Lämna inte dina nya webbplatser öppna för attacker

Testsajter och webbplatser som är under konstruktion är häckarnas nya måltavlor, skriver Wordfence i en färsk rapport.

Wordfence talar i viss mån i egen sak. De tillverkar ett säkerhetsprogram för WordPress-sajter med samma namn men de rapporterar också om ett mönster där det stannas och letas efter ofärdiga wordpress-installationer som sedan tas över vilket kan ge hackarna kontroll över den server där installationen finns.

Nya installationer

Med script så letar hackarna efter filen setup-config.php som skapas när en ny installation av WordPress läggs upp.

In May and June, we saw our worst-of-the-worst IPs start using a new kind of attack targeting fresh WordPress installations. We also had our first site cleaning customer that was hit by this attack.

Attackers scan for the following URL:

/wp-admin/setup-config.php

This is the setup URL that new installations of WordPress use. If the attacker finds that URL and it contains a setup page, it indicates that someone has recently installed WordPress on their server but has not yet configured it. At this point, it is very easy for an attacker to take over not just the new WordPress website, but the entire hosting account and all other websites on that hosting account.

Helt nya

Det handlar alltså om helt nya WordPress-installationer där de grundläggande inställningarna ännu inte har gjorts. Hackarna tar över installationen, kör igenom installationen och gör inställningarna innan de sedan kan installera de plugins och tillägg som de önskar.

Därmed har de full kontroll över webbplatsen och de kan sedan jobba vidare och försöka att ta kontroll över hela servern.

Det finns flera sätt att säkra en WordPress-installation. Naturligtvis så bör du göra installationen klar, köra igenom hela installations-scriptet och sätt upp ett admin-konto med att svårgissat och krångligt lösenord.

Ett annat, säkrare sätt, är att inte jobba med nya webbplatser på nätet överhuvudtaget. Jobba med dem lokalt, i din dator, och exportera sedan ut dem på nätet när de är redo att laneras och när alla plugins och tillägg är uppdaterade och klara.