WordPress یک پلتفرم محبوب و متن باز محبوب است.در وردپرس کاربران می توانند تم های مختلف را بر اساس ترجیح کاربر انتخاب کنند.”وردپرس سیستم مدیریت محتوای منبع باز است که با PHP نوشته شده و با یک پایگاه داده MySQL یا MariaDB مرتبط شده است”(ویکی‌پدیا). پلتفرم محبوب به معنای مهاجمان و هک بیشتر است. برای کمک به شما در درک نقاط ضعف ، در اینجا پنج آسیب پذیری معمول وردپرس آورده شده که می تواند یک سایت وردپرس را به خطر بیندازد.
حملات Brute Force
حملات Brute Force ساده ترین حملات برای دسترسی به وب سایت با وارد کردن مکرر نام کاربری و رمزهای عبور است تا زمانی که مهاجم بتواند وارد شود. یک روش معمول استفاده مهاجمان از حمله بی رحمانه “چکش وار” به فایل wp-login.php است تا زمانی که آنها وارد شوند یا سرور از بین برود.
به طور معمول افراد از “admin” به عنوان نام کاربری خود استفاده می کنند که هک شدن سایت های وردپرس را بسیار آسان می کند.
چگونه می توان از حملات Brute Force جلوگیری کرد؟
از “admin” به عنوان نام کاربری خود استفاده نکنید. این اولین حدس مهاجم و نحوه هک شدن سریع سایت وردپرس شما خواهد بود.
یک رمزعبور قوی که شامل اعداد، حروف بزرگ و کوچک ، نوار فاصله ، نویسه های خاص است پیاده سازی کنید.
احراز هویت دو عاملی را فعال کنید.
Cross-Site Scripting (XSS)
برای تغییر این متن بر روی دکمه ویرایش کلیک کنید. لورم ایپسوم متن ساختگی با تولید سادگی نامفهوم از صنعت چاپ و با استفاده از طراحان گرافیک است.
یکی دیگر از هک های معمول وردپرس ، Cross-Site Scripting است. اسکریپت نویسی از طریق سایت “آسیب پذیری است که اجازه می دهد کد غیر مجاز JavaScript در وب سایت اجرا شود”. حمله WordPress XSS معمولاً با بهره گیری از آسیب پذیری XSS که در افزونه های وردپرس وجود دارد ، انجام می شود. دو روش وجود دارد که می توان XSS را اجرا کرد:
اول ، اسکریپت مخرب در مرورگر سمت مشتری اجرا می شود
دوم این است که اسکریپت های مخرب در سرور ذخیره و اجرا می شوند. سپس توسط مرورگر ارائه می شوند
در هر دو روش ، هکر از حمله XSS برای سرقت یا دستکاری داده ها استفاده می کند که به این ترتیب سایت های وردپرس هک می شوند. در نتیجه بر تجربه کاربر در سایت وردپرس تأثیر می گذارد. حملات XSS به دلیل افزونه ها در سایتهای وردپرس معمول است.
چگونه از XSS جلوگیری کنیم؟
برای جلوگیری از وقوع حمله XSS ، باید از پاک سازی داده ها سایت وردپرس استفاده کنید. و مطمئن شوید که فقط متغیرهای مناسب درج شده اند.
Malicious Code (کد مخرب)
کد مخرب را می توان از طریق یک تم آلوده ، پلاگین یا اسکریپت منسوخ شده به وردپرس تزریق کرد. پس از تزریق کد ،بعد از بارگذاری آن ، آسیب های خفیف تا جدی ایجاد می شود.
چگونه می توان از کد مخرب جلوگیری کرد؟
بهترین راه برای جلوگیری از تزریق کد مخرب این است که مطمئن شوید فقط تم ها و افزونه های وردپرس را از منابع معتبر بارگیری می کنید. همچنین مهم است که بررسی کنید پلاگین وردپرس به روز باشد. زیرا بدافزار معمولاً از طریق مضامین آلوده و افزونه های قدیمی وارد می شود.
تزریق SQL
تزریق SQL یک روش هک امنیتی است که به مهاجم اجازه می دهد تا در کوئری هایی که یک برنامه در پایگاه داده خود دارد تداخل ایجاد کند. انجام حمله SQL injection به مهاجم اجازه می دهد داده هایی را از پایگاه داده مشاهده کند که به طور معمول قادر به بازیابی آنها نیست. اگر کوئری وارد شده موفقیت آمیز باشد ، مهاجم با موفقیت سایت وردپرس را هک کرده است. سپس هکر می تواند پایگاه داده MySQL را دستکاری کرده و به طور بالقوه به مدیر دسترسی پیدا کند. به حساب وردپرس شما دسترسی پیدا کند یا اعتبارنامه را تغییر دهد. این فقط یکی از راه های هک شدن سایت های وردپرس از طریق SQL است.
چگونه می توان از حمله تزریق SQL جلوگیری کرد؟
برای تأیید اعتبار داده های ارسال شده توسط کاربر ، از اعتبار ورودی استفاده کنید.
مرتباً به روزرسانی کنید. اطمینان حاصل کنید که تم ها و افزونه های وردپرس به طور مرتب به روز می شوند تا از هرگونه احتمال حمله SQL جلوگیری کنند.
فایروال را پیاده سازی کنید. می تواند به عنوان یک سطح اضافی امنیت در برابر حمله تزریق SQL ایجاد کند
امتیاز دسترسی را فقط به افرادی که نیاز به دسترسی به سایت وردپرس دارند محدود کنید.
پلاگین Sucuri Security را فعال کنید. محبوب و یک افزونه رایگان است که به شما امکان می دهد چه کسی به سایت شما وارد می شود و چه نوع تغییراتی را کنترل کنید.
حمله DDoS
انکار سرویس توزیع شده ( Distributed denial of service ) وقتی است که حجم زیادی از درخواست ها به یک سرور داده می شود که باعث کند شدن سرور و در نهایت خراب شدن آن می شود. این نوع حمله یکی دیگر از راه های آسان هک شدن سایت های وردپرس است. که باعث کاهش عملکرد از وب می شود.
چگونه می توان از حملات DDoS جلوگیری کرد؟
افزونه Sucuri Security را فعال کنید زیرا فایروال وب سایت است. در سطح DNS اجرا می شود. این بدان معناست که آنها می توانند حملات DDoS را قبل از درخواست از وب سایت شما ، دریافت کنند
مطمئن شوید که وردپرس شما به روز است
ورود ها (Logs) را بررسی کنید – می توانید ببینید که ترافیک ورودی از کجا ناشی می شود.
از آنجا که وردپرس یک پلت فرم محبوب است که افراد برای ایجاد وب سایت های خود از آن استفاده می کنند ، اطمینان از این که تمام اقدامات امنیتی را برای ایمن نگه داشتن سایت خود انجام می دهید بسیار مهم است. این موارد آسیب پذیری است که در اینجا توضیح داده شده و نحوه هک شدن سایت های وردپرس را نشان می دهد. بدون شک آسیب پذیری های بیشتری وجود دارد ، اما اینها تنها مواردی است که باید مراقب آنها باشید و چگونگی جلوگیری از وقوع آنها را بررسی کنید.
منبع: hackernoon