Kuinka turvallinen on WordPress-sivustosi?
Yksi tärkeimmistä tekniikan ongelmista on usein kokemamme turvallisuuskatkokset; paljon tietoa varastetaan päivittäin ja käytetään varastamaan enemmän tietoa, lähettämään roskapostiviestejä, avata takaisin järjestelmille ja joskus jopa vahingoittaa tietokoneitamme.
Mikään näistä WordPress-sovelluksen tuntemattomista asioista, huikea määrä sivustoja on joutunut epämiellyttävien rikollisten uhreiksi, jotka hyödyntävät yhteisöä omaan henkilökohtaiseen hyötyynsä.
Jotta voisit voittaa tämän uhkan, olemme koonneet yhteen joitain hyviä työkaluja ja vinkkejä siitä, miten vältytään seuraavan uhrin käytöltä. Tai jos olet epäonninen, että olet jo uhri, miten taistele ja korjaa asennus.
Käytä hyökkäyksiä
Olet ehkä kuullut siitä, saatat tuntea yksityiskohtia, mutta niille, joilla ei ole tätä ongelmaa: hyödyntäminen on paha haittaohjelma, joka jakaa olemassa olevan koodin heikkouteen.
TimThumb oli altis tällaiselle hyökkäykselle; yksi sen toiminnoista, jonka avulla käyttäjät voivat ladata kuvia eri sivustoilta ja käyttää niitä vapaasti, tallennetut kuvat välimuistihakemistoon, jotta Timthumb ei tarvitse käsitellä niitä uudestaan. Tätä toimintoa voitaisiin hyödyntää hakkereilla, jotka lähettävät tiedostoja palvelimelle, jolloin he voivat käyttää niin paljon resursseja WordPress-asennuksesta kuin haluavat.
Täsmälleen sama ongelma Uploadify , plugin, jonka avulla käyttäjät voivat ladata tiedostoja. Kun sitä ei ole hallittu asianmukaisesti, plugin mahdollistaa hakkereiden pääsyn ilmaiseksi sivustoon lataamalla PHP-komentosarjoja käyttöoikeuksien myöntämiseen.
Huolto-kuva kautta Shutterstock.
Ongelma näissä tapauksissa, kuten suurimmassa osassa hyökkäyskohtauksia, ei ollut WordPress vaan plugins itse. Ratkaisu on yksinkertainen, pidä pluginsit ajan tasalla ja ilmoita ongelmat, joita kohtaat kehittäjille, jotta he voivat korjata mahdolliset ongelmat.
SQL-injektioita
WordPress-asennus itse ei ole immuuneja ongelmiin. Versiosta riippuen SQL-injektio voi olla suuri päänsärky. SQL-injektio on prosessi, jonka avulla hyökkääjä pyrkii siirtämään SQL-koodin verkkosivuston lomakkeen tai käsikirjoituksen kautta toivomalla, että SQL-koodi jäsentää "oikein" ja hakea tietokannasta peräisin olevat tiedot. Nämä tiedot voivat olla sähköpostiosoitteita, mutta todennäköisemmin ne olisivat käyttäjätunnuksia ja salasanoja, jotka antaisivat käyttäjälle lisää pääsyä muihin hyökkäyksiin.
Syynä siihen, että SQL-hyökkäykset voivat olla niin ärsyttäviä, on se, että niiden torjumiseksi sinun on usein tallennettava tietokantaasi. Edullisesti vähintään kerran päivässä.
Huolto-kuva kautta Shutterstock.
Tämän välttämiseksi voit yrittää suojata tiedostojasi Apachella tällaisella koodilla .htaccess-tiedostossasi:
RewriteEngine OnRewriteBase /RewriteCond %{REQUEST_METHOD} ^(HEAD|TRACE|DELETE|TRACK) [NC]RewriteRule ^(.*)$ - [F,L]RewriteCond %{QUERY_STRING} ../ [NC,OR]RewriteCond %{QUERY_STRING} boot.ini [NC,OR]RewriteCond %{QUERY_STRING} tag= [NC,OR]RewriteCond %{QUERY_STRING} ftp: [NC,OR]RewriteCond %{QUERY_STRING} http: [NC,OR]RewriteCond %{QUERY_STRING} https: [NC,OR]RewriteCond %{QUERY_STRING} (<|%3C).*script.*(>|%3E) [NC,OR]RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D) [NC,OR]RewriteCond %{QUERY_STRING} base64_encode.*(.*) [NC,OR]RewriteCond %{QUERY_STRING} ^.*([|]|(|)|<|>|ê|"|;|?|*|=$).* [NC,OR]RewriteCond %{QUERY_STRING} ^.*("|'|<|>||{||).* [NC,OR]RewriteCond %{QUERY_STRING} ^.*(%24&x).* [NC,OR]RewriteCond %{QUERY_STRING} ^.*(%0|%A|%B|%C|%D|%E|%F|127.0).* [NC,OR]RewriteCond %{QUERY_STRING} ^.*(globals|encode|localhost|loopback).* [NC,OR]RewriteCond %{QUERY_STRING} ^.*(request|select|insert|union|declare).* [NC]RewriteCond %{HTTP_COOKIE} !^.*wordpress_logged_in_.*$RewriteRule ^(.*)$ - [F,L] Tämä kumoaa amatööri, mutta ammattimainen hakkeri löytää toisen turva-aukon hyödyntääkseen. Onneksi useimmat hyökkäykset tekevät aloittelijoista tai roskapostittajista, käyttäen komentosarjoja, kuten PHP r57 tai Shell. Näiden hyökkäysten vähentäminen vähentää merkittävästi ongelmien määrää.
Oletus käyttäjä
Suurin turvallisuusreikä jokaisessa järjestelmässä on loppukäyttäjä. Ei ole väliä kuinka monimutkainen salasana luodaan. Itse asiassa monimutkaisempi salasana, sitä pahempaa on turvallisuusriski; koska hyvin monimutkaiset salasanat on tallennettava jonnekin. Käyttäjät usein tallentavat salasanoja .txt- tai .doc-tiedostoihin tietokoneelleen ja jättävät järjestelmän avoimiin tietojenkalastushyökkäyksiin käyttämällä viruksia, kuten troijalaisia.
Ainoa turvallinen salasanan tallennuspaikka on omassa päässänne.
Vaikka salasanasi tallennettaisiin vain omaan muistiin, et silti ole turvassa hyökkäyksiltä. Rauhoittava hyökkäys yrittää yksinkertaisesti yrittää "arvata" salasanasi toistuvilla kirjautumisyrityksillä. Se voi alkaa "aaaaaa": lla, jatkaen "aaaaab" ja niin edelleen, kunnes se saavuttaa "000000". Tämä prosessi ei rajoitu yhteen tietokoneeseen, tavallisesti satoja koneita käy läpi potentiaalisia salasanoja, jotka etsivät pääsyä.
Yksi tapa käsitellä raakavirtsa-iskuja on asentaa sisäänkirjautumisrajoitin, joka sallii vain muutamia kirjautumisyrityksiä, ennen kuin estää kyseisen käyttäjän käyttöoikeudet tuntiin. Tämä vähentää hyökkääjän joutuvien mahdollisuuksien määrää. WordPress-laajennuksia on useita, jotka voivat auttaa sinua tämän kanssa: Limit kirjautuminenyritykset , Parempi WP-suojaus ja Kirjautuminen tietoturvaratkaisuun .
Lopuksi kiinnität huomiota käyttäjätunnuksiin. WordPressin oletusnimi on 'Admin' ja jos jätät sen itsekin, olet puolittanut työmäärää, jonka hakkeri tarvitsee päästäksesi sivustollesi. Jos et ole muuttanut käyttäjätunnustasi WordPressin asentamisen aikana, tee se nyt. Kirjaudu vain tiliisi, luo uusi tili haluamallasi käyttäjätunnuksella, anna hänelle järjestelmänvalvojan käyttöoikeudet ja poista järjestelmänvalvojan tili.
Puhdista kuva kautta Shutterstock.
Suora pääsy
Toinen ongelma, jota WordPress-sivustoillamme saattaa olla, tarjoaa suoraa pääsyä sisäänkirjautumissivulle, yksinkertaistamalla sivustosi hakkerointiprosessia.
Salasanojen turvaaminen on kaikkein kiireellisin asia, mutta haitallinen käyttäjä ei voi käyttää mitään varastettua, jos hän ei löydä kirjautumissivua. Yksinkertaisin ratkaisu tähän on käyttää plugin kuten Piilota kirjautuminen salata kirjautumissivun sijainti.
Joitakin tiedostoja WordPress-asennuksessamme voidaan myös käyttää, jos niitä ei ole suojattu asianmukaisesti. Voimme selvittää nämä löysät päät lisäämällä lisää sääntöjä .htaccess-tiedostoihimme, kuten:
Options All -IndexesOrder allow,denyDeny from all Order allow,denyDeny from all Order allow,denyDeny from all Order allow,denyDeny from all Order allow,denyDeny from all Order allow,denyDeny from all Order allow,denyDeny from all Order allow,denyDeny from all Oletusarvo
On selvää, että mitä enemmän tietoja me annamme hakkereillemme, sitä helpompi heille onnistua.
Oletus WordPress-taulukko-etuliite on "wp_". Miksi me haluamme antaa heille tämän? Muuta etuliitteestä jotain vaikeampaa arvata, esimerkiksi esimerkiksi "oijrr58_", se tekee elämästä paljon vaikeampaa ja lisää mahdollisuuksiasi, että sivustosi pysyy turvassa.
Uusissa asennuksissa tämä on ei-aivoton, koska asennuskomentosarja pyytää etuliitettä. Vanhemmille sivustoille sinulla on kaksi vaihtoehtoa, voit joko tehdä muutoksen manuaalisesti (vain yrittää tätä, jos sinulla on paljon aikaa ja olet varma, että tiedät, mitä olet tekemässä) tai käytä plugin kuten Parempi WP-suojaus joka hoitaa sen sinulle.
Liian myöhään…
Koskaan ei ole liian myöhäistä. Voit aina torjua hakkerit ja estää itsesi olemasta ikuinen uhri.
Jos et ole varma, onko sivustoasi saanut tartunnan, on olemassa työkaluja, jotka kertovat sinulle. Sucuri SiteCheck esimerkiksi tarkistaa sivustosi ja jos olet saanut tartunnan, neuvoo mitä toimenpiteitä on ryhdyttävä korjaamaan ongelmat.
Vaarallinen kuva kautta Shutterstock.
Peruskorjaukset
Seuraavassa on muutamia perustoimenpiteitä:
- Varmuuskopioi sivusto ja tietokanta, hakkeroitu tai ei, et halua menettää sisältöäsi.
- Tee kopioita kohteista, jotka eivät ole tietokannassasi, kuten kuvissa.
- Lataa WordPressin uusin versio.
- Varmista, että kaikki laajennukset ovat ajantasaisia, tarkista, mitkä versiot tunnistavat tunnetut ongelmat.
- Varmista, että kaikki mallit ovat ajan tasalla, tarkista, mitkä versiot ratkaise tunnettuja ongelmia.
- Käytä FTP-asiakasta tai cPanelia poistamalla kaikki WordPress-hakemistosta.
- Lataa uudet lataamasi tiedostot.
- Suorita tietokannan päivitys.
- Vaihda salasanasi, et halua antaa hakkereita suoraan takaisin.
- Lopuksi, tarkista jokainen viesti, korjata mahdolliset vahingot.
Taistelu r57-skripteistä
r57 on PHP-komentosarja, joka antaa hyökkääjälle monenlaisia ominaisuuksia, vaikka hyökkääjällä on nämä ominaisuudet, nämä eivät toimi vasta, kun kuori on verkkopalvelimessamme, joten voimme estää sen toimimasta seuraavien komentojen avulla:
find /var/www/ -name "*".php -type f -print0 | xargs -0 grep r57 | uniq -c | sort -u | cut -d":" -f1 | awk '{print "rm -rf " $2}' | uniqTämä komento etsii WWW-kansiossasi olevia PHP-tiedostoja, ja löydettyjen tiedostojen sisällä se etsii mainoksen r57-tiedostonimen ja sisällön. Sitten se poistaa tartunnan saaneet tiedostot.
find /var/www/ -name "*".txt -type f -print0 | xargs -0 grep r57 | uniq -c | sort -u | cut -d":" -f1 | awk '{print "rm -rf " $2}' | uniqTämä koodi on sama, paitsi TXT-tiedostoja .php-tiedostojen sijaan.
Huomaa, että nämä koodit ovat Linuxille, älä kokeile niitä Windows- tai MacOS-ohjelmissa, ja muista, että ne ovat mahdollisesti erittäin tuhoisia, koska ne poistavat tiedostoja pyytämättä lupaa.
Epäselvä koodi
Tärkeimpiä huolenaiheita aiheissa ovat peitetyt koodit, koska haitallinen koodi on yleensä vaikeampaa löytää teemojen sisällä. Kaikenlaisia vahinkoja voidaan tehdä, uudelleenohjaamasta käyttäjiä muihin sivustoihin, uppoamisen SEO.
Avain ase tällaisen ongelman torjunnassa on Teeman aitouden tarkistus . Tämä laajennus ei ainoastaan tarkista epäiltyjen viivojen koodia, vaan havaitsee staattiset linkit ja piilotetut koodikoodit, jotka on generoitu base64: ssä, jota on vaikea tarkkailla silmällä.
Kaveri kerran, häpeä sinusta ...
Juuri siksi, että sinut on jäänyt kiinni aiemmin, se ei tarkoita sitä, että sinun pitää jatkaa peliä.
Harkitse näitä toimia varmistaaksesi itsesi entistä paremmin:
- Ainoastaan PHP: n käyttö on ehdottoman välttämätöntä.
- Varmista, että web-palvelimesi ei salli asiakkaiden muuttaa .htacess-tiedostoa.
- Toteuta palomuuri, joka rajoittaa postin 25 lähtevän postin vain juuri- ja sähköpostipalvelimen tunnukselle.
- Valvoa latauksia sivustoosi sovelluksen kaltaisella ConfigServer eXploit skanneri .
Korjaa kuva kautta Shutterstock.
vihdoin
WordPressin turvallisuus on yhtä tärkeä kuin minkä tahansa sivuston tietoturva. Sinun on varmistettava, että sinulle ja käyttäjillesi on suojattu roskapostilta, haittaohjelmilta ja phishing-hyökkäyksiltä. Muista kuitenkin, että ensimmäinen puolustuslinja on itse asiassa virustentorjuntaohjelmisto työpöydän koneellesi.
Onko sinulla ongelmia WordPress-suojauksen kanssa? Miten ratkait tämän ongelman? Kerro meille kommentit.
Kirjoitettu yksinomaan WDD: lle The Shock Family: joukko web-ammattilaisia ja luojia WordPress-teemat iskevät (Premium wordpress -teemat), WP-teeman generaattori (Suuri wp teema luoja), ja DesignShock seful design sets). ( urokset).