Hilfe, habe Pseudo-Admins
Montag, 23. Nov. 2009 um 10:59 Uhr von Michaela
Es tut mir wirklich Leid aber ich benötige schon wieder Eure Hilfe. In meinem Dashboard/Adminbereich wird mir unter Benutzer angezeigt, dass es 3 Administratoren gibt. Tatsächlich gibt es aber nur einen Admin und 2 Autoren. Die beiden Admin’s werden unter Benutzer kurz angezeigt und verschwinden dann sofort, sodass ich sie nicht löschen kann. Als Zahl (Administrator 3) bleiben sie bestehen. Wenn ich einen neuen Artikel erstelle/bearbeite, dann sind die beiden angeblichen Administratoren zur Auswahl vorhanden. Was ist das? Kann ich die beiden irgendwie löschen?
Zunächst einmal sieht es so aus, als hätte sich jemand deines Blogs ermächtigt (es also irgendwie gehackt). Ich würde dir also dringend dazu raten, das Blog auf einen aktuellen Stand zu bringen und vor allem nach “unliebsamen Dateien/Plugins” durchsuchen…
Die zusätzlichen Admins wirst du per direktem Datenbankzugriff los. Also per phpMyAdmin oder dergleichen die Benutzertabelle von WordPress (heißt in der Regel irgendwie ähnlich wie “wp_users”) öffnen und die Einträge rauslöschen, die nicht reingehören (vorher die IDs notieren, denn du musst noch die entsprechenden Datensätze aus der usermeta-Tabelle rauslöschen, die im Feld user_id die gleiche ID stehen haben)…
Dann sind die Benutzeraccounts (Admin-Accounts) raus… bedeutet aber nicht, dass das Ursprungsproblem behoben ist… hier wäre also wirklich ratsam, mal zu schauen, wie diese Konten überhaupt ins System kommen konnten.
Das ist eine Sicherheitslücke in einer älteren WP version 2.8.1 oder so, da wurden solche Accounts angelegt. Also schnellsten Updaten und lösch alle Benutzer die Du nicht kennst. Wie hat dir Kim ja schon sehr gut erklärt.
@Kim, ich danke Dir sehr für die ausführliche Erklärung.
@Markus, ich habe die Neueste WP-Version 2.8.6. aber es kann sein, dass diese Benutzer schön länger da drin sind.
Einstellungen -> Allgemein
Ist der Haken raus bei “Benutzer können sich registrieren”?
Und änder auf jeden Fall mal dein Passwort für deinen Account. Generell ist es auch nicht sinnvoll, den Benutzer “admin” weiterzuverwenden, der mit WordPress kommt.
Lege einfach einen neuen Benutzer “frosch” an und gib ihm auch die Administrator-Rolle. Mit diesem neuen User einloggen und den alten “admin” löschen. Dabei wirst du gefragt, ob alte Beiträge übertragen oder gelöscht werden sollen… natürlich ersteres…
Eigentlich ist WordPress ein sehr sicheres CMS. Man muss natürlich darauf achten, dass im Password Buchstabe+Zahl und noch Zeichen vorkommen ;)
@Pierre Das wichtigste mit ist aber auch die WP Version aktuell zu halten. Das beste Passwort bringt einem nichts wenn sich jeder einfach selber einen Admin anlegen kann, weil die WP Version nicht aktuell ist und diesen Bug enthält.