Getwist en Gezeur

Asfaltkonijn, BxlBlog, Anysurfer bij ons. Maar ook bekende technogoeroes als Kim Cameron (identity-man bij Microsoft) en Scott Kveton (voorzitter OpenID foundation) waren slachtoffer.

Slachtoffer van Wordpress hackers met één doel: injecteren van onzichtbare links naar Pillen-en-Porno¹ sites om daarmee hoger te scoren in Google. Ik was van plan nog eens een lange post in het Engels te gaan schrijven, maar omdat dat er toch niet van komt, gooi ik er hier de verzamelde tips uit. Feel free om aan te vullen of te verbeteren. Of jump naar het niet-technisch stuk als je je net van het Wordpress-gepriegel wil af raken…

Voorkomen is beter dan genezen: snel upgraden

• Upgrade onmiddellijk als er een (security) update² is:
  • subscribe op de Wordpress development blog (feed), of beter nog, op de Twitter alerts met je telefoon…
  • of let op de notificatie bovenaan het dashboard (sinds versie 2.3) als je iemand bent die elke dag inlogt:

• Snel upgraden kan je door:
  • een hoster te kiezen met een “one-click-upgrade” knop. Dreamhost (waar de meeste van mijn sites staan) heeft dat, maar ook Media Temple en Bluehost schijnen het te hebben. Inloggen, klikken, en 5 minuten later heeft je blog automatisch de laatste versie
  • voor de techies: met een subversion client op je host
  • of: door gebruik te maken van de Automatic upgrade plugin

Let op met plugins en themes “in het wild”

• Download alleen plugins van de Wordpress directory, daar is er een minimum aan controle, en als iemand kwaadaardige code ontdekt, kan er onmiddellijk worden ingegrepen. Plugins die je daarvandaan haalt, kan je ook met één klik upgraden vanuit je plugins panel (vanaf Wordpress 2.5) - ook plugins kunnen kwetsbaarheden bevatten en moeten up to date worden gehouden.

• voor themes geldt hetzelfde verhaal: zoek het in de officiële directory, tenzij je zelf de code kan en wil nakijken.
  Overigens ben je dan ook af van alle themes die enkel en alleen voor de linkliefde voor één of andere sponsor zijn gemaakt… Met name hosters, maar ook de bovengenoemde P & P boeren betaalden Wordpress theme designers om hun link in een mooi design op te nemen en zo backlinks met hopen te verzamelen als het theme succesvol werd. Vorig jaar werd Matt Mullenweg het beu en hield een grote schoonmaak op themes.wordpress.net - als je even streng bent voor je eigen installatie, check dan gauw toch maar even de footer van jouw theme

Hoe herstellen van een Wordpress hack?

• Bij upgraden zet je gewoon een nieuwe installatie over een oude heen. Als je echter gehackt bent, zou het kunnen dat er extra files zijn geplaatst. Gooi dus de oude installatie weg installeer opnieuw from scratch, zowel de Wordpress kern als de plugins en de themes.
  Tip: zowel themes als plugins kan je makkelijk installeren met deze One-click installer plugin
• Het enige wat je hoeft over te nemen is je wp-config.php en eventueel je eigen images en anderd uploads of customizaties van je theme.
  Tip: door je eigen stijlaanpassingen in een custom.css te stoppen, kan je ook een theme makkelijke upgraden.
• Verander het administrator paswoord, en log eens uit en terug weer in. Dat is belangrijk, omdat de hacker misschien je sessie (admin) cookie in handen heeft.
• Verander voor alle veiligheid FTP en (indien mogelijk) database paswoord (het is minder waarschijnlijk dat die zijn achterhaald door de indringer, maar je weet maar nooit).

Wat als je je daar liever niet mee bezig houdt?

• Vraag het aan iemand die bovenstaande beheerst, en te verleiden is met geld, gadgets of (link)liefde.
• Wordpress.com biedt gratis hosting en voor een kleine fee kan je ook je eigen domeinnaam of je eigen stylesheet gebruiken. Nadelen: af en toe staat er reclame, en je kan geen eigen javascript (dus Adhese, Adsense of andere reclame) draaien.
• Behalve de One-Click installs hebben ze bij Dreamhost ook een fully hosted Wordpress: net als op Wordpress.com kan je alleen maar kiezen uit een voorgeselecteerde lijst van plugins en themes,maar je kan wel javascript gebruiken voor advertie- en andere widgets.

Alternatieven?

Yep, die zijn er: Movable Type (open source, perl) en hosted: Typepad, Tumblr, Blogger… maar mij krijg je niet weg van Wordpress.

Securityproblemen zijn de keerzijde van de succes-medaille. Een populaire en toegankelijke taal (php) en architectuur (de themes en plugins) zorgen voor een grote diverse community, en noodzakelijkerwijs ook voor een interessant doelwit voor de spreekwoordelijke Turkse hacker…

Verder lezen

• Securing your Wordpress setup
• SecurityFocus SQL Injection Bogus (tips van Matt Mullenweg zelve)
• Blogsecurity.net, blog bijna uitsluitend aan WP vulnerabilities gewijd
• What to do if your site is hacked van Google Webmaster Central

1. of ringtones, hypotheken… [↩]
2. Updaten is niet altijd nodig: ik ben zelf nog niet naar versie 2.5 overgeschakeld omdat dat dat geen security update is, en ik liever anderen eerst nog even de foutjes laat uitzieken [↩]