Atacuri comune pe WordPress și cum să le opresc

Atacuri comune pe WordPress și cum să le opresc

WordPress a fost unul dintre cele mai importante sisteme de gestionare a conținutului (CMS) de mai bine de un deceniu. Multe dintre cele mai mari bloguri de pe internet, precum și o mulțime de site-uri mici, individuale, rulează pe cadrul WordPress pentru publicarea de text, imagine și conținut video pe web-ul mondial.


Un site web WordPress are atât interfață front-end cât și back-end. Front-end oferă viziunea pe care vizitatorii din afară o vor vedea când încarcă pagina web. Back-end-ul poate fi accesat de către administratorii site-ului și contribuitorii care sunt responsabili de redactarea, proiectarea și publicarea conținutului.

Ca orice alt sistem bazat pe internet, WordPress este o țintă a încercărilor de hacking și a altor forme de infracțiuni informatice. Ceea ce are sens, având în vedere acum mai mult decât 32% Internetul rulează pe WordPress. În acest articol, vom parcurge unele dintre cele mai frecvente atacuri WordPress asupra software-ului și vom oferi apoi sugestii despre cum să vă apărați împotriva lor și să vă păstrați site-ul în siguranță..

Metode de atacuri WordPress comune

Mai întâi să ne uităm la atacurile comune ale proprietarilor de site-uri WordPress.

1. Injecție SQL

Atacuri comune WordPress: Injecție SQL

Platforma CMS WordPress se bazează pe un strat de bază de date care stochează informații despre metadate, precum și alte informații administrative. De exemplu, o bază de date tipică WordPress bazată pe SQL va conține informații despre utilizator, informații despre conținut și date de configurare a site-ului.

Atunci când un hacker efectuează un atac de injecție SQL, utilizează un parametru de solicitare, fie printr-un câmp de intrare sau o adresă URL, pentru a rula o comandă personalizată a bazei de date. O interogare „SELECT” va permite hackerului să vizualizeze informații suplimentare din baza de date, în timp ce o interogare „UPDATE” le va permite să schimbe efectiv datele.

În 2011, o companie de securitate a rețelei numită Barracuda Networks a căzut victimă unei Atac de injecție SQL. Hackerii au executat o serie de comenzi pe întregul site web al Barracuda și, în cele din urmă, au găsit o pagină vulnerabilă care poate fi utilizată ca portal pentru baza de date principală a companiei..

2. Scripturi cross-site

Un atac de scripturi de site-uri, cunoscut și sub denumirea de XSS, este similar cu injecția SQL, acceptând că țintește elementele JavaScript de pe o pagină web în loc de baza de date din spatele aplicației. Un atac reușit poate duce la compromiterea informațiilor private ale unui vizitator din exterior.

Cu un atac XSS, hackerul adaugă cod JavaScript pe un site web printr-un câmp de comentarii sau o altă introducere de text, iar apoi acel script rău intenționat este rulat atunci când alți utilizatori vizitează pagina. JavaScript de obicei va redirecționa utilizatorii către un site web fraudulos care va încerca să le fure parola sau alte date de identificare.

Chiar și site-urile populare precum eBay pot fi ținte ale atacurilor XSS. În trecut, hackerii au adăugat cu succes cod rău intenționat către paginile de produse și i-a convins pe clienți să se autentifice pe o pagină web defrișată.

3. Injecția de comandă

Platforme precum WordPress funcționează pe trei straturi principale: serverul web, serverul de aplicații și serverul de baze de date. Dar fiecare dintre aceste servere rulează pe hardware cu un sistem de operare specific, cum ar fi Microsoft Windows sau Linux open-source, și care reprezintă o zonă potențială separată de vulnerabilitate.

Cu un atac de injecție de comandă, un hacker va introduce informații rău intenționate într-un câmp text sau URL, similar cu o injecție SQL. Diferența este că codul va conține o comandă pe care numai sistemele de operare o vor recunoaște, cum ar fi comanda „ls”. Dacă este executat, acesta va afișa o listă cu toate fișierele și directoarele pe serverul gazdă.

Anumite camere de internet conectate s-au dovedit a fi deosebit de vulnerabile la atacurile de injecție de comandă. Firmware-ul lor poate expune în mod necorespunzător configurația sistemului la utilizatorii externi atunci când este emisă o comandă necinstită.

4. Includerea fișierelor

Atacuri comune pe WordPress: includerea fișierelor

Limbile comune de codare web precum PHP și Java permit programatorilor să se refere la fișiere și scripturi externe din codul lor. Comanda „include” este numele generic pentru acest tip de activitate.

În anumite situații, un hacker poate manipula adresa URL a unui site web pentru a compromite secțiunea „include” a codului și a avea acces la alte părți ale serverului de aplicații. S-a constatat că anumite plugin-uri pentru platforma WordPress sunt vulnerabile atacuri de includere a fișierelor. Când apar astfel de hacks, infiltratorul poate obține acces la toate datele de pe serverul de aplicații primare.

Sfaturi pentru protecție

Acum că știi ce trebuie să fii în căutare, iată câteva moduri ușoare de a-ți întări securitatea WordPress. Evident, există mai multe modalități de a vă securiza site-ul decât sunt menționate mai jos, dar acestea sunt metode relativ simple pentru a începe cu care pot produce randamente impresionante la hackerii frustrați.

1. Folosiți un gaz securizat și firewall

Platforma WordPress poate fi rulată de pe un server local sau administrată printr-un mediu de găzduire în cloud. În scopul menținerii unui sistem sigur, este preferată opțiunea găzduită. Cele mai bune gazde WordPress de pe piață vor oferi criptare SSL și alte forme de protecție pentru securitate.

Atacuri comune pe WordPress: firewall

Atunci când configurați un mediu WordPress găzduit, este esențial să activați un firewall intern care să protejeze conexiunile între serverul de aplicație și alte straturi de rețea. Un firewall va verifica validitatea tuturor cererilor între straturi pentru a se asigura că numai cererile legitime pot fi procesate.

2. Mențineți actualizate temele și pluginurile

Comunitatea WordPress este plină de dezvoltatori terți care lucrează constant la noi teme și pluginuri pentru a valorifica puterea platformei CMS. Aceste suplimente pot fi gratuite sau plătite. Plugin-urile și temele trebuie să fie mereu descărcate direct de pe site-ul WordPress.org.

Plug-inurile și temele externe pot fi riscante, deoarece includ codul care va fi rulat pe serverul de aplicații. Numai suplimente de încredere care provin dintr-o sursă de renume și dezvoltator. În plus, ar trebui să actualizați pluginuri și teme în mod regulat, deoarece dezvoltatorii vor lansa îmbunătățiri de securitate.

În cadrul Consola de administrare WordPress, fila „Actualizări” se găsește în partea de sus a listei de meniu „Tabloul de bord”.

3. Instalați un Virus Scanner și VPN

Dacă executați WordPress într-un mediu local sau aveți acces complet la server prin intermediul furnizorului dvs. de hosting, trebuie să vă asigurați că aveți un scanner de virus robust care rulează pe sistemul dvs. de operare. Instrumentele gratuite pentru scanarea site-ului dvs. WordPress precum Virus Total vor verifica toate resursele pentru a căuta vulnerabilități.

Când vă conectați la mediul dvs. WordPress dintr-o locație de la distanță, ar trebui să utilizați întotdeauna un client de rețea privată virtuală (VPN), care vă va asigura că toate comunicațiile de date între computerul dvs. local și server sunt complet criptate..

4. Blocare împotriva atacurilor de forță brută

Unul dintre cele mai populare și comune atacuri WordPress ia forma așa-numitelor atacuri de forță brută. Acesta nu este altceva decât un program automat pe care un hacker se dezleagă la „ușa din față”. Se află acolo și a încercat mii de combinații de parole diferite și se potrivește cu cea dreaptă suficient de des pentru a-l pune în valoare.

Vestea bună este că există o modalitate ușoară de a sprijini forța brută. Vestea proastă este că prea mulți proprietari de site-uri nu aplică soluția. Verificați All in One WP Security și Firewall. Este gratuit și vă permite să setați o limită dificilă la încercările de conectare. De exemplu, după trei încercări, pluginul blochează site-ul cu alte autentificări ale adresei IP pentru o perioadă de timp prestabilită. De asemenea, veți primi o notificare prin e-mail cu privire la faptul că funcția de blocare a fost declanșată.

5. Autentificare cu doi factori

Această metodă simplă de securizare a site-ului dvs. se bazează pe faptul că probabil hackerul nu va putea să-și asume controlul simultan asupra a două dispozitive. De exemplu, un computer și un telefon mobil. Autentificarea cu doi factori (2FA) transformă logarea pe site-ul dvs. Web într-un proces în doi pași. Ca de obicei, vă autentificați în mod obișnuit, dar apoi veți fi invitat să introduceți un cod suplimentar trimis către telefonul dvs..

Inteligent, nu? Acest pas în plus crește securitatea site-ului dvs. în mod exponențial, prin separarea autentificării în diferiți pași. Verifica acest lucru lista de pluginuri gratuite asta vă va ajuta să configurați 2FA. Acei hackeri care s-au gândit să încerce să încurce site-ul dvs., probabil că se schimbă deja.

Concluzie

Cu toate că nu există un site web securizat 100%, există numeroși pași pe care îi puteți face pentru a vă proteja site-ul. Utilizarea unui firewall bun, menținerea temelor și a pluginurilor la zi și rularea periodică a unei scanări antivirus poate face o diferență uriașă.

S-ar putea să vă ajute să vă gândiți la securitatea site-ului web ca la un proces etern iterativ. Niciodată nu ar trebui să vină un moment în care să faci un pas înapoi și să crezi că este „complet”, deoarece jocul dintre hackeri și apărătorii site-ului web nu se va opri niciodată, jucătorii online chiar sancționați oficial ajungând în supraveghere online Afaceri . Doar păstrându-vă cunoștință despre cele mai recente amenințări și cum să le respingeți, veți putea menține cibersecuritatea și confidențialitatea online.

Este prea rău că lumea trebuie să fie așa, dar acceptă-o și mergi mai departe. Dacă nu ați făcut-o niciodată, acum ar fi un moment bun pentru a localiza câteva site-uri de știri privind securitatea cibernetică respectate. Fie abonați-vă la newsletter-ul lor, fie cel puțin să efectuați vizite regulate. Începeți rulând o căutare Google (sau motorul de căutare la alegere) pentru „știri despre securitate cibernetică”.

Aveți o întrebare sau mai multe sfaturi de adăugat? Lasă un comentariu și anunță-ne.

Jeffrey Wilson Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map