CakePHP Webroot und tmp-Ordner gehackt

Ich arbeite an einem Projekt. Das Projekt besteht aus zwei Teilen:

• Portal (WordPress)
• Administrator (CakePHP 3.*)

Ich habe ein Problem an meinem Produktionsstandort. Mein Projekt wurde gehackt, jemand fügte einige Dateien in fast jedem Ordner des Portals (WordPress) und im Webroot- und /tmp-Ordner von Admin (Cakephp) hinzu.

Momentan habe ich den Root-Ordner entfernt und den Pull vom Branch-Master übernommen. Das Problem wurde behoben, aber ich weiß, dass dies keine dauerhafte Lösung ist.

Die Ordnerstruktur ist wie folgt:

<root>
    admin (cakePHP)
    wp-admin
    wp-content
    wp-includes 
    index.php
    wp-config.php
    ....
    .... and other word press files

Warum ist dieses Problem aufgetreten und welche Lösungen gibt es, um dieses Problem zu beheben?

Sichern Sie Ihre beiden Bereiche WordPress und Cakephp.

1) Cakephp-Sicherheit – https://book.cakephp.org/3.0/en/controllers/components/security.html

2) WordPress-Sicherheit – https://www.codeinwp.com/blog/secure-your-wordpress-website/

3) Ändern Sie den FTP-Benutzernamen und das Kennwort, um die Sicherheit zu erhöhen

4) Überprüfen Sie, ob auf dem Server eine Firewall installiert ist oder nicht.

Eigentlich stehen Sie vor einer Frage, die viele Dinge betrifft, lassen Sie sie in zwei Themen aufteilen.

1/WP

• Halten Sie Ihre Installation immer auf dem neuesten Stand.
• Entfernen Sie unbenutzte Plugins.
• Aktualisieren Sie die Plugins und ändern Sie sie, wenn sie nicht aus einer vertrauenswürdigen Quelle stammen.
• Aktualisieren Sie das Thema und ändern Sie es, wenn es nicht aus einer vertrauenswürdigen Quelle stammt.
• Entfernen Sie die WordPress-Versionsnummer und wenn möglich alle Dinge in Ihrem HTML, die helfen, WordPress/Theme/Plugin zu identifizieren.
• Da Ihre Installation bereits beschädigt ist, ändern Sie alle Anmeldeinformationen.

2/ dein KuchenPHP

• Überprüfen Sie, ob Sie alle SQL-Abfragen maskieren
• Überprüfen Sie, ob Sie über relevante Sicherheit verfügen, wenn Sie dem Benutzer das Hochladen von Dateien erlauben (Mimetyp, Erweiterung, Datei umbenennen, Webserver nicht erlauben, PHP oder Perl oder Python in Ihrem Upload-Ordner auszuführen)
• Da Ihre Installation bereits beschädigt ist, ändern Sie alle Anmeldeinformationen.

3/ Serverstruktur

• Sie sollten die serverseitige Ausführung von Skripten innerhalb des Upload-Ordners von WordPress und CakePHP nicht zulassen.
• Sie sollten Ihre beiden Installationen als getrennte Ordner und Unix-Benutzer behalten, um zu verhindern, dass 1 die andere beeinflusst.
• Da Ihre Installation bereits beschädigt ist, ändern Sie alle Anmeldeinformationen.