Hur säker är ditt WordPress-webbplats?
Ett av de största problemen med teknik är de vanliga förfallna säkerhetsåtgärderna vi upplever. mycket information stulen dagligen och används för att stjäla mer information, skicka spam, öppna bakdörrar till system och ibland även skada våra datorer.
Inget av dessa problem är okända för WordPress, ett otroligt stort antal webbplatser har blivit offer för obehagliga brottslingar som utnyttjar samhället för sin egen personliga vinning.
För att du ska kunna slå detta hot har vi sammanställt en sammanfattning av några bra verktyg och tips om hur du undviker att bli nästa offer. Eller om du är otur att redan vara ett offer, hur man slåss tillbaka och fixa din installation.
Utnyttja attacker
Du kanske har hört talas om det, men du kan till och med känna till detaljerna, men för dem som inte har det här är problemet: Ett utnyttjande är en del skadlig kod som distribueras för att utnyttja en svaghet i befintlig kod.
TimThumb var mottaglig för en sådan attack; en dess funktioner, som tillåter användare att ladda upp bilder från olika platser och få tillgång till dem fritt, lagrade bilder i en cache-katalog så att Timthumb inte behöver uppgradera dem igen. Denna funktion kan utnyttjas av en hacker som laddar upp filer till servern, så att de får tillgång till så många resurser från WordPress-installationen som de vill.
Exakt samma problem påverkas Uploadify , ett plugin som tillåter användare att ladda upp filer. När det inte kontrolleras korrekt får pluggarna hackare gratis åtkomst till webbplatsen genom att ladda upp PHP-skript för att bevilja åtkomstbehörigheter.
Underhållsbild via Shutterstock.
Problemet i dessa fall, som med majoriteten av exploateringsattacker, var inte WordPress utan snarare plugins själva. Lösningen är enkel, hålla dina plugin uppdaterade och rapportera eventuella fel som du stöter på utvecklarna för att hjälpa dem att klara av potentiella problem.
SQL-injektioner
WordPress-installationen är inte immun mot problem. Beroende på vilken version, kan SQL-injektion vara en stor huvudvärk. En SQL-injektion är en process genom vilken en angripare söker att skicka SQL-kod via en webbformulär eller ett script i hopp om att SQL-koden kommer att analysera "korrekt" och hämta data från databasen. Dessa data kan vara e-postadresser, men mer troligt är det användarnamn och lösenord som då skulle ge användaren mer tillgång till andra attacker.
Anledningen till att SQL-attacker kan vara så irriterande är att för att bekämpa dem behöver du ofta säkerhetskopiera din databas. Företrädesvis åtminstone en gång per dag.
Underhållsbild via Shutterstock.
För att undvika det kan du försöka säkra dina filer med Apache med en kod som denna i din .htaccess-fil:
RewriteEngine OnRewriteBase /RewriteCond %{REQUEST_METHOD} ^(HEAD|TRACE|DELETE|TRACK) [NC]RewriteRule ^(.*)$ - [F,L]RewriteCond %{QUERY_STRING} ../ [NC,OR]RewriteCond %{QUERY_STRING} boot.ini [NC,OR]RewriteCond %{QUERY_STRING} tag= [NC,OR]RewriteCond %{QUERY_STRING} ftp: [NC,OR]RewriteCond %{QUERY_STRING} http: [NC,OR]RewriteCond %{QUERY_STRING} https: [NC,OR]RewriteCond %{QUERY_STRING} (<|%3C).*script.*(>|%3E) [NC,OR]RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D) [NC,OR]RewriteCond %{QUERY_STRING} base64_encode.*(.*) [NC,OR]RewriteCond %{QUERY_STRING} ^.*([|]|(|)|<|>|ê|"|;|?|*|=$).* [NC,OR]RewriteCond %{QUERY_STRING} ^.*("|'|<|>||{||).* [NC,OR]RewriteCond %{QUERY_STRING} ^.*(%24&x).* [NC,OR]RewriteCond %{QUERY_STRING} ^.*(%0|%A|%B|%C|%D|%E|%F|127.0).* [NC,OR]RewriteCond %{QUERY_STRING} ^.*(globals|encode|localhost|loopback).* [NC,OR]RewriteCond %{QUERY_STRING} ^.*(request|select|insert|union|declare).* [NC]RewriteCond %{HTTP_COOKIE} !^.*wordpress_logged_in_.*$RewriteRule ^(.*)$ - [F,L] Detta kommer att släcka en amatör, men en professionell hackare hittar ett annat säkerhetshål att utnyttja. Lyckligtvis begås de flesta attacker av nybörjare eller spammare, med hjälp av skript som PHP r57 eller Shell. Att minska dessa attacker minskar kraftigt antalet problem du måste hantera.
Standardanvändare
Det största säkerhetshålet i varje system är slutanvändaren. Det spelar ingen roll hur komplicerat ett lösenord du skapar. I själva verket desto mer komplicerat lösenordet, desto sämre är säkerhetsrisken; eftersom mycket komplexa lösenord måste sparas någonstans. Användare sparar ofta lösenord i .txt eller .doc-filer på sin dator och det låter systemet öppet för phishing-attacker med hjälp av virusfiler som trojaner.
Den enda säkra platsen att lagra ett lösenord finns inne i ditt eget huvud.
Men även om du bara lagrar ditt lösenord i ditt eget minne är du fortfarande inte säker från brutala våldsattacker. En brute force attack kommer helt enkelt att försöka "gissa" ditt lösenord med upprepade försök att logga in. Det kan börja med 'aaaaaa', fortsätt till 'aaaaab' och så vidare tills det når '000000'. Denna process är inte begränsad till en enda dator, vanligtvis går hundratals maskiner igenom potentiella lösenord som söker åtkomst.
Ett sätt att hantera brutta våldsattacker är att installera en inloggningsbegränsare som endast tillåter några inloggningsförsök innan du blockerar åtkomst för den användaren i en timme eller så. Detta minskar antalet chanser som angriparen måste komma in. Det finns flera WordPress-plugins som kan hjälpa dig med detta: Begränsa inloggningsförsök , Bättre WP-säkerhet och Inloggningssäkerhetslösning .
Slutligen uppmärksamma användarnamnen. Standard användarnamnet för WordPress är "Admin" och om du lämnar det som sådant, halverar du det antal arbete som hackaren behöver göra för att komma åt din webbplats. Om du inte ändrade ditt användarnamn medan du installerade WordPress gör det nu. Logga bara in på ditt konto, skapa ett nytt konto med användarnamnet du vill ha, ge det administratörsbehörighet och ta bort administratorkontot.
Rengöringsbild via Shutterstock.
Direkt tillgång
Ett annat problem som våra WordPress-webbplatser kan ha är att ge direkt tillgång till inloggningssidan, förenkla processen att hacka din webbplats.
Medan säkra dina lösenord är det mest angelägna problemet kommer en skadlig användare inte att kunna utnyttja någonting som de har stulit om de inte kan hitta inloggningssidan. Den enklaste lösningen på detta är att använda ett plugin som Dölj inloggning att dölja inloggningssidaens plats.
Vissa filer i vår WordPress-installation kan också nås om de inte är ordentligt säkrade. Vi kan rensa upp dessa lösa ändar genom att lägga till några fler regler till vår .htaccess-fil, så här:
Options All -IndexesOrder allow,denyDeny from all Order allow,denyDeny from all Order allow,denyDeny from all Order allow,denyDeny from all Order allow,denyDeny from all Order allow,denyDeny from all Order allow,denyDeny from all Order allow,denyDeny from all Standard prefix
Det borde vara klart att ju mer information vi ger till vår hackare, desto lättare är det för dem att lyckas.
Standardpresentationen för WordPress-tabellen är "wp_". Varför skulle vi vilja ge dem det? Låt oss ändra det prefixet till något svårare att gissa, till exempel "oijrr58_", det kommer till exempel att göra livet mycket svårare och öka chansen att din webbplats kommer att förbli säker.
För nya installationer är det här en no-brainer eftersom installationsskriptet ber oss om ett prefix. För äldre webbplatser har du två alternativ, du kan antingen göra ändringen manuellt (försök bara detta om du har mycket tid och är säker på att du vet vad du gör) eller använd ett plugin som Bättre WP-säkerhet som kommer att ta hand om det för dig.
För sent…
Det är aldrig för sent. Du kan alltid bekämpa hackare och förhindra att du blir ett evigt offer.
Om du är osäker på om din webbplats har smittats finns det verktyg som kommer att berätta för dig. Sucuri SiteCheck till exempel kommer att skanna din webbplats och om du är infekterad, kommer du att rådgöra om vilka steg du ska vidta för att rätta till problemet (erna).
Grundläggande korrigeringar
Här är några grundläggande steg att ta:
- Säkerhetskopiera webbplatsen och databasen, hackad eller inte, du vill inte förlora ditt innehåll.
- Gör kopior av objekt som inte finns i din databas, som bilder.
- Hämta den senaste versionen av WordPress.
- Se till att alla plugins är aktuella, kolla vilka versioner som löser kända problem.
- Se till att alla mallar är aktuella, kontrollera vilka versioner som löser kända problem.
- Använd en FTP-klient eller cPanel för att radera allt i WordPress-katalogen.
- Ladda upp de nya filerna du laddat ner.
- Kör databasuppgraderingen.
- Ändra ditt lösenord, du vill inte låta hackarna raka tillbaka in.
- Slutligen kontrollera varje inlägg, korrigera eventuella skador som har gjorts.
Kämpar r57 skript
r57 är ett PHP-skript som ger en angripare ett brett spektrum av funktioner, även om angriparen har dessa funktioner fungerar dessa inte förrän skalet är på vår webbserver, så vi kan förhindra att det fungerar med följande kommandon:
find /var/www/ -name "*".php -type f -print0 | xargs -0 grep r57 | uniq -c | sort -u | cut -d":" -f1 | awk '{print "rm -rf " $2}' | uniqDetta kommando kommer att leta efter PHP-filer som finns på din WWW-mapp, och i de funna filerna kommer det att leta efter eventuella omnämnanden av r57 i filnamn och innehåll. Då kommer det att radera den infekterade filen / filerna.
find /var/www/ -name "*".txt -type f -print0 | xargs -0 grep r57 | uniq -c | sort -u | cut -d":" -f1 | awk '{print "rm -rf " $2}' | uniqDen här koden gör detsamma, förutom TXT-filer i stället för .php-filer.
Observera att dessa koder är för Linux, försök inte dem på Windows eller MacOS och var medveten om att de är potentiellt mycket destruktiva eftersom de tar bort filer utan att begära tillstånd.
Obscured code
En viktig orsak till oro inom teman är obscured code, eftersom skadlig kod tenderar att vara svårare att hitta inom teman. Allvarlig skada kan göras, från omdirigering av användare till andra webbplatser, för att sänka din SEO.
Ett nyckelvapen i kampen mot denna typ av problem är Tema Authenticity Checker . Detta plugin kommer inte bara att kontrollera kod för misstänkta linjer, men kommer att detektera statiska länkar och dold kod som kod genererad i base64 som är svår att upptäcka med ögat.
Lura mig en gång, skäm dig över dig
Bara för att du har blivit uttagen tidigare betyder inte att du måste fortsätta spela.
Överväg att vidta dessa steg för att säkra dig ytterligare:
- Tillåt endast PHP där det är absolut nödvändigt.
- Se till att din webbserver inte tillåter kunder att ändra .htacess-filen.
- Implementera en brandvägg som kommer att begränsa det utgående meddelandet i porten 25 till bara root- och e-postserverns ID.
- Övervaka uppladdningar till din webbplats med en applikation som ConfigServer eXploit Scanner .
Reparera bild via Shutterstock.
Till sist
WordPress-säkerhet är lika viktig som alla säkerhetsplatser på webbplatsen. Du måste se till att både dig och dina användare är skyddade mot spam, malware och phishing-attacker. Men kom ihåg att den första försvarskoden verkligen är antivirusprogrammet på din stationära dator.
Har du stött på problem med WordPress-säkerhet? Hur löste du problemet? Låt oss veta i kommentarerna.
Skriven uteslutande för WDD av The Shock Family: ett team av webbproffs och skapare av WordPress Teman Shock (Premium wordpress teman), WP Tema Generator (En stor wp-temavare), och DesignShock seful design sets). (du seful design set).