自用wordpress被人上传文件，如何预防

mzh

我暂时只发现那个人只上传了一个index.html，当天日志被删（不在同一个文件夹下面也消失了，真的没见过了。消失的6月10号），这两天忙其他的事情，居然一直没发现。其他有没有危害暂时未知。
目测是毛语
服务器方面用的是oneinstack，非web端口都被我用vultr自带防火墙关掉了，ssh改到高端口，登陆日志未见异常。
请问各位大佬，wordpress权限具体应该怎么设置？我是按照当时csdn上找的几个来做的，按理说755权限不应该啊
小弟第一次遇见这种情况。提前感谢各位
______________________________
已重装

callmefeifei

mzh 发表于 2018-6-15 09:42
感谢大佬。
我从快照里找到的之前的文件。HTML是从（某.ru）拉取一个（sale.jpg）的图片，然后页面内容看 ...

感觉不是注入，感觉是你主机商搞的鬼

callmefeifei

最新注入代码：{domain}/wp-admin/admin.php?page=wpgmp_manage_location&orderby=location_address&order=asc
PROCEDURE ANALYSE(EXTRACTVALUE(4242,CONCAT(0x42,(BENCHMARK(42000000,MD5(0x42424242))))),42) 测试下

可乐呀

装个能渗透的linux系统 用wpscan这个工具扫一下所有漏洞

LiuJia

mzh 发表于 2018-6-16 12:52
谢谢
我用的是wp自带的，首页一盆花的那个主题。因为基本上我就自己写点东西，没啥要求，有字就行，所以 ...

wordpress密码，或其它密码，是随机密码，易猜吗？

googlebot2

Editor的漏洞最多，editor有上传附件功能，

avi

asmon 发表于 2018-6-15 01:59
听说牛逼的大牛，都是用记事本做html单页面做网站的，这样应该没有任何漏洞，有漏洞也是服务器的事情，我猜 ...

是的p标签然后helloworld

胖虎

升级下wordpress和php基本就好了

mzh

bob1987 发表于 2018-6-16 08:51
我是用的网络下载的主题么？那种主题大部分有php漏洞，你不修复是可以上传提权的 ...

谢谢
我用的是wp自带的，首页一盆花的那个主题。因为基本上我就自己写点东西，没啥要求，有字就行，所以没太管美观的事情
然后这样都被上传了
我现在怀疑会不会是之前权限设的太多了

mzh

宁静致远 发表于 2018-6-16 03:51
装个云锁扫一次代码

谢谢，有时间试一试

laulzgoay

callmefeifei 发表于 2018-6-15 01:55
最新注入代码：{domain}/wp-admin/admin.php?page=wpgmp_manage_location&orderby=location_address&order= ...

怎么用的，我试试我的