אבטחת וורדפרס

מאת הראל משה | תגובות (3) | טרקבקים (0)

אז מה בנוגע לאבטחת וורדפרס?

כשהתחלתי ללמוד את הנושא, רציתי קודם כל להבין מה הם הסיכונים שעומדים מול מערכת וורדפרס?
ובכן מצאתי עולם שלם של סיכונים.

Security castle

טיפ בסיסי לפני שנתחיל.
רצוי למחוק את שם משתמש הברירת המחדל (admin) ולהגדיר חשבון חדש עם סיסמה חזקה.
ראה הגדרת סיסמאות מוצפנות ב-md5

אבטחה לוורדפרס.
Security Wich
שדרוג וורדפרס לגרסה האחרונה.
זה טיפ בסיסי, שדרוג המערכת לגרסה האחרונה כדי להימנע מחורים באבטחה.
ובכן, הסיכונים תלויים בגרסה שאנחנו משתמשים, סוג התבנית והפלאגינים.

גרסה אחרונה של וורדפרס: 2.3.2 |עדכון אחרון: גרסה 2.3.3
נעיין ברשימת חורים באבטחה והתראות לגרסאות וורדפרס שונות: WordPress BlogWatch
נבדוק שלתבנית שאנחנו משתמשים אין חורים באבטחה| פלאגין: wp-scanner.
נבדוק שאין קוד ספאם ניסתר בתבנית.| מהם הסיכונים בהורדת תבניות מאתרים |צד שלישי?
בימים אלו קיים סיכון אבטחה ממשי למי שמשתמש בפלאגין: WP-Forum
כדאי לכבות אותו עד שיצא עדכון.

טיפ בסיסי: גיבוי המערכת לפני כל שינוי.

הסתרת הגרסה של וורדפרס.
Security eyeball
אין שום סיבה שתכולת ספריות ההתקנה של וורדפרס תהיה מוצגת לכולם.

צריך לשים קובץ htaccess. נוסף תחת ספריית wp-admin
וקובץ index.html ריק תחת ספריית wp-plugins

אם לא שינינו את הגדרות ברירת המחדל של התבנית, כל אחד יוכל לדעת באיזו גרסת וורדפרס אנחנו
משתמשים ע"י הצצה ב- view source של העמוד.

כדי למנוע את זה נערוך את header.php של התבנית.

נאתר את השורה הבאה:
<meta name="generator" content="WordPress <?php bloginfo('version'); ?>" />
ונחליף אותה בזאת: <meta name="generator" content="mywebsite" />
ראה גם מדריך באנגלית.

ספריות ההתקנה של וורדפרס.
נחלק לשני תתי נושאים: הגנה על ספריית ההתקנה עם סיסמה והסתרת תצוגת ספריות ההתקנה.

הגנה על ספריית ההתקנה עם סיסמה
ניתן להגיע לפתרון מהיר ע"י התקנת פלאגין: AskApache
לחלופין אפשר להוסיף כמה שורות לקובץ ה- htaccess

אזהרה: במידה ואין לנו ip קבוע ישנו סיכוי טוב שנינעל בחוץ!
במצב כזה נוכל להשתמש בפקודות קוד שיאפשרו לנו להוסיף סיסמה ללא הקבלת כתובת ה-ip
ראה גם מאמרים באנגלית:htaccess-tricks, blogsafe| SecureCode

נוודא גם את ההגדרה נכונה של זכויות והרשאות על ספריות וקבצים באתר.

הסתרת תצוגת ספריות ההתקנה של וורדפרס: directory listings
מסתבר שכל אחד יכול לראות את תכולת ספריות ההתקנה של וורדפרס.
למשל,אם נפתח את הדפדפן ונכניס את אחד מהקישורים שמפנים אותנו לספריות שונות:

http://mydomain.com/blogdir/wp-content/plugins
http://mydomain.com/blogdir/wp-content/themes
נגלה שאנחנו יכולים לראות את תכולת הספריות והקבצים של המערכת, באיזה פלאגינים ותבניות
אנחנו משתמשים וכדו'… האקרים יכולים להשתמש באינפורמציה הזאת כדי לפרוץ ולהזיק לאתר שלנו.

אז מה עושים כדי למנוע מכל אחד להציץ לנו לספריות ההתקנה?
שתי אופציות: index.html או htaccess

index.html
1. ניצור קובץ ריק עם notepad ונשמור אותו בשם index.html
נעלה אותו לספריית \blog\wp-content\plugins שבשרת.
לאחר מכן כשנכנס לדפדפן בשנית וננסה להציג את תכולת ספריית plugins, לא נצליח!
>> זהירות! לא להעתיק את ה-index.html לספרייה שכבר מכילה את הקובץ.

זהו, פשוט?
ובכן, נצטרך לחזור על הפעולה הזאת מספר פעמים כדי להעלות את הקובץ לכל ספרייה שאנחנו
מעוניינים שלא תוצג. זה יכול להיות מיגע כשיש הרבה ספריות.
לכן אני מעדיף להשתמש באופציה השנייה, שהיא הוספת שורת קוד לקובץ htaccess.

htaccess
נוסיף שורת קוד לקובץ על מנת שכל דף שאינו מכיל את הקובץ: index.html
תוצג הודעת שגיאה (404)שאין לנו את ההרשאות המתאימות כדי להציג את תכולת הספרייה.
וזה בסדר, כי זה מה שאנחנו רוצים, אין שום סיבה שמישהו יוכל להסתכל בספריות ההתקנה שלנו.

נפתח את הקובץ (תחת ספריית ההתקנה של וורדפרס) ונוסיף מתחת לשורה
הזאת: <IfModule mod_rewrite.c>
את הקוד הזה: Options All -Indexes

אפשר לעדכן את הודעת השגיאה ע"י הוספת הקוד: ErrorDocument 403 /forbidden.html
מתחת לשורה שהוספנו קודם ואז כל שגיאה בהקלדת הקישור תחת הדומיין שלנו תיקשר לתבנית הפתיחה של וורדפרס.

כדי למנוע ממנועי החיפוש לחפש קוד באתר.
נערוך את קובץ התבנית: search.php ונחליף את שורת הקוד כמו בתמונה.
ראה מדריך באנגלית.

מה בנוגע לקובץ robots.txt? Security Spider
הקובץ הזה הוא הקובץ שאומר למנועי החיפוש מה הם יכולים או לא יכולים לראות באתר שלנו.
קובץ ה-robots מאפשר גם להסיר תוכן כפול (כפילויות בדפים, פוסטים, תגובות וכדו'…).
איך משתמשים?

ספאם
ניתן להשתמש בפלאגין של akismet שנכתב במיוחד לוורדפרס לעצור דואר זבל.

כאשר ספאמרים סורקים את האתר הם מחפשים קישורים לכתובת מייל
ואת הקבצים: wp-comments-post.php, wp-trackback.php