Сайт Взломали - WordPress

Нет

# Block wp-includes folder and files
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>

Спасибо!

В итоге говорю что буду делать

1. Загружу бекап сайта за 1 августа на Хостинг
2. Удаляю папки wp-admin, wp-includes, файлы WP в корне сайта, / кроме wp-config и .htaccess
3. Заливаю удалённые файлы свежей версии вордпресс 
Что делать с папкой /wp-content/ - не понятно (оставляю прежнюю)

Ставим защиту вручную:

1. Кинуть в папку /wp-content/uploads/ файл .htaccess

Содержимое файла:

<Files *.php>
deny from all
</Files>

2. Кинуть в папку /wp-includes/ файл .htaccess

Содержимое файла:

# Block wp-includes folder and files
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>

3. В корне сайта дописать в .htaccess

<FilesMatch "^(wp-login\.php|wp-admin)">
    Order Deny,Allow
    Deny from all
    Allow from МОЙ IP АДРЕСС
</FilesMatch>

<files wp-config.php>
order allow,deny
deny from all
</files>

Options -Indexes

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

4. В корне сайта дописать в wp-config.php

define('DISALLOW_FILE_EDIT', true);
define('DISALLOW_FILE_MODS', true);

Как думаете, нормальное решение?

php_flag engine 0
RemoveHandler .phtml .php .php2 .php3 .php4 .php5 .php7 .php8 .phps .cgi .pl .asp .aspx .shtml .shtm .fcgi .fpl .htm .html
AddType text/plain .phtml .php .php2 .php3 .php4 .php5 .php6 .php7 .php8 .phps .cgi .pl .asp .aspx .shtml .shtm .fcgi .fpl .htm .html

<FilesMatch "\.htaccess.*|\.htpasswd.*">
order allow,deny
deny from all
</FilesMatch>

Эти 2 кода надо поставить или только один который Вы написали?

php_flag engine 0
RemoveHandler .phtml .php .php2 .php3 .php4 .php5 .php7 .php8 .phps .cgi .pl .asp .aspx .shtml .shtm .fcgi .fpl .htm .html
AddType text/plain .phtml .php .php2 .php3 .php4 .php5 .php6 .php7 .php8 .phps .cgi .pl .asp .aspx .shtml .shtm .fcgi .fpl .htm .html


UP: Вроде уже понял что их Вместе надо поставить!
Спасибо за код

перед п.3 в файл htaccess  прописываем полный запрет на доступ к сайту

после обновления всех файлов, удаляем запрет

Спасибо 🙂

Тот кто пишет про дырявый Wordpress - далек от реальности. Но некоторые детали важные надо понимать.

 Очень часто захожу на сайт заказчика, а там одноразовая тема стартерная с кучей костылей в коде - небезопасно.  Аналогично всегда почти висит штук 10-30 напоминаний об обновлениях плагинов - спрашиваешь ау что не обновляем. А сказали не обновлять когда мне сайт собрали, а то всё слетит. 

И вот это самая популярная причина заражений. Бестолковые разработчики делающие не обновляемые сайты, либо сам владелец сайта не обновляющий сайт, даже когда есть возможность.

Теперь про лечение. На самом деле вылечить не так трудно, но и не так просто если очень свежие какие то вещи внедрили. И тут тот же Волфенсе бесполезен, всякие антивирусы хостинговые не всегда находят проблему. Особенно доставляет когда видишь что они стоят и сайт заражен и стоит плагин навроде ВП алл Секурити - в котором не настроено ничего. Но даже если настроено вышеуказанные проблемы с обновлениями это обойдут. Чем лечить? Есть специализированные решения, которые отлично справляются. Раз пришлось очищать порядка 120 сайтов, хуже всего что они были на одном пользователе без отдельных контейнеров, вот там была проблема, вычистить и быстро перенести) Желательно либо в отдельных пользователях, либо не более 5-10 сайтов на одном. 

И там кто-то писал про дырявый Wordpress - практически только на Wordpress и выстроена система защиты, в силу массовости его вскрывают, в 99% от отсутствия обновлений, но именно в Вордпресс есть не одно а ряд решения для поиска внедрений и защиты. Чего нет у других систем и уж тем более у одноразовых всяких разработок с кучей костылей. 

Вордпрессы дырявые, ломать научились их даже школьники уже. Держите сайты на жумле.

Еще один толковый разработчик. Как же вы уже достали со своим обновлением😭

Я пишу, что любой сайт, на любой СМС  - дырявый, обновляете ли вы его или нет. Обновление не является защитой от взлома сайта.

Пока одни яблоки собирают, другой найдёт червивое и бегает кричит, что все плоды червивые. Аналогично.