Debilne zapytania

[Arkadiusz]

SELECT * FROM wp_users WHERE user_login = 'xyz' UNION ALL SELECT 1,2,user_pass,4,5,6,7,8,9,10 FROM w

Czy macie pomysl o co chodzi? Dzis jakies kretynskie IP z bułagarii 77.70.106.72 zrobiło w pętli 150 takich samych zapytań. Wczoraj bylo podobnie (nie sprawdzalem IP), tyle ze inna domena, inny serwer, inna baza. Efekt? Obciazenie mysql w 100%.

Jesli to sie stanie regula, to cos czuje ze skonczy sie jak z qlwebami...

[MMP]

A zaktualizowałeś wordpressa do najnowszej wersji?

[Arkadiusz]

MMP, mozesz tak po krotce wyjasnic jakie sa zmiany? Nie wykorzystuje sie juz pliku admin-ajax.php?

[MMP]

arek_inc zmian nie znam, ale taki rodzaj zapytania przypomina sql injection, czyli wstrzyknięcie kodu sql by uzyskać dostęp do czegoś. W tym wypadku do haseł użytkowników. Jeżeli nie posiadasz najnowszej wersji to proponuję aktualizację i dalsze monitorowanie, jak to nie pomoże to zgłoszenie tego programistom wordpressa.

--

Zobacz

[Arkadiusz]

Faktycznie, tylko wiesz, z tymi aktualizacjami moze byc problem, bo jednak sporo userow ma chyba stare wersje

Mam zabezpieczone niby sql injecion przez mod_security, ale musze stosowac filtr, zeby admin-ajax.php nie sprawdzalo, bo inaczej wyskakuja bledy. Z kolei wlasnie na ten plik sa robione ataki...

[tkosau]

O ile dobrze pamiętam to kilka lat temu na wargame w podobny sposób się wyciągało hasła wystarczyło znać liczbę pól w tabeli. Tylko tam wykorzystywało się JOIN. Ale o to samo chodzi.

[tjay99]

podobne zhackowano szkolę hakerów....

[Arkadiusz]

Czy ktos z bardziej kumatych ma pomysl na regule w mod_security? Tak zeby nie blokowac uzywania skryptu normalnym uzytkownikom.

[osablood]

podobne zhackowano szkolę hakerów....

Tak. Później wykorzystali to jako chwyt marketingowy. I napisali w pdf w jaki sposób krok po kroku można było wyciągnąć potrzebne informacje ze starej wersji strony (tą z dziurami)

To co czym mówicie dokładnie to sql injection. Zaaktualizuj wordpressa, bo jak nie znasz się na kodzie to dużo nie zmienisz.

[Arkadiusz]

Już zrobiłem, w mod_security apache - globalnie dla całego serwera