Узнать user сервера

123 4
Likvik
На сайте с 29.07.2010
Offline
105
1198

Добрый вечер.

Сегодня были повально на всех сайтах, на 3 серверах один и тот же запрос. Как я догадываюсь для того чтобы узнать пользователя под которым сайты работают ну и полный путь.

Сайты на Wordpress, последний.

Запрос:

/?q=/user/password&name[%23post_render][0]=printf&name[%23markup]=ABCZ

Введя его после сайта у меня сверху ошибка:

Warning: trim() expects parameter 1 to be string, array given in /var/www/USER/data/www/SITE.ru/wp-includes/class-wp-query.php

Подскажите как сделать так чтобы ошибка не отображалась.

И второй вопрос, возможно кто вкурсе, насколько это проблема. И что дает то что узнали user?

Что нагуглил, пробовал в wp-config.php прописать это, но не помогло.

@ini_set('display_errors','Off'); @ini_set('error_reporting',0);

Пробовал

ini_set('display_errors','Off');

ini_set('error_reporting', E_ALL );

define('WP_DEBUG', false);

define('WP_DEBUG_DISPLAY', false);

Не помогло. Походу не там копаю.

Может на уровне сервера надо отключить что то здесь? Панель ISP

Не хотелось бы лезть напрямую в php.ini

Но если это там поправимо, подскажите пожалуйста что именно прописать.

Насколько понимаю по панели видно что display_errors выключен.

UPD.
РЕШЕНИЕ:
Строчка в пулах
php_value[display_errors] = stderr
Заменил на
php_value[display_errors] = Off

png phperror.png
Незнание порождает уверенность.
SV
На сайте с 03.11.2008
Online
1394
#1
Likvik:
Насколько понимаю по панели видно что display_errors выключен.

Чекбокс "вывод всех ошибок".

Только при чём тут раздел "безопасность"

Делаю хорошие сайты хорошим людям. Предпочтение коммерческим направлениям. Топики помощи с ⓌordPress (https://searchengines.guru/ru/forum/1032910 ) и основы безопасности сайтов ( https://searchengines.guru/ru/forum/774117 ). *** Помощь\консультации в топиках форума - БЕСПЛАТНО. Платные услуги ( https://wp.me/P3YHjQ-3 ) - с бюджетом от 150$ ***
Likvik
На сайте с 29.07.2010
Offline
105
#2
SeVlad:
Чекбокс "вывод всех ошибок".

Только при чём тут раздел "безопасность"

Не помогло, к сожалению.

Сначала в администрирование думал, но решил что это к безопасности больше. Ну не с добрым же умыслом это делали.
И непонятно чем это закончится еще, в плане безопасности. Может у кого так же, полезно будет обезопасить себя если найдется решение.

Gerga
На сайте с 02.08.2015
Offline
89
#3
Likvik:
И что дает то что узнали user?

Для входа нужна пара логин:пароль. Зная логин, пол работы по подбору уже сделана.

Likvik
На сайте с 29.07.2010
Offline
105
#4
Gerga:
Для входа нужна пара логин:пароль. Зная логин, пол работы по подбору уже сделана.

Не, ну это понятно. Я думаю что для чего еще логин и путь нужен. Ведь пароль "неподбираемый" и я это по логах увижу и присеку.

SV
На сайте с 03.11.2008
Online
1394
#5
Likvik:
Сначала в администрирование думал, но решил что это к безопасности больше. Ну не с добрым же умыслом это делали.

Если бы тебя интересовала попытка взлома - тогда конечно безопасность. А ты, оказывается спрашиваешь "как скрыть вывод ошибок на экран." Это вебстроительсво.

Gerga
На сайте с 02.08.2015
Offline
89
#6

Likvik, неподбираемых не существует. Через n-ное время, если блокировка не настроена, пароль может быть получен.

SV
На сайте с 03.11.2008
Online
1394
#7
Likvik:
Не помогло, к сожалению.

Тогда см ещё хтацасесс и конфиг ВП.

define( 'WP_DEBUG', false );
define( 'WP_DEBUG_DISPLAY', false );
Gerga
На сайте с 02.08.2015
Offline
89
#8
Likvik:
Не помогло, к сожалению

Перезагрузите сервер, если не знаете как, обратитесь в ТП хостинга.

Likvik
На сайте с 29.07.2010
Offline
105
#9
Gerga:
Likvik, неподбираемых не существует. Через n-ное время, если блокировка не настроена, пароль может быть получен.

Согласен. Блокировка конечно есть. Но даже без нее это будет лет так 100.

Меня больше волнует не подбор пароля, а что еще могут навредить зная пользователя под которым работают сайты.

---------- Добавлено 21.11.2018 в 22:32 ----------

Gerga:
Перезагрузите сервер, если не знаете как, обратитесь в ТП хостинга.

Ну это само собой. Конфиги же применить надо.

---------- Добавлено 21.11.2018 в 22:39 ----------

SeVlad:
Тогда см ещё хтацасесс и конфиг ВП.
define( 'WP_DEBUG', false );

define( 'WP_DEBUG_DISPLAY', false );

Спасибо. Но, не помогло.

Конфига нет. FastCGI (Nginx + PHP-FPM)

S
На сайте с 30.09.2016
Offline
459
#10
Likvik:
один и тот же запрос. Как я догадываюсь для того чтобы узнать пользователя под которым сайты работают ну и полный путь.
Сайты на Wordpress, последний.
Запрос:
/?q=/user/password&name[%23post_render][0]=printf&name[%23markup]=ABCZ

Нет, неправильно догадываетесь. Показ полного пути, конечно, тоже считается уязвимостью (уровня раскрытия пути), - знание пути помогает взломать сайт, - но это не было целью в данном конкретном случае.

Это друпалгеддон - массовый взлом сайтов на Друпале. Ваш вордпресс им нинах не сдался, просто сканируют всё подряд.

Отпилю лишнее, прикручу нужное, выправлю кривое. Вытравлю вредителей.
123 4

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий