Seit knapp zwei Stunden hab ich im Shop haufenweise Zugriffe aus China, Thailand, Russland und Rumänien. Es wurden auch schon drei Konten angelegt, zudem wurde versucht, das Admin Passwort zurückzusetzen. Ist mir nur durch die Mail aufgefallen, da man ja sonst nicht dauernd auf who is online schaut. Zugriffe erfolgen unter anderem auf: /login_admin.php?check_2fa /index.php?XTCsid=ff9c75487d34d7e0fe4cf4b73d042f8e /gm_price_offer.php?products_id=10754%20AND%201%3D2 /password_double_opt.php?action=first_opt_in /login.php?return_url=https%3A%2F%2Fwww.angels-garden-dekoshop.de%2Faccount.php /password_double_opt.php?action=process&key=test
Brauchst du die Länder? Sonst kann ich nur wärmstes das für die .htaccess empfehlen: Code: <IfModule mod_maxminddb.c> MaxMindDBEnable On RewriteEngine on MaxMindDBFile DB /var/lib/GeoIP/GeoLite2-Country.mmdb MaxMindDBEnv MM_COUNTRY_CODE DB/country/iso_code RewriteCond %{ENV:MM_COUNTRY_CODE} !^(BE|BG|DK|DE|EE|FI|FR|GR|IE|IT|HR|LV|LT|LU|MT|NL|AT|PL|PT|RO|SE|SK|SI|ES|CZ|HU|CY|US|CA|GB|IS|NO|LI)$ RewriteRule ^(.*)$ https://deine.redirect.seite/ [L] </IfModule>
Danke Hab mich während des Angriffs auch schon schlau gemacht und hab die meisten Kontinete und Länder via htaccess ausgeschlossen. War auch hilfreich, aber war auch interessant zu sehen, was dann passiert ist. Hab Asien ausgeschlossen, dann kamen die IPs aus Afrika, Afrika ausgeschlossen, zack was Südamerika dran. Ging ein paar Stunden lang, dann war Schluss. Angriff war erfolglos, aber trotzdem eine nervenaufreibende Angelegenheit.
Wie sieht es da bei "US" aus? Kann dann Google und Konsorten noch Crawlen? Ansonsten interessanter Ansatz, China, Indien usw. wären ja schon mal recht unwichtig.
Das mit der GEO-IP-Sperre kann man machen ist aber fast wirkungslos geworden. Besser ist eine regelbasierte Firewall vorzuschalten. Ich nutze dafür Cloudflare free und habe das damit ganz gut in Griff. Sollte aber nicht blind drauflos eingerichtet werden, weil einige Dinge da durch müssen, sonst funktionieren Schnittstellen nicht. Geht dann doch einmal was durchs Netz greift die Hoster-Sicherheit auch nochmal zu. Die freuen sich auch darüber, weil Last von ihren Servern genommen wird. Zum Schluss können sich dann auch noch die Gambio-Schutzmechanismen beweisen.
Es gibt anscheinend eine neue Sicherheitslücke im admin. Uns hats wohl erwischt Till bitte um schnelle antwort auf die Email. Hab noch weitere infos. Wir haben den Server erstmal runtergefahren.
Ich schreib das hier nicht als öffentlich rein. Achtet auf dubiose Konten und Bestellungen der letzten 1,5 Tage. Ist denn von den Gambio Leuten am WE jemand greifbar?
Ich kann den aktuellen Fall nicht nachvollziehen, habe aber schon länger folgendes in der htaccess login_admin.php wird imho nur für updates gebraucht und in der restlichen Zeit blockiere ich einfach den Zugriff Code: <Files "login_admin.php"> Require all denied </Files> Und Schutz der login.php # Greift, wenn "login.php" aufgerufen wird (egal ob /de/login.php oder /login.php) # UND gleichzeitig versucht wird, eine volle URL (mit http/https) in den return_url-Parameter zu schmuggeln Code: RewriteCond %{REQUEST_URI} login\.php [NC] RewriteCond %{QUERY_STRING} return_url=https?%3A%2F%2F [NC] RewriteRule ^ - [F,L] Und wenn man unbedingt Länder blocken will macht man das am besten schon vor dem Webserver in der Firewall oder ich mach das mit iptables direkt auf dem System.
Du schreibst aber schon "öffentlich". Was sind "dubiose Konten oder Bestellungen" ? Gerne auch per PM Grüße, Dirk
Ich habe das nur erwähnt weil dort eine potentielle Sicherheitslücke gefixt wurde. https://www.gambio.de/forum/threads/hub-connector-1-32-6-update.53096/
