حملات متداول هکرها به وردپرس و نحوه جلوگیری از آنها
مقاله

حملات متداول هکرها به وردپرس و نحوه جلوگیری از آنها

وردپرس بیش از یک دهه است که یکی از سیستم های پیشرو در مدیریت محتوای (CMS) می باشد. بسیاری از وبلاگهای بزرگ و همچنین بسیاری از سایتهای کوچک و شخصی از وردپرس برای انتشار متن، تصویر و محتوای ویدیویی در شبکه جهانی وب استفاده می کنند. یک وب سایت وردپرسی دارای رابط front-end و back-end است. قسمت front-end مربوط به بازدیدکنندگان از سایت می باشد و قسمت back-end نیز مربوط به مدیران سایت و مشارکت کنندگانی که مسئول تهیه، طراحی و انتشار مطالب هستند.

مانند هر سیستم مبتنی بر اینترنت، وردپرس نیز هدف هکر ها و سایر اشکال جرایم اینترنتی است. با توجه به اینکه اکنون بیش از 32٪ از سایت های اینترنتی با وردپرس راه اندازی شده اند، منطقی است که حجم زیادی از حملات سایبری مربوط به وردپرس باشد. در این مقاله، متداول ترین حملات به این پلتفرم معرفی و سپس پیشنهاداتی برای دفاع در برابر آنها و ایمن نگه داشتن وب سایت ها ارائه می شود.

حملات متداول هکرها به وردپرس

1. SQL Injection

تصویر(1)

بستر WordPress به یک لایه پایگاه داده متکی است که اطلاعات متادیتا و همچنین سایر اطلاعات مدیریتی را ذخیره می کند. به عنوان مثال، یک پایگاه داده وردپرس مبتنی بر SQL شامل اطلاعات کاربر، اطلاعات محتوا و داده های پیکربندی سایت است. هنگامی که هکر تصمیم می گیرد حمله SQL را انجام دهد، از یک درخواست یا از طریق یک URL، برای اجرای دستور پایگاه داده استفاده می کنند. یک کوئری "SELECT" به هکر اجازه می دهد تا اطلاعات بیشتری را از پایگاه داده مشاهده کند، در حالی که یک کوئری "UPDATE" به آنها امکان می دهد داده ها را تغییر دهند. در سال 2011، یک شرکت امنیت شبکه به نام Barracuda Networks قربانی حمله تزریق SQL شد. هکرها یک سری دستورات را در کل وب سایت باراکودا اجرا کردند و در نهایت یک صفحه آسیب پذیر یافتند که می تواند به عنوان درگاهی برای ورود به پایگاه داده اصلی شرکت مورد استفاده قرار گیرد.

2. Cross-site Scripting

یک حمله Cross-site Scripting، که به عنوان XSS نیز شناخته می شود، مشابه تزریق SQL است که عناصر JavaScript را در یک صفحه وب به جای پایگاه داده، هدف قرار می دهد. یک حمله موفقیت آمیز می تواند منجر به خطر افتادن اطلاعات خصوصی یک بازدید کننده شود. با حمله XSS، هکر از طریق قسمت نظرات یا ورودی های دیگر متنی، کد JavaScript را به وب سایت اضافه می کند و سپس هنگام بازدید سایر کاربران از صفحه، آن اسکریپت مخرب اجرا می شود. کدهای جاوا اسکریپت مخرب معمولاً کاربران را به وب سایتی جعلی هدایت می کند که رمز ورود یا سایر اطلاعات شناسایی آنها را بدزدد. حتی وب سایت های معروف مانند eBay می توانند هدف حملات XSS قرار گیرند. در گذشته، هکرها با موفقیت کد مخربی را به صفحات محصول اضافه کرده و مشتریان را متقاعد کردند که به یک صفحه وب جعلی وارد شوند.

3. Command Injection

پلتفرم هایی مانند وردپرس در سه لایه اصلی کار می کنند: وب سرور، سرویس دهنده نرم افزار کاربردی ( application server ) و سرور پایگاه داده. اما هر یک از این سرورها از طریق سخت افزار با سیستم عامل خاصی مانند Microsoft Windows یا Linux اجرا می شوند و می توانند آسیب پذیر باشند. با حمله تزریق دستور، یک هکر اطلاعات مخربی را در فیلد متنی یا URL، مشابه تزریق SQL وارد می کند. تفاوت در این است که کد حاوی فرمانی است که فقط سیستم عامل ها مانند فرمان "ls" آن را تشخیص می دهند. اگر اجرا شود، لیستی از تمام پرونده ها و دایرکتوری ها در سرور میزبان نمایش داده می شود.

مشخص شده است که برخی از دوربین های متصل به اینترنت در برابر حملات تزریق فرمان آسیب پذیر هستند. firmware (فریمورها در بسیاری از دستگاه ها وجود دارند، مثل اسمارت فون، اسمارت تلویزیون، ماشین لباسشویی و … .) آنها می تواند هنگام صدور دستور جعلی پیکربندی سیستم را در معرض کاربران قرار دهد.

4. File Inclusion

تصویر(2)

زبان های رایج کدنویسی وب مانند PHP و Java به برنامه نویسان اجازه می دهند تا از داخل کد خود به پرونده ها و اسکریپت های خارجی دسترسی داشته باشند. دستور "include" نیز برای انجام چنین کاری استفاده می شود. گنجاندن فایل یا File Inclusion به نفوذگر اجازه میدهد یک فایل را چه از راه دور و چه محلی با برنامه تحت وب تلفیق کند، این آسیب پذیری بر اساس مکان رویداد و کد آسیب پذیر می تواند استفاده های گوناگونی برای نفوذگر داشته باشد. مشخص شده است که برخی از افزونه ها برای بستر وردپرس در برابر این حملات آسیب پذیر هستند. وقتی چنین هک هایی رخ می دهد، نفوذگر می تواند به همه داده های سرویس دهنده نرم افزار کاربردی ( application server ) دسترسی پیدا کند.

نکاتی برای محافظت

اکنون که می دانید باید به دنبال چه چیزی باشید، در اینجا چند راه آسان برای تقویت امنیت وردپرس آورده شده است. بدیهی است که روشهای بسیار بیشتری برای ایمن سازی سایت شما وجود دارد، اما اینها روشهای نسبتاً ساده ای برای شروع هستند که می توانند بازدهی چشمگیری در برابر حملات هکرها داشته باشند.

1. از یک میزبان امن و فایروال استفاده کنید

وردپرس را می توان از طریق یک سرور محلی یا از طریق یک فضای میزبانی مدیریت کرد. استفاده از یک هاست امن تاثیر بسیار زیادی بر امنیت سایت شما خواهد داشت. هاست های امن امکانات امنیتی مانند گواهینامه های SSL، آنتی ویروس، فایروال های نرم افزاری و سخت افزاری را در اختیار شما قرار می دهند.

تصویر(3)

هنگام پیکربندی یک سرور و هاست که قرار است تعدادی سایت وردپرسی در آن راه اندازی شود، فعال کردن فایروال، که از اتصالات بین application server و سایر لایه های شبکه محافظت می کند، بسیار مهم است. فایروال اعتبار همه درخواست ها را بین لایه ها بررسی می کند تا اطمینان حاصل کند که فقط درخواست های معتبر پردازش می شوند. برای مشاهده امکانات امنیتی که میهن وب هاست در سرورها و هاست ارائه می کند به لینک زیر مراجعه کنید:

لینک

2. تم ها و پلاگین ها را به روز نگه دارید

انجمن وردپرس مملو از توسعه دهندگانی است که دائماً روی پوسته ها و افزونه های جدید کار می کنند. این افزونه ها می توانند رایگان یا پولی باشند. پلاگین ها و پوسته ها باید همیشه مستقیماً از وب سایت WordPress.org بارگیری شوند.

افزونه ها و پوسته های خارجی می توانند خطرناک باشند، زیرا شامل کدهایی است که در سرور شما اجرا می شوند. فقط به افزونه هایی که از یک منبع و توسعه دهنده معتبر تهیه شده اند، اعتماد کنید. علاوه بر این، شما باید افزونه ها و پوسته ها را به طور منظم به روز کنید، زیرا توسعه دهندگان به صورت دائم مشکلات امنیتی افزونه ها و پوسته ها را شناسایی و نسخه بدون مشکل آنها را ارائه می دهند.

 3. یک Virus Scanner و VPN نصب کنید

اگر وردپرس را در یک سرور شخصی و لوکال یا یک سرور که در دیتاسنتر قرار دارد، راه اندازی کرده اید حتماً باید یک ویروس یاب قوی بر روی سیستم عامل خود اجرا کنید. ابزارهای رایگان برای اسکن سایت وردپرسی وجود دارند که در مخزن وردپرس در دسترس می باشند. چند نمونه از افزونه های امنیتی و اسکن ویروس در وردپرس:

Wordfence Security

All In One WP Security & Firewall

iThemes Security

4. جلوگیری از حملات Brute Force

یکی از محبوب ترین و رایج ترین حملات وردپرس حملات brute force است. از اینگونه حملات هکر با استفاده از ربات ها و نرم افزارهای مخصوصی به صفحه ورود  مدیریت سایت حمله کرده و به صورت رندوم پسوردهای متعددی را تست می کند تا بتواند پسورد صحیح را تشخیص دهد. راهی ساده برای خنثی سازی حملات brute force وجود دارد. خبر بد این است که تعداد زیادی از دارندگان سایت ها از این راه حل استفاده نمی کنند. استفاده از افزونه امنیتی و فایروال All in One WPیکی از راه های مذکور است. این افزونه رایگان است و به شما اجازه می دهد تا محدودیت سختی در ورود به سیستم تعیین کنید. به عنوان مثال، پس از سه بار تلاش، پلاگین سایت را در برابر ورودهای بیشتر توسط آن آدرس IP برای مدت زمان تعیین شده قفل می کند. همچنین یک اعلان ایمیلی مبنی بر اینکه ویژگی قفل کردن فعال شده است دریافت خواهید کرد.

5. احراز هویت دو مرحله ای

این یک روش عالی برای ایمن سازی سایت شما می باشد؛ در این روش هکر نمی تواند بدون اجازه از شما وارد اکانت شما شود، برای ورود نیاز است تا احراز هویت دو مرحله انجام شود. به عنوان مثال، یک کامپیوتر و تلفن همراه، احراز هویت دو مرحله ای(2FA) برای ورود به وب سایت شما را به یک فرآیند دو مرحله ای تبدیل می کند. طبق معمول، اطلاعات ورود به مدیریت سایت را وارد می کنید، سپس یک فیلد جدید باز شده و از شما تقاضا می کند کد ارسالی به تلفن همراه خود را وارد نمایید. در صورتیکه کد صحیح نباشد به هیچ عنوان نمی توانید وارد مدیریت سایت خود شوید.

یک مرحله اضافی برای ورود به مدیریت سایت، امنیت سایت شما را به طور تصاعدی افزایش می دهد. لیستی از پلاگین های رایگان را که به شما در راه اندازی 2FA کمک می کنند در ادامه معرفی می شود:

Google Authenticator – Two Factor Authentication (2FA)

WP Two Factor Authentication with Telegram

SecSign

نتیجه

اگرچه نمی توان گفت سایتی به صورت 100٪ امن است، اما اقدامات زیادی وجود دارد که می توانید برای محافظت از وب سایت خود انجام دهید. با استفاده از فایروال خوب، به روز نگه داشتن پوسته ها و افزونه ها و اجرای دوره ای ویروس یاب می تواند امنیت سایت خود را تامین کنید. هرگز نباید فکر کنید "امنیت سایت من کامل است"، زیرا جنگ بین هکرها و مدیران وب سایت ها هرگز متوقف نخواهد شد. تنها با آگاهی از جدیدترین تهدیدها و نحوه دفع آنها می توانید امنیت سایبری و حریم خصوصی آنلاین را حفظ کنید. اگر قبلاً این کار را انجام نداده اید، اکنون زمان مناسبی برای یافتن چند سایت معتبر برای دریافت اخبار امنیتی و سایبری است. در خبرنامه آنها مشترک شوید یا حداقل به طور منظم به سایت هایی که اخبار امنیتی را منتشر می کنند مراجعه کنید. هم اکنون کلمه "cybersecurity news" را در گوگل جستجو کرده و جدیدترین اخبار مربوط به امنیت سایت و شبکه را مطالعه نمایید.

اشتراک گذاری:

نظرات

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *