Menyisipkan Plugins Ke Blog Wodpress Orang


shidhi

shidhi

Poster 2.0
mas.satriyo said:
cek instalasi wordpress, usahakan selalu pakai yg terbaru
cek plugin dan themes, barangkali pernah pakai nulled, atau ada yg sudah lama tidak diupdate
cek permission dan ownership direktori-file
cek rules htaccess
jika tidak dipakai, baiknya xmlrpc dimatikan saja
pastikan username dan password tidak mudah ditebak
Click to expand...
halo om semuanya,, mau minta saran lagi ini om setelah hampir 2 minggu dari blog saya di sisipin plugin redirect sekarang terjadi lagi tapi sekarang bedanya bukan di sisipin plugin tapi di rubah siteurl dan home di databasenya tapi endingnya tetep sama ke redirect ke url iklan yang sepertinya sama seperti yg dulu di plugins. sebelumya saya sudah menerapkan saran2 yg ada di atas seperti update thema/plugins/wodpressnya ke yang paling baru, xmlrpc di matikan, check file dan passwod db dan dasbord wp juga sudah saya ubah tapi masih kenak juga.. saya sudah coba googling ternyata banyak juga yg mengalami tapi saya belum ketemu yg membahas darimana pastinya mereka bisa masuk..

sejauh ini dari pemeriksaan file seprtinya tidak ada file backdoor di blog saya walaupun saya belum buka 1/1 filenya karena terlalu banyak kalau mau buka 1/1 saya cuma check tanggal file saja dan nama file..
dan rencana untuk memastikan mungkin nanti akan install ulang wodpress nya di server lain dan nanti yg di pindah hanya DB dan file media saja daripada bukain semua file di blog yg sekarang..

mungkin ada yang bisa kasih saran lagi yg lain untuk soal keamanan blog wp ini...
terimakasih
 
mas.satriyo

mas.satriyo

Hosting Guru
shidhi said:
mungkin ada yang bisa kasih saran lagi yg lain untuk soal keamanan blog wp ini...
Click to expand...
cek user wordpress-nya yg punya privilege sebagai admin
kasus begini umumnya dari plugin/themes yg gak update
kemudian dibuat backdoor untuk masuk, lanjut bikin user yg punya privilege sebagai admin

setelahnya macam2, ada yg cuma nyisip post berisi backlink, hapus semua konten, atau ganti site url
kita ada user juga yg begini, mereka bandel, disuruh update themes gak mau
padahal theme yg mereka pakai sudah discontinue dari themeforest sejak 2 tahun lalu
 
shidhi

shidhi

Poster 2.0
mas.satriyo said:
cek user wordpress-nya yg punya privilege sebagai admin
kasus begini umumnya dari plugin/themes yg gak update
kemudian dibuat backdoor untuk masuk, lanjut bikin user yg punya privilege sebagai admin

setelahnya macam2, ada yg cuma nyisip post berisi backlink, hapus semua konten, atau ganti site url
kita ada user juga yg begini, mereka bandel, disuruh update themes gak mau
padahal theme yg mereka pakai sudah discontinue dari themeforest sejak 2 tahun lalu
Click to expand...
usernya sudah saya cek cuma 1 om. dan kalau dari url wp-admin sudah saya protect passwod menggunakan realm di context ols smenjak yg di di sisipin plugin dulu..
apa model passwod diirectory gitu mudah juga om di bypas?
 
mybloodiscoffee

mybloodiscoffee

Expert 1.0
shidhi said:
selamat malam dwh,
saya ingin bertanya bagaimana cara orang bisa menyisipkan plugin ke blog wodpress milik orang lain.
tadi malam saya kaget ketika mengakses situs blog saya langsung ke redirect ke halaman iklan dan iklan itu bukan milik saya.
dan saya cek dari winSCP saya lihat ada tanggal folder yg baru di perbaharui, dan saya buka ternyata memang di folder plugin ada folder dan file baru dan ternyata plugin itu yang menyebabkan redirect, dan setelah saya hapus masalah selesai...

tapi sampai sekarang saya masih belum tau darimana orang itu bisa memasukkan file plugin itu..
saya menggunakan vps dan dalam vps itu hanya ada 1 situs tersebut dengan detail
os centos 7
menggunakan openlitepeed tanpa control panel dan lscache aktif
menggunakan WordPress 5.5.3 dengan thema Iconic One versi gratis
plugin yg di install dan aktiv hanya Classic Editor dan Yoast SEO

saya sudah cek log login ssh beberapa hari terakhir dan tidak ada log login lain yg success kecuali ip saya sendiri. untuk passwod wp sendiri saya sudah menggunakan user kombinasi huruf dan angka begitu juga dengan passwod begitu, jadi rasanya agak sulit kalau login ke dasbord wp karena nebak2 user+pass..

mungkin temen2 di dwh ada yg tau atau bisa kasih saran mungkin apa yang harus saya periksa untuk mencari tau dimana letak celahnya..
terimakasih sebelumnya..
Click to expand...

Kena inject, ada celah yg ga ditutup oleh anda, saran saya anda pakai plugin security wp yg mumpuni, bisa coba Shield (logo tameng ijo), saya gabungkan dng all in one security (tapi seting dulu sampe selesai Shield-nya krn klo ga ntar Save setingan ga masuk krn konflik dng all in one security firewall - tapi ga ganggu wp cuma keganggu save data firewall yg kena tumpuk aja).

itu setingan standar, bisa sampai close xmlrpc, api key dbatasi, ganti wp-login, pakaikan plugin disable author archive. Pakai cloudflare jg membantu. Shield plugin akan memberitahu via email setiap ada tindakan upaya "nakal" ke wp kita, ada info ip address si penyerang dan informasi tindakan apa dan mengarah ke apa ke wp kita.

itu baru security level 1, saya pakai hingga level 4 banyak plugin combo dkombinasi sampai khusus website wp yg buat saya sangat penting ga akan terlihat sama sekali isinya struktur wp walau via view-source code jg, ga perlu pakai 2FA krn login khusus hanya bisa via email link per ip address khusus.

so lebih ketatlah di keamanannya, kalau sudah sampe level dmana wp ga kedetect wp detector sampe strukturnya via view-source udah ga sama sekali struktur wp sampe plugin"nya itu udah mahal saya jualnya k klien saya (bukan promo - ini sekedar menggarisbawahi k klien saya keamanan emang mahal - klien saya paling sering diserang kompetitor mrk dr ip cina - urusan dagang).
 
trias

trias

Hosting Guru
kyuichi said:
Kena inject, ada celah yg ga ditutup oleh anda, saran saya anda pakai plugin security wp yg mumpuni, bisa coba Shield (logo tameng ijo), saya gabungkan dng all in one security (tapi seting dulu sampe selesai Shield-nya krn klo ga ntar Save setingan ga masuk krn konflik dng all in one security firewall - tapi ga ganggu wp cuma keganggu save data firewall yg kena tumpuk aja).

itu setingan standar, bisa sampai close xmlrpc, api key dbatasi, ganti wp-login, pakaikan plugin disable author archive. Pakai cloudflare jg membantu. Shield plugin akan memberitahu via email setiap ada tindakan upaya "nakal" ke wp kita, ada info ip address si penyerang dan informasi tindakan apa dan mengarah ke apa ke wp kita.

itu baru security level 1, saya pakai hingga level 4 banyak plugin combo dkombinasi sampai khusus website wp yg buat saya sangat penting ga akan terlihat sama sekali isinya struktur wp walau via view-source code jg, ga perlu pakai 2FA krn login khusus hanya bisa via email link per ip address khusus.

so lebih ketatlah di keamanannya, kalau sudah sampe level dmana wp ga kedetect wp detector sampe strukturnya via view-source udah ga sama sekali struktur wp sampe plugin"nya itu udah mahal saya jualnya k klien saya (bukan promo - ini sekedar menggarisbawahi k klien saya keamanan emang mahal - klien saya paling sering diserang kompetitor mrk dr ip cina - urusan dagang).
Click to expand...

Berat gak om pakai plugin itu?
 
shidhi

shidhi

Poster 2.0
kyuichi said:
Kena inject, ada celah yg ga ditutup oleh anda, saran saya anda pakai plugin security wp yg mumpuni, bisa coba Shield (logo tameng ijo), saya gabungkan dng all in one security (tapi seting dulu sampe selesai Shield-nya krn klo ga ntar Save setingan ga masuk krn konflik dng all in one security firewall - tapi ga ganggu wp cuma keganggu save data firewall yg kena tumpuk aja).

itu setingan standar, bisa sampai close xmlrpc, api key dbatasi, ganti wp-login, pakaikan plugin disable author archive. Pakai cloudflare jg membantu. Shield plugin akan memberitahu via email setiap ada tindakan upaya "nakal" ke wp kita, ada info ip address si penyerang dan informasi tindakan apa dan mengarah ke apa ke wp kita.

itu baru security level 1, saya pakai hingga level 4 banyak plugin combo dkombinasi sampai khusus website wp yg buat saya sangat penting ga akan terlihat sama sekali isinya struktur wp walau via view-source code jg, ga perlu pakai 2FA krn login khusus hanya bisa via email link per ip address khusus.

so lebih ketatlah di keamanannya, kalau sudah sampe level dmana wp ga kedetect wp detector sampe strukturnya via view-source udah ga sama sekali struktur wp sampe plugin"nya itu udah mahal saya jualnya k klien saya (bukan promo - ini sekedar menggarisbawahi k klien saya keamanan emang mahal - klien saya paling sering diserang kompetitor mrk dr ip cina - urusan dagang).
Click to expand...
ok om terimaksaih untuk masukannya,, tapi sepertinya untuk saat ini plugins scurity belum jadi pilihan saya, karna saya sangat meminimalkan penggunaan plugins..
 
You must log in or register to reply here.

Top