¿Cómo los crackers suben los scripts php al directorio wp-content de Wordpress?

No diría que la causa raíz del problema es Wordpress, sino el hecho de que:

• Hay tantos temas / complementos para Wordpress disponibles de desarrolladores externos, y la gente generalmente no los audita antes de instalarlos. Dado que la barrera de entrada para PHP es muy baja, muchos de esos desarrolladores externos no tienen / tienen un conocimiento deficiente de la seguridad de TI

Creo que uno de los escenarios más posibles es cuando una configuración de Wordpress está configurada con un complemento / tema que permite cargas anónimas. Un ejemplo es la Tema de Clockstone upload.php Vulnerabilidad de carga arbitraria de archivos .

Básicamente, tú

1. Debe asegurarse de que no se permiten las subidas no autorizadas / anónimas
2. Mueva los archivos cargados fuera del directorio raíz web
3. Verifique el contenido para asegurarse de que solo lo que espera se cargue y guarde

La página en Subir archivo sin restricciones en el sitio web de OWASP tiene algunas explicaciones muy buenas sobre el tema.

Estoy de acuerdo en que los complementos y los temas pueden ser problemáticos, pero quiero agregar tres sugerencias más relacionadas con el uso de complementos:

1. Debería asegurarse de estar ejecutando la última versión de los complementos de WordPress Y .
2. Ir a través de sus complementos y eliminar todo lo que realmente no necesita. Intente y reemplace los complementos con código siempre que sea posible.
3. Sea más selectivo con la descarga de complementos (quién lo hizo, cuándo y con qué frecuencia se actualiza).

Los desarrolladores externos, aunque tal vez inicialmente no tengan problemas de seguridad, ofrecen actualizaciones para cubrir los problemas de seguridad, pero parte de la responsabilidad también es del usuario de WP. Ignoré las actualizaciones porque me hicieron más trabajo a corto plazo, pero a la larga me causaron muchos problemas.

Este es el consejo de un consultor que contratamos para ayudarnos a proteger nuestros sitios web después de que nuestros archivos .php fueron pirateados.

Crea un archivo en blanco en un editor de texto. Llámelo .htaccess y pegue el siguiente código allí:

<Files *.php>
    deny from all
</Files>

Ahora cargue este archivo en su / wp-content / uploads / folder.

Explicación del código: este código verifica cualquier archivo PHP y le niega el acceso.