网站被黑，cpanel密码没有加密？

Question

昨天我发现在我的网站上托管的所有网站都被黑了。我试图改变我的密码，令人难以置信的是，我可以看到我的密码在那里。这意味着我的密码可以被解密。

我要求客户支持，他们说，这是正常的，CPanel这样保存密码。是真的吗？我是说，cpanel密码能被解密吗？

他们责怪我是因为我的wordpress版本过时了。但是我的两个网站都在不同的平台上。一个是CI做的，一个是Wordpress做的，所有的都被黑了。

这个主机可靠吗？

Answer 1

这个问题只有你才能回答。

如果您的网站托管提供商和他们选择的控制面板是返回您的密码纯文本格式，这将意味着他们不重视他们的平台的安全性。

通常，一个好的主机提供商将提供深入的安全性。也就是说，从存储级别的单向散列密码到工作人员访问控制和程序的访问控制和程序，从存储级别的单向哈希密码到如何重新设置密码等多层安全措施。

如果您的主机服务提供商正在返回一个纯文本密码，并且在单向散列密码的第一步失败，您需要加重您的主机提供商是否值得，并考虑他们是否认真对待他们的平台的安全性。

Answer 2

这很可能是安装在您的某个域上的插件中的漏洞。您的主题甚至可能是使用易受攻击的timthumb.php版本。大多数信誉良好的主机都会扫描此文件的易受攻击版本，并将其更新通知您。

Hostmonster.com使您使用大写小写和特殊字符设置非常长和严格的密码。明文密码不应该存储在任何地方--这对你的主机来说是不安全的。

尽管如此，这是最像你的WordPress网站是脆弱的，现在受到影响。您应该从一个WordPress站点下载整个文件系统，重新安装带有新副本的WordPress。对所有插件做同样的操作，然后比较文件。您可能会在备份中找到一些额外的.php文件，这些文件可能是进入系统的后门。

有几个条目可以添加到wp_options表中。在您的索引文件中至少有一些base64代码。确定您的核心WordPress文件和插件已经更新到最新版本，并且您的站点上没有其他PHP文件，包括检查以句点(.)开头的隐藏目录和文件。确保数据库中没有新条目。然后更改您的所有密码MySQL，FTP，控制面板，电子邮件，WP登录等。然后扫描您的本地PC任何恶意软件。

安装WP文件监视器，它将通知您下次任何文件被更改。