2026-08-03: Hack

7. August 2026

Nacht

Mittelgute Nacht. Wieder geschwitzt, aber weniger als in der Vorherigen. Konnte mich sogar ein wenig erholen.

Traum von der Doppelbesetzung

Mir träumt, ich bin Teil einer Geschichts-Dokumentation im Fernsehen. Auftritt Herrmann Görgölösch. Er trägt eine preußische Uniform und dient dem deutschen Kaiser. Gleichzeitig ist er aber auch der ungarische Minister für den Zusammenschluss mit Preußen. Auftritt einer weiteren Ausgabe von ihm, diesmal in einer roten Uniform. Ich frage, wie man diesen Widerspruch vereinigen können. Da lächelt der doppelte Minister von einem Backenbart zum anderen und sagt, dass Ungarn und Deutsche sich so ähnlich seien, dass sie einfach zusammengehen müssten.

Die Requisite trägt ein Gemälde seiner Ehefrau hinzu. Die Frau auf dem Bild nickt zustimmend.

Morgen

Der Wecker weckt um sechs Uhr. Ich lege mich aber noch gemütlich bis ungefähr sieben Uhr hin. Die Sonne geht auf. Ich fühle mich träge. Kraftfutter mit Birnen auf dem Balkon. Dazu Kaffee noch keine Spur von den Lebensgeistern. Immerhin verspüre ich leichte Freude darüber, dass ich jetzt wieder auf dem Balkon sitzen kann.

Ich lese ein wenig in den Feeds.

Hack

Im Wordpress-Backend sehe ich plötzlich User, die dort nicht hingehören. Die Nutzernamen haben alle den Aufbau "ws_12345@wp2shell.local". Ich lösche sie und werde doch nicht unwesentlich unruhig. Dann finde ich auch ein (nicht aktives) Plugin und lösche es.

Nun beginne ich recherchieren, was passiert ist und erfahre vom wp2shell-Angriff, der über die Wordpress-Welt gerollt ist, als ich im Urlaub war. Mit Unterstützung von Claude Opus gehe ich alles durch. Ich bereinige die .htaccess von seltsamen Einträgen, ändere Passwörter, setze die Salts und Hashes zurück. Wegen der Kapselung als Cloudron-App konnte das Script wohl nicht mehr Schaden anrichten, trotzdem habe ich ein ungutes Gefühl, denn schließlich könnte ja in der Datenbank noch etwas schlummern oder ich habe im beschreibbaren Bereich etwas übersehen.

Also stoppe ich die App erst einmal. Lars empfiehlt mir Pure Blog, dass bei ihm sehr gut werkelt. Eigentlich hatte ich das System seinerzeit ja wegen meiner vielen Einträge pro Jahr verworfen (Pure Blog ist Flat File, hat also keine Datenbank), aber er meint, dass PB dann wohl doch ganz gut großen Beitragsmengen zurechtkommen würde. Ich denke mir: "Was soll's!? Wenn es irgendwann eng wird, habe ich die Einträge ja alle schön als Markdown-Dateien auf dem Server liegen. Zur Not schiebe ich die dann einfach in eine Archiv-Instanz!"

Cloudron sei Dank ist es recht einfach, das letzte saubere Backup (also vor wp2shell) in eine neue Wordpress-Instanz zu klonen. In diese neue Instanz ergänze ich dann die fehlenden Tagebucheinträge, die ich ja noch in Ulysses habe. Die kann ich einfach wieder neu veröffentlichen. Die Netzfunde schreibe ich ja meist direkt ins Backend und müsste sie aus dem DevonThink-Archiv holen. Das ist mir für heute zu pfriemelig. Vielleicht hole ich das mal später nach, vielleicht auch nicht.

Mein Therapeut würde mich an dieser Stelle unterbrechen und sagen: "Herr Flusskiesel! Sie erzählen wieder Geschichten. Wie geht es denn Ihnen bei der Sache?"

Mir geht es erstaunlich gut. Ich bin aufgeregt, aber nicht panisch. Im schlimmsten Fall ist halt das Blog ganz oder in Teilen weg. Aus dem Container ist das Script nicht raus gekommen und die anderen Anwendungen auf dem Server sind nicht betroffen. Die App ist gestoppt und es kann jetzt nichts passieren. Mein Ärger ist auch nicht so groß, denn nachdem ich mich ja intensiv mit Alternativen (Grav!) beschäftigt hatte, habe ich mich ja vor ein paar Monaten bewusst für ein managed Wordpress entschieden. Nun habe ich dazu gelernt. Um das Vorgehen zu strukturieren, nutze ich Claude Opus und bei aller von mir an den großen Sprachmodellen geäußerten Kritik ist Opus mir eine große Hilfe, den ganzen Schlamassel zu strukturieren (ein BISSCHEN aufgeregt bin ich ja schon). Es ist auch extrem hilfreich, sich seine Informationen nicht aus den Dokumentationen selber heraussuchen zu müssen oder die genaue Syntax von Linuxbefehlen nachzuschlagen. Tatsächlich weiß ich immer, was ich tue ("chown"), aber wenn man die Parameter usw. gleich mitgeliefert bekommt, geht alles schon wesentlich schneller.

Jetzt bin ich doch wieder in der Geschichte!

Die neue Wordpress-Instanz ist sauber und sicher gepachted und ich schiebe sie auf meine Blog-Domain. Nun könnte ich eigentlich Feierabend machen, aber das Gefühl der Unsicherheit bleibt. Ich kenne das von mir: Ich möchte reinen Tisch machen. Ich entscheide mich, im Flow zu bleiben, denn ich habe ja frei. Inzwischen ist es vielleicht 15 Uhr.

PureBlog ist recht schnell aufgesetzt. Ich exportiere die Beiträge aus dem Wordpress-Blog (zum Glück sind es nur 132 Stück) und installiere den Importer für Pure Blog. Alles läuft wie am Schnürchen.

Claude will mich dann noch überreden, über die .htaccess das Schema der alten Beitrags-URLs nachzubauen und auf die neu erzeugten Beiträge umzuleiten. Erst versteht Claude nicht, dass ich gar keine "Slugs" (dass ist der Teil der Adresse eines Beitrags, der individuell ist) bei mir gab sondern nur die Beitragsnummer. Dann möchte Claude unbedingt eine Kreuztabelle aus den Beitragsnummern und den Titel der Beiträgen aus dem Pure Blog erzeugen. Weil 132 Einträge in der .htaccess ein bisschen viel sind, möchte Claude die dann in eine kleine externe php-Datei auslagern, die man doch einfach ... STOP!

So doll wird mein Blog dann auch nicht verlinkt, dass ich mir das jetzt antun werde. Das Verhalten von Claude erscheint mir typisch: Wie ein junger Bursche, der gerade so richtig Fahrt aufgenommen hat und alles mögliche ausprobieren will. Natürlich könnte das ganz gut funktionieren, aber ich sehe bei der Zuordnung, bei der Auslagerung der Kreuztabelle usw. doch einige Fallstricke. Mit viel Zeit und Energie könnte man das sicher lösen.

Aber nicht heute. Ich skippe die Aufgabe.

An der Installation von Pure Comments scheitere ich irgendwie. Ich kann Änderungen in den Einstellungen nicht speichern. Wahrscheinlich habe ich die Dateirechte irgendwie verdaddelt. Aber mein Kopf ist auch Matsche. Die Kommentarfunktion probiere ich die Tage dann noch mal aus.

Hier noch mal in aller Kürze:

Pure Blog statt Wordpress. Flat File CMS statt Datenbank.
Vorerst keine Kommentare möglich. Eine E-Mail-Adresse findet ihr im Impressum. Keine Scheu!
Eingehende Links sind leider kaputt.
Automatische Posts ins Fediverse gehen wegen fehlender Plugins nicht mehr. Betrifft aber nur mich.
Die Feedadresse hat sich geändert. Die alte Adresse funktioniert weiterhin. Eine (hoffentlich hüstel) zukünftig beständige Feed-Adresse ist https://blog.kieselwiese.de/abo.

Ich schaue mal, wie schnell ich davon genervt sein werde, die Blogeinträge aus Ulysses per Copy & Paste in das Backend zu bringen. Im Moment sehe ich aber keine andere vernünftige Möglichkeit. Am Setup für das Schreiben und Zusammenstellen meiner Tagebucheinträge wird sich wohl auch nichts ändern, da sich für mich Ulysses als die bisher beste Möglichkeit erwiesen hat.

Abend

Nach den Blogbasteleien putze ich mir die Zähne und falle ins Bett.

Ungeordnet

"Dieses Schreiben ist kompletter Bullshit und daher ohne Unterschrift gültig."

Achtung! Flutschgefahr!

Wenn ich noch in Amt und Würden wäre, könnte ich folgenden Witz machen: "Niedrige Pegelstände? Dagegen wüsste ich was! HARR HARR HARR!"