WordPress stiprināšana bez spraudņa: 10 manuālas darbības, kas jāzina katram administratoram

Kopsavilkums

Daudzi WordPress vietņu īpašnieki paļaujas uz drošības spraudņiem kā vienīgo aizsardzību, taču tas var radīt viltus drošības sajūtu. Patiesi stiprinātai WordPress instalācijai ir nepieciešamas manuālas konfigurācijas, kuras neviens spraudnis nevar aizstāt. Šajā rakstā ir sniegti 10 konkrēti, soli pa solim veicami stiprināšanas pasākumi, kurus varat īstenot uzreiz bez jebkāda spraudņa. Sākot ar pareizu failu atļauju iestatīšanu līdz XML-RPC atspējošanai, katrs solis risina konkrētu ievainojamību. Jūs uzzināsiet, kā bloķēt savu wp-config.php, noņemt direktoriju pārlūkošanu un vēl vairāk. Šo soļu izpilde ievērojami samazinās jūsu uzbrukuma virsmu, pat ja turpināsiet izmantot drošības spraudņus kā papildu slāni. Beigās jums būs manuāli stiprināta WordPress vietne, kas ir daudz izturīgāka pret izplatītiem uzbrukumiem.

Ievads

Jūs esat instalējuši populāru drošības spraudni, konfigurējuši ugunsmūri un veikuši regulāras skenēšanas. Tomēr jūsu WordPress vietne joprojām var būt neaizsargāta. Drošības spraudņi ir vērtīgi, taču tie bieži palaiž garām zem karājošos augļus, kurus noķer manuāla stiprināšana. Paļauties tikai uz spraudņiem ir kā aizslēgt priekšējās durvis, bet atstāt logus vaļā. Šajā rakstā jūs uzzināsiet 10 manuālas stiprināšanas darbības, kas jāveic katram WordPress administratoram neatkarīgi no tā, kādus spraudņus viņi izmanto. Šīs darbības neprasa programmēšanas iemaņas un tās var veikt mazāk nekā stundas laikā. Sāksim nostiprināt jūsu vietni no pamatiem.

1. Iestatiet pareizās failu atļaujas

Viena no visbiežāk sastopamajām nepareizajām konfigurācijām ir pārāk brīvas failu un direktoriju atļaujas. Ideālā gadījumā visiem failiem jābūt 644 un direktorijiem 755. Īpaši sensitīvs ir wp-config.php fails — iestatiet to uz 440 vai 400 pēc instalācijas. Izmantojiet FTP klientu vai sava hostinga failu pārvaldnieku, lai pielāgotu atļaujas. Ja neesat pārliecināts par saviem pašreizējiem iestatījumiem, veiciet ātru auditu, izmantojot skriptu vai pārbaudiet komandrindā ar find /path -type f -exec chmod 644 {} \; un find /path -type d -exec chmod 755 {} \;. Šī vienkāršā izmaiņa neļauj neatļautiem lietotājiem lasīt vai modificēt kritiskus failus.

2. Atspējojiet failu rediģēšanu no paneļa

Pēc noklusējuma WordPress ļauj administratoriem rediģēt motīvu un spraudņu failus tieši no administrācijas paneļa. Ja uzbrucējs iegūst piekļuvi administratora kontam, viņš var ievietot ļaunprātīgu kodu. Atspējojiet šo funkciju, pievienojot šādu rindiņu savam wp-config.php failam:

define('DISALLOW_FILE_EDIT', true);

Tas neietekmē jūsu iespēju augšupielādēt motīvus vai spraudņus — tas tikai noņem iekšējo failu redaktoru. Izmantojiet IDE vai FTP likumīgai rediģēšanai.

3. Atspējojiet direktoriju pārlūkošanu

Ja direktoriju pārlūkošana ir iespējota, ikviens var apskatīt visus failus jūsu wp-content/uploads mapē, potenciāli atklājot privātus datus. Novērsiet to, pievienojot šo rindiņu savam .htaccess failam (Apache) vai līdzvērtīgai konfigurācijai:

Options -Indexes

Nginx gadījumā servera blokā pievienojiet autoindex off;. Pārbaudiet, apmeklējot direktorija URL; jums vajadzētu redzēt kļūdu 403 Forbidden, nevis failu sarakstu.

4. Atspējojiet XML-RPC

XML-RPC ir vecs protokols, ko izmanto attālinātai publicēšanai un atsauksmēm. Tas ir bieži sastopams vektors brutālā spēka uzbrukumiem un DDoS pastiprināšanai. Ja vien jums tas nav absolūti nepieciešams (piemēram, Jetpack spraudnim vai mobilajai lietotnei), atspējojiet to pilnībā. Pievienojiet šo .htaccess failam:

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

Alternatīvi izmantojiet spraudni vai sava hostinga ugunsmūri, lai bloķētu piekļuvi. Pēc atspējošanas pārbaudiet, vai jūsu vietne joprojām darbojas — lielākā daļa mūsdienu spraudņu vairs nepaļaujas uz XML-RPC.

5. Noņemiet neizmantotos motīvus un spraudņus

Katrs papildu motīvs vai spraudnis palielina jūsu uzbrukuma virsmu. Pat ja tie ir deaktivizēti, novecojis kods joprojām var tikt izmantots. Dzēsiet visus motīvus, kurus aktīvi neizmantojat, un noņemiet spraudņus, kas vairs nav nepieciešami. Tas ir īpaši svarīgi pamestiem spraudņiem, kas vairs nesaņem atjauninājumus. Soli pa solim tīrīšanas ceļvedim skatiet mūsu rakstu par abandonēto WordPress spraudņu slēptajām briesmām.

6. Mainiet datubāzes tabulu prefiksu

Pēc noklusējuma WordPress datubāzē izmanto tabulu prefiksu wp_. Tas ir plaši pazīstams un atvieglo SQL injekcijas uzbrukumus. Instalācijas laikā mainiet prefiksu uz kaut ko unikālu. Ja jūsu vietne jau ir tiešsaistē, to joprojām var mainīt — lai gan tas prasa vairāk pūļu. Izmantojiet spraudni, piemēram, "Change Table Prefix", vai dariet to manuāli, izmantojot phpMyAdmin:

1. Eksportējiet datubāzi.
2. Pārsauciet visas tabulas, izmantojot jaunu prefiksu (piemēram, mysec_).
3. Atjauniniet wp-config.php ar jauno prefiksu.
4. Atjauniniet tabulas options un usermeta, kurās tiek izmantots vecais prefikss.

Vienmēr izveidojiet rezerves kopiju pirms mēģinājuma.

7. Ierobežojiet pieteikšanās mēģinājumus

Brutālā spēka uzbrukumi ir visizplatītākais veids, kā uzbrucēji iegūst piekļuvi. WordPress nav iebūvētas pieteikšanās mēģinājumu ierobežošanas. Ieviesiet to manuāli, pievienojot kodu sava motīva functions.php failā vai, vēl labāk, izmantojiet must-use spraudni. Alternatīvi jūsu hostinga nodrošinātājs var piedāvāt to caur vadības paneli. Ja dodat priekšroku spraudnim, izvēlieties vieglu un labi uzrakstītu. Par plašāku stratēģiju pārkāpumu novēršanai skatiet mūsu WordPress drošības atjaunošanas darbplūsmu.

8. Mainiet administratora lietotājvārdu

Nekad neizmantojiet "admin" kā savu lietotājvārdu — tas ir pirmais minējums jebkurā brutālā spēka uzbrukumā. Ja jums jau ir konts ar šādu lietotājvārdu, izveidojiet jaunu administratora kontu ar unikālu nosaukumu, pēc tam dzēsiet veco. Apsveriet arī iespēju pieteikties, izmantojot e-pasta adresi, nevis lietotājvārdu.

9. Nostipriniet datubāzes sāļus un atslēgas

WordPress izmanto sāļus un atslēgas, lai šifrētu lietotāju sesijas un sīkfailus. Ja tie tiek apdraudēti, uzbrucēji var izveidot viltotas sesijas. Ģenerējiet jaunus, spēcīgus sāļus, izmantojot WordPress sāļu ģeneratoru. Kopējiet izvadi un aizstājiet atbilstošās rindiņas savā wp-config.php. Dariet to periodiski, īpaši pēc drošības incidenta.

10. Iespējojiet automātiskos kodola atjauninājumus

WordPress kodola atjaunināšana ir ļoti svarīga. Iespējojiet automātiskos atjauninājumus nelieliem un lieliem izlaidumiem, pievienojot šo wp-config.php failam:

define('WP_AUTO_UPDATE_CORE', true);

Lieliem izlaidumiem ieteicams vispirms testēt testa vietnē, taču neaizkavējiet drošības atjauninājumus. Apvienojiet to ar regulārām manuālām spraudņu un motīvu atjauninājumu pārbaudēm.

Secinājums

Manuāla stiprināšana ir drošas WordPress vietnes pamats. Šie 10 soļi risina izplatītas ievainojamības, kuras skeneri un spraudņi bieži nepamana. Tos ieviešot, jūs samaziniet savu uzbrukuma virsmu un iegūstat sirdsmieru. Atcerieties, ka drošība ir nepārtraukts process — periodiski pārskatiet šīs konfigurācijas. Visaptverošai pieejai skatiet mūsu proaktīvo WordPress drošības audita ceļvedi. Sāciet šodien ar vienu soli un veidojiet tālāk. Jūsu vietnes drošība ir atkarīga no darbībām, ko veicat tagad.