Wordpress Sicherheitsüberprüfung crasht Wordpress!

[VincentVegas]

Hallo.

Ich nutze seit Jahren Wordpress auf meinem Plesk-Server, seit längerem über das Plesk-eigene Modul. Heute sah ich zum ersten Mal, dass ich eine Sicherheitsüberprüfung vornehmen solle. Neugierig klickte ich auf den Button und erhielt lauter Fehlermeldungen, dass auf Dateien nicht zugegriffen werden kann.

Nun gut, dachte ich, netter Versuch. Nur leider funktionierte danach mein Blog nicht mehr und ich kam nicht einmal mehr auf die Pleskoberfläche.

Ich lud das letzte Backup und verglich die typisch verdächtigen Dateien. Wie sich herausstellte, hatte die "Überprüfung":

• Mitten in den Code der Config ein "?>" gesetzt, so dass natürlich die Verarbeitung abbrach und sogar Plesk crashte.
• Den Datenbankprefix in der Datenbank geändert, dies aber nicht in der Config-Datei ebenfalls geändert.
• Den Admin User umbenannt und ihm ein neues Passwort vergeben, dies aber nicht mitgeteilt.

Nachdem ich das Backup der Datenbank zurückgespielt hatte und die offensichtlichen Fehler in der config änderte, lief Wordpress (und Plesk) wieder, aber ich konnte mich mit keinem User einloggen, auch mit keinem neu eingerichteten.

Eine Stunde googlen und herumprobieren brachte nichts, bis ich schließlich noch einmal in die Config sah und am Ende die Zeilen
define('AUTH_SALT', '###');
define('SECURE_AUTH_SALT', '###');
define('LOGGED_IN_SALT', '###);
define('NONCE_SALT', '###');

ein zweites Mal bemerkte. Ich kommentierte sie aus und das Login klappte sofort wieder.

Ich weiß nicht, was die Entwickler da verbrochen haben, aber man sollte die Finger davon lassen.

Viele Grüße
Thomas

 

[GwenDragon]

Kann ich nicht bestätigen mit Plesk 12.5 und WP 4.5.x. Die Sicherheitsüberprüfung von WP in Plesk lief bei mir immer ohne Probleme.

Dass die Salts und Nonce so geändert wurden, ist schon seltsm.
Wann wurde denn die wp-config.php geändert? Schau doch mal in deine Auditlogs (ich hoffe, dass du Änderungen wichtiger Dateien überwachst).

 

[snocer]

Schließe mich GwenDragon an, kann ich auch nicht bestätigen. Bin froh das es die Sicherheitschecks für WP gibt. Seitdem keine Probleme mehr mit WP Installationen und Ihren häufigen Lecks in der Vergangenheit.

cu snocer