WordPress sitesi nasıl saldırıya uğradı (ve bu konuda ne yapmalı)
WordPress siteniz hacklendikten sonra, herhangi bir web sitesi sahibi için en büyük kabuslardan biridir. Bir andan bir sonraki ana kadar siteniz kapalıdır. Trafik düştü ve sitenize koyduğunuz tüm enerji, enerji, zaman ve para neredeyse hiç kayboluyor. Sorunu bulmak ve düzeltmek zor bir iştir, ancak kitlenizin güvenini kazanmak veya sitenizi spam siyah listesinden kaldırmak kadar zor değildir. Hacklenmeyen asla eğlenceli olmasa da, bu düşündüğünüzden çok daha yaygındır. WordPress Tırmanma, CMS’nin arkasında büyük bir bullseye tanımladı ve bilgisayar korsanları için favori bir hedefe değiştirdi.
Sadece 2012’de 170.000’den fazla WordPress sitesi saldırıya uğradı – şimdi çok daha yüksek olabilir. Bu hoş olmayan deneyimden sizi önlemek için, bu makalede, bilgisayar korsanlarının WordPress sitelerini hedefleyen nedenlerini, erişmenin en yaygın yolunu ve kendinizi korumak için ne gibi eylemler yapabileceğinizi göreceğiz. Bu, her WordPress web sitesi sahibi için zorunlu bir okuma, bu yüzden dikkat edin! Neden WordPress sitenizi hacklemek isteyen insanlar var?
Ayrıca, neden küçük blogunuzu önemsiyor? Uzlaşma’dan bir hacker ne olabilir? Ancak, hack, trafik büyüklüğü veya popülerlik açısından belirleyici bir faktör değildir. Saldırı çabaları, anlamanız gereken ilk şey için fırsatlar sorunudur, bunun sitenizle veya kişisel olarak sizinle ilgili olmamasıdır. Çoğu site sadece izin verdikleri için hacklenir. Sadece nadir durumlarda, bilgisayar korsanlarının belirli sitelere gitmek için özel nedenleri vardır. Ancak, bu çoğunlukla Sony gibi büyük şirketler için geçerlidir. Bizim gibi sıradan insanlar için, bilgisayar korsanlarının çoğu sitemize gider çünkü onlara farkında olmadan onlara bir boşluk veriyoruz. Bu nedenle, bu mantık veya sitenizi hacklemenin mantıklı olup olmadığı ile ilgili değildir. Trafiğiniz ne kadar küçük veya önemsiz olursa olsun, her zaman iyi bir hedefsiniz. Çoğu Dio -Hacking saldırıları, bilgisayar korsanlarının ana nedenlerinden biri, farklı boyutlarda siteleri ayırt etmemesidir, çünkü saldırıların neredeyse her zaman otomatik olarak gerçekleştirilmesidir. Birinin sitenizin adresini tarayıcı çubuğuna yazdığını ve bir şey bulana kadar baktığını düşünüyorsanız, yanılıyorsunuz. Bu tür bir yaklaşım, bilgisayar korsanları açısından hiç ekonomik değildir. Bunun yerine, arama motorları gibi, bilgisayar korsanları interneti taramak için botlar kullanır. Bununla birlikte, içeriği endekslemek yerine, botları bilinen güvenlik açığını koklar. Sürecin yıkılması, bilgisayar korsanlarının bir kerede birçok siteye saldırmasını ve böylece başarı şanslarını önemli ölçüde artırmasını sağlar. En iyi ekonomi ölçeği.
Yani, siteniz saldırıya uğrarsa, bunun nedeni, birisi sizi hedeflemeye karar verdiği için değil, otomatik bir komut dosyası radarında görünmesi olabilir. Onların anlamı nedir? Ancak, soru hala var: Neden kimse bu çabayı gösterdi? Bundan ne aldılar? Tabii ki, kredi kartı numarası gibi birçok finansal bilgiyi işleyen bir web mağazası çalıştırırsanız, bilgisayar korsanları için makul bir hedef olacaktır. Ancak, siteniz devlet sırları veya başkalarının bankacılık bilgileri içermiyorsa, neden sitenizle ilgileniyorlar? Bu durumda bile, sitenizi hacklemek, kötü niyetleri olan bireylere farklı şekillerde fayda sağlayabilir: Drive-by Lower-Hackers, sitenizi ziyaretçilerinize arka kapı, kilit izleyicisi, fidye yazılımı, virüs, gibi kötü amaçlı yazılımlarla enfekte etmek için kullanabilir. Veya kendi faydaları için kullanabilecekleri bilgileri yakalamak için diğer tehlikeli yazılımlar.
Derivasyon – Bazen bilgisayar korsanları, ziyaretçileri sitenizden kendileri için bağlı gelir elde eden diğer web sitelerine yönlendirir.
Sistem Kaynakları – Başka bir olasılık, sunucunuzu devralmaları ve spam e -postaları, hizmetlerin reddedilmesi veya kaba kuvvet saldırıları ve daha fazlasını göndermek için donanım kullanmalarıdır. Tabii ki, bu, sunucunuzu – ve sitenizi – siyah listeye girebilir veya kullanıma dayalı olarak barındırma ücretlerinizi oluşturacaktır.
Gördüğünüz gibi, siteniz büyüklüğüne veya popülaritesine bakılmaksızın bilgisayar korsanlarını çeker. Bu nedenle, her web sitesi sahibi potansiyel bir kurbandır.
WordPress sitesi nasıl hackleniyor?
Artık insanların neden WordPress web sitesini hacklemeye çalıştıklarına göre, yapmayı başardıkları en yaygın yola bakalım. WP şablonunun Infographics’e göre, bu WordPress web sitesinin en yaygın giriş noktasıdır:% 41, barındırma platformlarında güvenlik açığı yoluyla hacklendi
Güvensiz temalarla% 29 Savunmasız eklentiler aracılığıyla% 22
Zayıf bir şifre nedeniyle% 8
Gördüğünüz gibi, ilk giriş noktası en sık barındırma sağlayıcısıdır. Bu, sitenizin doğrudan hedeflendiği anlamına gelmez. Belki paylaşılan barındırma ortamındaki diğer siteler saldırıya uğradı ve bu süreçte başkalarını indirdi.
Endişelenen şey, WordPress temaları ve eklentilerinden gelmeyi başaran tüm hacklerin yarısından fazlası. Bu nedenle, bu bölüm özel ilgiyi hak ediyor ve aşağıda daha ayrıntılı olarak tartışacağız. Diğer siteler yetersiz şifre korumasından muzdariptir, bu da onları kaba kuvvet saldırılarına karşı savunmasız hale getirir. Yüzde sekizi çok fazla görünmese de, burada yüz binlerce web sitesi hakkında konuştuğumuzu bilin. Zayıf giriş bilgisi olanların sadece küçük bir kısmı olmasına rağmen, sayı hala binlerce savunmasız siteye gidiyor.
Pekala, şimdi WordPress’i savunmasız hale getiren şeyin ne olduğunu biliyoruz, ne yapabiliriz? Sitenizi nasıl güvende tutabilirsiniz
WordPress güvenliği proaktif ile ilgilidir. Ne dediklerini biliyorsunuz, bir ons önleme, özellikle web’de bir kiloluk tedaviye değer. Yukarıdaki bilgilere dayanarak, WordPress sitenizin hacklenmemesinin en etkili yollarından bazıları. Yüksek kaliteli bir barındırma sağlayıcısı Seçin İstatistiklerden net olması gereken bir şey, barındırma sağlayıcınızın kalitesinin sitenizin güvenliği üzerinde büyük bir etkisi olmasıdır. Bu nedenle, güvenceye öncelik veren önde gelen bir sağlayıcı seçmek, sitenizin saldırıya uğraması için eylem listenizin başında olmalıdır. PHP ve MySQL’in en son sürümlerini desteklemenin yanı sıra, en azından kötü amaçlı yazılım için rutin tarama yapmaları gerektiği anlamına gelir ve günlük rezervler. (Sonuncusu etimi gerçekten bir kez kurtarıyor, bunu sadece vurgulayabilirim!) WordPress kullanıcıları olarak bizim için, platformlara dayalı olarak çalışan ve WordPress ve bilgili personel için optimize edilmiş bir ortam sunan barındırma sağlayıcılarını da kullanmak daha iyidir. Önde gelen WordPress Hosting Company testini burada bulabilirsiniz. Ayrıca, yapabiliyorsanız, yukarıda belirtildiği gibi “kötü komşular” sorunundan kaçınmak için saf barındırma çözümlerinden uzak durun.
Düzenli rezervler yapın Bu listede belirtilen adımlar sitenizin güvenliğinde çok başarılı olmasına rağmen, sitenin saldırıya uğramayacağına dair yüzde 100 garanti yoktur. Bunun nedeni, varsayılan WordPress’in güvenli olmaması (bundan uzakta) değil, tehdit seviyesi ne kadar küçük olursa olsun, İnternet’e bağlı olan her zaman riskli olduğu için. Bu nedenle, en iyisini beklemek iyi olmasına rağmen, en kötüsünü hazırlamak ve web sitesinin sahibi için de önemlidir, düzenli olarak yedekleme yapmak anlamına gelir. Zaten kaliteli bir ana bilgisayarınız varsa, sizin için bu bölümle ilgilenmeli ve sitenizin bir kopyasını güvenli bir konumda kaydetmelidir. Herkes ve daha güvenmek isteyenler için, güvenilir bir rezerv çözümü uygulamak zorunluluktur ve birçok seçeneğiniz vardır:
Updrraftplus WordPress Reserve Dropbox
Backupbuddy (ücretli)
VaultPress (Ücretli)
Codeguard (Ücretli)
BlogVault (Ücretli)
Birini seçin ve şimdi ayarlayın. Bekleyeceğim. Ciddi değil, şimdi yap. Girişinizi güçlendirin Barındırma ortamına ek olarak, zayıf bir şifre ve giriş bilgileri de bir dizi hacklemeden sorumludur. Bu, özellikle bilgisayar korsanlarının parola ve rastgele kullanıcı adlarını eşleştirecek komut dosyaları çalıştırdığı kaba kuvvet saldırıları için geçerlidir. Aptalca, bu geliyor, bu işe yarıyor! Geçen yıl en kötü şifreye bakın ve nedenini anlayacaksınız. İlk savunma hattı olarak, WordPress giriş bilgileri için aşağıdaki en iyi uygulamaya uyun:
Şifrenizi genellikle değiştirin (cidden, şimdi takviminize bir hatırlatma koyun)
Yönetici kullanıcı adlarını kullanmaktan kaçının (eskiden daha uzun ve bu nedenle sıklıkla hedeflenen WordPress sürümünde varsayılandı) güçlü bir şifre oluşturur (harici hizmetler yoluyla veya WordPress’te bulunan şifrelerin gücünü ölçerek)
Diğer kullanıcıların aynı şeyi güçlü şifrelerle yapmasını gerektirir
LastPass gibi güvenli bir yerde bir şifreyi kaydedin
Ayrıca, giriş güvenliğinizi aşağıdaki yöntemlerle artırabilirsiniz:
Sınır Oturum Açma Çabaları – Kilitleme Giriş ve Giriş Güvenliği Çözümü gibi eklentiler, belirli bir süre içinde bir IP adresinden giriş çabalarının miktarını sınırlamanızı sağlar. Kaba kuvvet saldırılarını önlemek için mükemmeldir.
İki adımlı bir kimlik doğrulama kullanın – Yalnızca cep telefonunuzdan, sosyal ağ hesabınızdan veya diğerlerinden geçirilebilecek ikinci bir güvenlik katmanı ekleyin. Seçim, ikili iki facortes kimlik doğrulaması, OpenId ve Clef içerir.
Giriş sayfanızı WP-Admin ve WP-Login’i standart olmayan adreslere gizleyin, bilgisayar korsanlarının onlara saldırmasını zorlaştırır. Bunu WP-Login.php, Hidelogin+ veya LockDown WP yöneticisi ile yapabilirsiniz.
WordPress giriş korumalı mı? O zaman başka şeylere dönelim.
WP-Config.php WordPress Güvenlik Anahtarı WordPress 2.6’da tanıtıldı. Kullanıcının çerezinde depolanan bilgileri şifrelemek için kullanılan rastgele bir karakter çizgisidir, bu da siteniz için çözmenizi ve kullanmayı zorlaştırır. Kilit WP-Config.php dosyanızı şu şekilde girin: DEFINE (‘Auth_key’, ‘Benzersiz ifadenizi buraya yerleştirin’);
Tanımlama (‘Secure_auth_key’, ‘Benzersiz ifadenizi buraya yerleştirin’);
DEFINE (‘Logged_in_key’, ‘Benzersiz ifadenizi buraya yerleştirin’); tanımlayın (‘none_key’, ‘Benzersiz ifadenizi buraya yerleştir’);
Tanımlama (‘auth_salt’, ‘benzersiz ifadenizi buraya yerleştirin’);
DEFINE (‘Secure_auth_Salt’, ‘Benzersiz ifadenizi buraya yerleştirin’);
tanımlama (‘logged_in_salt’, ‘benzersiz ifadenizi buraya yerleştir’);
Tanımlama (‘nonce_salt’, ‘benzersiz ifadenizi buraya yerleştir’); Salt WordPress jeneratöründen gelen kodla değiştirin, sonuçlar şöyle görünecektir: tanımlama (‘Auth_key’, ‘c? Fnvfe; g#*06tu7? Ayb: w0s ~ dzc} _vtzp+kh; 7jyy.so1s/-jkhd9 ([[ E -posta korumalı] {q ‘);
DEFINE (‘Secure_auth_Key’, ‘kg9? Q =! wgrdpt [1#`| ( P, DS2VY0N+#& H! $ 90XUCVQLUKYS05’/TU+BF (BCBT/RMO-LH#H ‘);
DEFINE (‘Logged_in_Salt’, ‘Zn <7UZU+T-+1JZ} A = V, qqjwktl | x*i <2 pmita^tke9vk $ un? & fj ++ paexcr? ~/');
Tanıma ('nonce_salt', '' q! S ~ | c ~ xawl) o | as*[fefh | & 8eb <juqv ~ a: (Tabii ki, bunu kullanmayın, kendiniz yapın!) Benzersiz tablo önekinizi ayarlayın WordPress tablo önekini 5 -Minute kurulumundan bulacaktır.
Varsayılan olarak, bu da bilgisayar korsanları arasında genel bir bilgi olan WP_ olarak düzenlenmiştir. Bu nedenle, sitenizi SQL enjeksiyonuna karşı daha savunmasız hale getireceği gibi olmasına izin vermek. Güvenliğinizi daha da artırmak için, onu K5NS7UE03IA933_ gibi tahmin etmek rastgele ve imkansız bir şeye dönüştürmek iyidir. Yeni bir site hazırladığınızda, bunu en başından beri yapabilirsiniz. Ancak, mevcut sitelerde bile, onu değiştirmek çok zor değil. Bunu yapmanın en kolay yolu Ithemes güvenliğini kullanmaktır. Eklenti, düğmeye bir dokunuşla gerekli tüm işlemleri gerçekleştirebilir. Daha fazla zaman alıcı olan alternatif bir yol bunu manuel olarak yapmaktır. Ön ek tablosunu eklentiler aracılığıyla değiştiremiyorsanız, gerekli değişiklikleri yapmak için bu kılavuzu kullanın. WordPress güncellemelerini güncellemeye devam edin Yalnızca yeni WordPress özellikleri ve geliştirilmiş kod sunmakla kalmaz, aynı zamanda güvenlik sorunlarının eski sürümünün üstesinden gelin. Bu, özellikle tek amacı bu tür şeyleri geliştirmek olan güvenlik güncellemeleri için geçerlidir. WP WhiteSecurity'ye göre, web'deki en iyi WordPress web sitelerinin% 70'inden fazlası, WordPress'in modası geçmiş bir sürümünü çalıştırmanın neden olduğu bir tür güvenlik açığı gösteriyor. Bu ve diğer nedenlerden dolayı, WordPress reform döngüsünü takip etmeniz önemlidir. Bu yüzden WordPress 3.7'den beri bakım ve güvenlik güncellemeleri otomatik olarak uygulanır. Büyük sürümler için otomatik uygulamaları da etkinleştirmek mümkündür, gereken tek şey WP-Config.php: Define ('wp_auto_update_core', true) adresine aşağıdaki kod satırını eklemektir;
Ancak, büyük güncellemelerle, büyük olasılıkla sitenize zarar verecektir. Bu nedenle, standart ayarları kullanmaya devam etmek isteyebilirsiniz, ancak sürümden hemen sonra güncellemeleri uygulama taahhüdünde bulunabilirsiniz. WordPress Sürüm Numarasını Gizle Güncel kalmak hakkında konuşun: Varsayılan olarak, WordPress, çalıştığınız CMS sürümünü gösteren sitenizin başına meta etiketler ekler. Özellikle siteniz en son değilse (şimdi daha iyi bilmeniz gerekirse bile), bu, hack'lerin bilinen güvenlik açığını ortaya çıkarmasına yardımcı olacaktır. Aşağıda, kodun WordPress'i bunu yapmak için durduran yararlı bir parçası verilmiştir: remot_action ('wp_head', 'wp_generator'); Sadece işlevinize ekleyin.php dosya ve bitirmek. Yukarıda gördüğümüz gibi WordPress temalarını ve eklentilerini koruyun, başarılı hack çabalarının yarısından fazlası savunmasız WordPress eklentileri ve temaları aracılığıyla gerçekleşir. Dramatik görünse de, WordPress ekosisteminden bir bütün olarak şüphe etmek için bir neden yoktur. Dışarıdaki en iyi ve iyi korunan eklentiler bile güvenlik sorunları olabilir. Hatalar meydana gelir ve birçok durumda büyük bir sorun haline gelmeden önce düzeltilir. Bununla birlikte, sitenizdeki riskleri en aza indirmek için, eklentileri ve temaları işlemek için bazı yönergeler şunlardır: Güvenlik açığı olasılığını azaltmak için neler yapabileceğinizi ortadan kaldırın, sitenizdeki kesinlikle gerekli olmayan her eklenti ve temadan kurtulun. Çoğu zaman, herhangi bir işlevi gerçekten yerine getirmeden kaç kişinin sessiz olduğuna şaşıracaksınız. Bu aynı zamanda sitenizi ciddiye alabilir.
Normal güncelleme – tıpkı WordPress çekirdeği gibi, kesme bileşenleri her zaman yenilenmelidir. Bu aynı zamanda bir eklenti bir yıldan fazla bir süredir güncellenmemişse, aktif olarak korunan alternatifleri bulmak daha iyi olabilir. Kurulmadan önce kontrol edin – eklentileri ve inanılmaz kaynakların temalarını, özellikle ücretsiz olanları yüklemekten kaçının. Sitenize bileşenler eklediğinizde, önce eklentinin güvenlik açığı için tema kontrolü, eklenti kontrolü ve veritabanı ile çalıştırın.
Temaları ve eklentileri otomatik olarak güncellemenin yolları da vardır, ancak temel güncellemelerin yanı sıra, bilmeden sitenize zarar vermekten kaçınmak için manuel olarak yapmanızı öneririm. WordPress siteniz en son hacklenmemesi için başka bir taktik, web sitenizin güvenlik seviyesini artırmak için atabileceğiniz bazı küçük adımlar. 1. Doğru dosya iznini ayarlayın Sunucunuzdaki dosya izni doğru ayarlanmazsa, üçüncü taraf daha kolay hasar görebilir. İzin aşağıdaki gibi belirlenmelidir:
Tüm yönetmenler için 755 veya 750
Dosya için 644 veya 640
WP-Config.php için 600
Genel – Mask parazitleri ve web müfettişi sizi çeşitli güvenlik sorunları konusunda uyarabilir.
Virüs – Antivirüs eklentisi veya WP antivirüs sahası koruması veya virustotal web hizmeti kullanın.
SPAM – MX Toolbox, sitenizin yüzden fazla kara liste e -mail.malware.malware – kötü amaçlı tarayıcı SUCURI web sitesi sitesine ücretsiz tehlikeli kodları ve diğer güvenlik sorunlarını kontrol edip etmediğini söyleyebilir.
Sitenizin sızdığını fark ederseniz, bu ayrıntılı kılavuz geri yüklemenize yardımcı olacaktır. Kısacası: Proaktif olarak WordPress web siteniz hacklendi veya sızdı, sadece bazı site sahipleri tarafından deneyimlenmek isteyen korkunç bir şey ya da deneyimlediklerini unutmayacaklar. Büyük bir başarıda hacklemekten restore etmek çok fazla enerji, sinir ve genellikle para gerektirir. Bununla birlikte, güvenlik sorunları çalışan web sitelerinin gerçekliğinin bir parçasıdır ve önlemler sonuçlarla uğraşmaktan daha iyidir. Neyse ki, WordPress’in kendisi genellikle çok güvenlidir. Genellikle bilgisayar korsanlarının giriş noktası bir barındırma ortamı, eklentiler ve savunmasız temalar ve zayıf giriş bilgileridir. Yukarıdaki listelerin listesini takip etmek, en yaygın sorunların üstesinden gelmenize ve sitenizi çok daha savunmasız hale getirmenize yardımcı olacaktır. Burada belirtilen birçok eylem, kontrol etmek isteyebileceğiniz eksiksiz bir güvenlik çözümünün bir parçasıdır:
Mahkeme Karşıtı -Güvenlik
Sucuri Güvenliği
Ithemes Güvenliği
Kelime çit
Eğer saldırıya uğradıysanız, en iyisi sakin kalmak ve panik yerine bir çözüm bulmak ve aceleyle bir şeyler yapmaktır. Bir yedekleme planı ile normale dönmeye ve hızlı bir şekilde geri dönmeye hazırsınız. Hiç sızmış bir siteyle deneyiminiz oldu mu? Nasıl bitirirsin? Aşağıdaki yorum bölümünde bize bildirin!
