Как обезопасить блоги на WordPress?

[Tvister]

Сделал я карочи пачку блогов на отлежку, сегодня на мыло от хостера вот что пришло.

На вашем аккаунте обнаружены файлы, содержащие вредоносный код.
Используя данное вредоносное программное обеспечение, злоумышленники производят атаки сторонних серверов, рассылку спама и другие вредоносные действия. Файлы, содержащие вредоносный код, были доступны по ссылкам:

ыварыарча.ru/wp-content/themes/twentyfourteen/logsa.php

Мы заблокировали доступ к этим файлам и возможность отправки писем с сервера для вашего аккаунта.
Наиболее вероятно, что присутствие файлов является результатом взлома вашего аккаунта, поэтому с вашей стороны требуется провести аудит безопасности для предупреждения повторения проблемы. О принятых мерах вам необходимо сообщить нам в рамках данного обращения для дальнейшего снятия наложенных санкций. Вам следует понимать, что удаление указанных файлов не является решением проблемы. Вам нужно найти уязвимость, с помощью которой они были внедрены, и устранить ее. Повторение ситуации будет означать блокировку всех сайтов на аккаунте.
Обратную связь по проблеме вы можете получить в рамках данного обращения.
Если в течение недели мы не получим от вас обратной связи по данной проблеме, и нами будут зафиксированы новые факты размещения вредоносного кода на вашем аккаунте мы будем вынуждены полностью заблокировать доступ к зараженным сайтам.

Откуда они вообще лезут. Раньше тоже блоги делал, доры заливать заебывали. Из-за этого их побанили поисковики и я забил на них.

Подскажите плиз где что искать в данный момент и как вообще обезопасить свои блоги чтоб туда никто ничто не заливал.

[1stuaalex]

Сообщение от Tvister

А как именно заблочил можно подробней) Я не очень шарю

гм, я ж выше описал, у тебя в корне блога файл .htaccess
в него пишешь

<files wp-config.php>
order allow,deny
deny from all
</files>

<files wp-login.php> 
SetEnvIf Remote_Addr "твой IP адрес" realremoteaddr
Order Deny,Allow 
Deny from all 
allow from env=realremoteaddr
</files>

создаешь в папке /wp-admin/ файл .htaccess с текстом

SetEnvIf Remote_Addr "твой IP адрес" realremoteaddr
Order Deny,Allow 
Deny from all 
allow from env=realremoteaddr

[Tvister]

А если динамический айпи?

[Napas]

Сообщение от 1stuaalex

гм, я ж выше описал, у тебя в корне блога файл .htaccess
в него пишешь

<files wp-config.php>
order allow,deny
deny from all
</files>

<files wp-login.php> 
SetEnvIf Remote_Addr "твой IP адрес" realremoteaddr
Order Deny,Allow 
Deny from all 
allow from env=realremoteaddr
</files>

создаешь в папке /wp-admin/ файл .htaccess с текстом

SetEnvIf Remote_Addr "твой IP адрес" realremoteaddr
Order Deny,Allow 
Deny from all 
allow from env=realremoteaddr

Вписывать перед # END WordPress ?

[1stuaalex]

Сообщение от Napas

Вписывать перед # END WordPress ?

нет, у меня после
вообще, думаю не важно, это же комментарий,
главное, не внутри какого-то другого блока типа <IfModule mod_rewrite.c>..... </IfModule>

[быдлокод]

После окончательной настройки делаю ридонли на всю директорию wp )

wp-login, wp-admin покоцать ясное дело

[Cannabis Cup]

Я делаю невозможной регу пользователей.
Ставлю по максимуму права рид онли на файлах и папках.
И сложный пасворд.
Полет нормальный ( не сглазить бы )

Возможный вариант это получение "вируса" через неправильно настроенные права корневого каталога хостинга, и злоумышленник может оттуда осуществлять деятельность, заразив один сайт - иметь доступ к остальным на этом сервере. Поэтому важно, еще, не хоститься хуй знает где.

А так в принципе, я перечислил основные способы как обезопасить сатй ( можно еще возможность комментирования отключить )

[vkusnoserver]

Сообщение от Tvister

А если динамический айпи?

Тогда можно через куку. Ставите ее себе и только по ней пускаете, остальных в гугл.

[Dr.Gonzo]

Сообщение от Tvister

А если динамический айпи?

Или еще веселее - несколько сотен вордпрессов на разных хостерах, а ты переехал на другое рабочее место, поменялся и IP. Даблфейспалм.

Поэтому лучше закрывать дирректорию wp-admin паролем через .htpasswd

[Dr.Gonzo]

Вот кстати https://wordpress.org/plugins/apache-password-protect/

[0biz]

http://habrahabr.ru/post/98083/
http://habrahabr.ru/post/62814/