Trdenje WordPress brez vtičnika: 10 ročnih korakov, ki jih mora poznati vsak skrbnik

Povzetek

Mnogi lastniki WordPress spletnih mest se zanašajo na varnostne vtičnike kot edino obrambo, vendar to lahko ustvari lažen občutek varnosti. Resnično utrjeno WordPress namestitev zahteva ročne konfiguracije, ki jih noben vtičnik ne more nadomestiti. Ta članek ponuja 10 konkretnih, korak za korakom ukrepov za utrditev, ki jih lahko takoj izvedete brez vtičnikov. Od nastavitve pravilnih dovoljenj za datoteke do onemogočanja XML-RPC, vsak korak obravnava določeno ranljivost. Naučili se boste, kako zakleniti wp-config.php, odstraniti brskanje po imenikih in še več. Z upoštevanjem teh korakov boste znatno zmanjšali napadalno površino, tudi če še naprej uporabljate varnostne vtičnike kot dodatno plast. Na koncu boste imeli ročno utrjeno WordPress spletno mesto, ki je veliko bolj odporno na pogoste napade.

Uvod

Namestili ste priljubljen varnostni vtičnik, konfigurirali požarni zid in redno izvajali preglede. Kljub temu je vaše WordPress spletno mesto lahko še vedno ranljivo. Varnostni vtičniki so dragoceni, vendar pogosto spregledajo nizko viseče sadje, ki ga ujame ročna utrditev. Zanašanje samo na vtičnike je kot zaklepanje vhodnih vrat, a puščanje odprtih oken. V tem članku se boste naučili 10 ročnih korakov utrditve, ki jih mora opraviti vsak skrbnik WordPressa, ne glede na to, katere vtičnike uporablja. Ti koraki ne zahtevajo znanja kodiranja in jih lahko opravite v manj kot uri. Začnimo utrjevati vaše spletno mesto od temeljev naprej.

1. Nastavite pravilna dovoljenja za datoteke

Ena najpogostejših napačnih konfiguracij so preveč permisivna dovoljenja za datoteke in imenike. V idealnem primeru naj bodo vse datoteke nastavljene na 644 in imeniki na 755. Datoteka wp-config.php je še posebej občutljiva – po namestitvi jo nastavite na 440 ali 400. Uporabite FTP odjemalec ali upravitelja datotek vašega gostitelja za prilagoditev dovoljenj. Če niste prepričani o trenutnih nastavitvah, izvedite hitro revizijo s skripto ali preverite prek ukazne vrstice z find /path -type f -exec chmod 644 {} \; in find /path -type d -exec chmod 755 {} \;. Ta preprosta sprememba prepreči nepooblaščenim uporabnikom branje ali spreminjanje kritičnih datotek.

2. Onemogočite urejanje datotek iz nadzorne plošče

Privzeto WordPress skrbnikom omogoča urejanje datotek tem in vtičnikov neposredno iz skrbniške plošče. Če napadalec pridobi dostop do skrbniškega računa, lahko vstavi zlonamerno kodo. Onemogočite to funkcijo tako, da v datoteko wp-config.php dodate naslednjo vrstico:

define('DISALLOW_FILE_EDIT', true);

To ne vpliva na vašo zmožnost nalaganja tem ali vtičnikov – samo odstrani vgrajeni urejevalnik datotek. Za legitimna urejanja uporabite IDE ali FTP.

3. Onemogočite brskanje po imenikih

Če je brskanje po imenikih omogočeno, lahko kdorkoli našteje vse datoteke v vaši mapi wp-content/uploads, kar lahko izpostavi zasebne podatke. To preprečite tako, da v datoteko .htaccess (Apache) ali enakovredno konfiguracijo dodate to vrstico:

Options -Indexes

Za Nginx dodajte autoindex off; v blok strežnika. Preizkusite tako, da obiščete URL imenika; namesto seznama datotek bi morali videti napako 403 Forbidden.

4. Onemogočite XML-RPC

XML-RPC je star protokol, ki se uporablja za oddaljeno objavljanje in povratne sledi. Je pogost vektor za napade z grobo silo in DDoS ojačitev. Če ga nujno ne potrebujete (npr. za vtičnik Jetpack ali mobilno aplikacijo), ga v celoti onemogočite. To dodajte v vaš .htaccess:

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

Alternativno uporabite vtičnik ali požarni zid vašega gostitelja za blokiranje dostopa. Po onemogočanju preizkusite, ali vaše spletno mesto še vedno deluje – večina sodobnih vtičnikov se ne zanaša več na XML-RPC.

5. Odstranite neuporabljene teme in vtičnike

Vsaka dodatna tema ali vtičnik poveča vašo napadalno površino. Tudi če so deaktivirani, je zastarelo kodo še vedno mogoče izkoristiti. Izbrišite vse teme, ki jih ne uporabljate aktivno, in odstranite vtičnike, ki niso več potrebni. To je še posebej pomembno za opuščene vtičnike, ki ne prejemajo več posodobitev. Za vodnik po korakih za čiščenje si oglejte naš članek o skriti nevarnosti opuščenih WordPress vtičnikov.

6. Spremenite predpono tabel v bazi podatkov

Privzeto WordPress uporablja wp_ kot predpono tabel v bazi podatkov. To je splošno znano in olajša napade SQL injection. Med namestitvijo spremenite predpono v nekaj edinstvenega. Če je vaše spletno mesto že v živo, ga lahko še vedno spremenite – vendar zahteva več truda. Uporabite vtičnik, kot je "Change Table Prefix", ali to storite ročno prek phpMyAdmin:

1. Izvozite svojo bazo podatkov.
2. Preimenujte vse tabele z novo predpono (npr. mysec_).
3. Posodobite wp-config.php z novo predpono.
4. Posodobite tabele options in usermeta, kjer se uporablja stara predpona.

Pred tem vedno naredite varnostno kopijo.

7. Omejite poskuse prijave

Napadi z grobo silo so najpogostejši način, kako napadalci pridobijo dostop. WordPress nima vgrajene omejitve poskusov prijave. To izvedite ročno z dodajanjem kode v functions.php vaše teme ali še bolje uporabite obvezni vtičnik. Alternativno lahko vaš ponudnik gostovanja to ponuja prek nadzorne plošče. Če imate raje vtičnik, izberite lahkega in dobro napisanega. Za širšo strategijo odzivanja na vdore si oglejte naš potek dela za sanacijo varnosti WordPress.

8. Spremenite skrbniško uporabniško ime

Nikoli ne uporabljajte "admin" kot uporabniško ime – to je prvi poskus v vsakem napadu z grobo silo. Če že imate račun s tem uporabniškim imenom, ustvarite nov skrbniški račun z edinstvenim imenom, nato izbrišite starega. Razmislite tudi o uporabi e-poštnega naslova za prijavo namesto uporabniškega imena.

9. Okrepite bazo soli in ključev

WordPress uporablja soli in ključe za šifriranje uporabniških sej in piškotkov. Če so ti ogroženi, lahko napadalci ponaredijo seje. Ustvarite nove, močne soli z uporabo WordPress soli generatorja. Kopirajte izhod in zamenjajte ustrezne vrstice v vašem wp-config.php. To počnite občasno, še posebej po varnostnem incidentu.

10. Omogočite samodejne posodobitve za jedro

Posodabljanje WordPress jedra je ključnega pomena. Omogočite samodejne posodobitve za manjše in večje izdaje tako, da v wp-config.php dodate:

define('WP_AUTO_UPDATE_CORE', true);

Pri večjih izdajah boste morda želeli najprej preizkusiti na testnem mestu, vendar ne odlašajte z varnostnimi posodobitvami. Kombinirajte to z rednimi ročnimi pregledi posodobitev vtičnikov in tem.

Zaključek

Ročna utrditev je temelj varnega WordPress spletnega mesta. Teh 10 korakov obravnava pogoste ranljivosti, ki jih skenerji in vtičniki pogosto spregledajo. Z njihovo implementacijo zmanjšate napadalno površino in pridobite mir. Ne pozabite, da je varnost stalen proces – občasno ponovno preglejte te konfiguracije. Za celovit pristop si oglejte naš proaktivni vodnik za revizijo varnosti WordPress. Začnite danes z enim korakom in gradite naprej. Varnost vašega spletnega mesta je odvisna od ukrepov, ki jih sprejmete zdaj.