wp-cron.php?doing_wp_cron=1618957175.6711289882659912109375" "WordPress/5.7.1; https://site.ru" 298836 166666:96666
5.255.253.163 - - [21/Apr/2021:01:19:35 +0300] "GET /zavershennye-proekty HTTP/1.1" 404 15297 "-" "Mozilla/5.0 (compatible; YandexBot/3.0; +http://yandex.com/bots)" 1109628 549999:139999
194.87.117.163 - - [21/Apr/2021:01:22:33 +0300] "GET /wp-admin/plugin-install.php HTTP/1.1" 200 61559 "https://site.ru/wp-admin/plugin-install.php" "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:84.0) Gecko/20100101 Firefox/84.0" 3146666 346666:126666
194.87.117.163 - - [21/Apr/2021:01:22:37 +0300] "POST /wp-admin/update.php?action=upload-plugin HTTP/1.1" 200 52489 "https://site.ru/wp-admin/plugin-install.php" "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:84.0) Gecko/20100101 Firefox/84.0" 16592580 469999:226666

[Ajax]

Ajax, где - 194.87.117.163, злоумышленник

[Dimonchik]

а, не ту ссылку тебе дал
https://stackoverflow.com/questions/4939382/loggin...
короче надо настроить чтобы параметры записывались (на время отладки, постоянно потом отключить иначе логи разбухнут)

и тогда будет типа такого
https://habr.com/ru/post/455918/