Kaip atlikti savo WordPress įskiepių auditą dėl saugumo spragų

Santrauka

Daugiau nei 90% WordPress saugumo pažeidžiamumų kyla iš įskiepių, todėl jie yra pagrindinis atakos vektorius. Daugelis svetainių savininkų pasikliauja automatiniais skeneriais, tačiau praleidžia svarbius rankinius patikrinimus. Šiame straipsnyje pateikiamas praktinis, nuoseklus vadovas, kaip atlikti įskiepių auditą dėl dažnų trūkumų, tokių kaip SQL injekcija, tarpusavio scenarijai (XSS) ir nesaugus failų tvarkymas. Sužinosite, kaip peržiūrėti įskiepių administratoriaus puslapius, patikrinti failų leidimus, išbandyti įvesties validavimą ir patikrinti išvesties apsaugą – viskas be gilių programavimo žinių. Atlikdami šiuos veiksmus sumažinsite riziką būti įsilaužtiems ir sukursite atsparesnę svetainę. Reguliarūs rankiniai auditai papildo automatinius įrankius ir yra būtini nuolatinei apsaugai.

Kodėl įskiepiai yra didžiausia jūsų saugumo rizika

WordPress branduolys yra griežtai audituojamas ir taisomas, tačiau įskiepiai – sukurti tūkstančių nepriklausomų kūrėjų – slepia daugiausiai pažeidžiamumų. Remiantis tyrimais, apie 90% WordPress saugumo problemų kyla iš įskiepių, o temos sudaro 6%, o branduolio programinė įranga – tik 4%. Tai reiškia, kad įskiepiai, kuriuos pridedate dėl funkcijų, tokių kaip kontaktinės formos, SEO ar našumas, gali netyčia atverti duris užpuolikams.

Pasikliauti vien automatiniais saugumo įskiepiais, tokiais kaip Wordfence, yra gera pradžia, tačiau jie negali pagauti visko – ypač loginių klaidų ar prastai sukodintų individualių įskiepių. Norint giliau apsiginti, reikia atlikti rankinius įskiepių auditus. Šis vadovas ves jus per praktišką, pakartojamą procesą, kad nustatytumėte ir pašalintumėte dažnas įskiepių spragas, kol jos dar nėra išnaudotos.

Jei esate naujokas svetainių saugumo srityje, apsvarstykite galimybę paskaityti apie aktyvų WordPress saugumo auditą kaip pagrindą.

1 žingsnis: Peržiūrėkite įskiepių administratoriaus puslapius ir nustatymus

Pradėkite nuo kiekvieno įskiepio nustatymų puslapio naršydami savo WordPress administratoriaus sąsajoje. Ieškokite akivaizdžių pavojaus signalų:

• Ar yra failų redagavimo galimybių? Kai kurie įskiepiai leidžia redaguoti kodą tiesiogiai. Jei įjungta, išjunkite arba apribokite tik administratoriams naudodami define('DISALLOW_FILE_EDIT', true); wp-config.php faile.
• Ar įskiepis atskleidžia jautrius duomenis? Pavyzdžiui, atsarginio kopijavimo įskiepis, rodantis visus failų kelius ar duomenų bazės prisijungimus. Jei taip, sukonfigūruokite, kad ši informacija būtų paslėpta.
• Ar yra nereikalingų funkcijų? Jei įskiepis turi "naudotojų valdymo" funkciją, o jums reikia tik paprastos formos, apsvarstykite paprastesnę alternatyvą.

Pavyzdys: Talpyklos įskiepis, leidžiantis peržiūrėti talpykloje saugomus failus, gali netyčia atskleisti privatų turinį. Peržiūrėkite numatytuosius nustatymus ir juos užrakinkite.

2 žingsnis: Patikrinkite įskiepių failų struktūrą ir leidimus

Naudodami FTP klientą ar savo hostingo failų tvarkytuvę eikite į /wp-content/plugins/jusu-iskiepio-pavadinimas/. Ieškokite failų, kurie neturėtų būti viešai prieinami:

• README.txt arba readme.html: Dažnai atskleidžia versijų istoriją ir žinomus pažeidžiamumus. Apsvarstykite galimybę juos ištrinti arba apriboti prieigą per .htaccess.
• Testavimo ar derinimo failai: Tokie failai kaip test.php, debug.log ar info.php, kurių neturėtų būti gamybinėje aplinkoje. Jei randami, nedelsiant ištrinkite.
• Katalogai be index.php failo: Įsitikinkite, kad kiekviename kataloge yra index.php arba .htaccess failas, blokuojantis tiesioginį sąrašą. Kitaip užpuolikai gali naršyti failus.

Taip pat patikrinkite failų leidimus: katalogai turėtų būti 755, failai 644. Jei matote 777, tai pavojaus signalas – pakeiskite.

3 žingsnis: Išbandykite įvesties validavimą

Vienas dažniausių pažeidžiamumų yra naudotojų įvesčių nevalymas. Pabandykite įterpti kenksmingus duomenis į įskiepių formas, URL parametrus ar paieškos laukelius:

• SQL injekcija: Įveskite kabutę (') į įvesties lauką. Jei svetainė išmeta duomenų bazės klaidą, įskiepis gali būti pažeidžiamas.
• Tarpusavio scenarijai (XSS): Į teksto lauką įveskite <script>alert('XSS')</script>. Jei pasirodo JavaScript įspėjimas, įskiepis neišvalo išvesties.
• Kelio vaikščiojimas: Pabandykite ../../../etc/passwd failų įkėlimo ar atsisiuntimo laukuose. Jei matote failo turinį, tai rimta problema.

Įspėjimas: Kai kurios įvestys tikrinamos tik kliento pusėje. Naudokite įrankį, pvz., Burp Suite, arba tiesiog curl, kad apeitumėte kliento pusės patikras.

4 žingsnis: Patikrinkite išvesties apsaugą

Net jei įvestis yra išvalyta, išvestis turi būti tinkamai apsaugota. Pavyzdžiui, įskiepis, rodantis naudotojų pateiktus komentarus, turėtų naudoti esc_html() arba esc_attr(), kad neutralizuotų HTML. Patikrinkite įskiepio kodą (jei galite) arba ieškokite neišvalytos išvesties požymių:

• Peržiūrėkite puslapio šaltinį po bandomojo įrašo pateikimo. Jei matote plikas <script> žymas, išvestis nėra apsaugota.
• Naudokite naršyklės plėtinį, pvz., "XSS Me", kad automatizuotumėte kai kuriuos patikrinimus.

5 žingsnis: Patikrinkite teisių patikras

Įskiepis turėtų apriboti jautrius veiksmus atitinkamiems naudotojų vaidmenims. Išbandykite prisijungę kaip prenumeratoriaus ar autoriaus teises turintis naudotojas ir pabandykite atlikti administratoriaus veiksmus (pvz., keisti svetainės nustatymus, trinti failus). Jei įskiepis netikrina teisių (pvz., current_user_can('manage_options')), žemesnių teisių naudotojai gali padidinti savo teises.

6 žingsnis: Ieškokite kietai įkoduotų paslapčių ir užpakalinių durų

Nuskaitykite įskiepių failus, ieškodami kietai įkoduotų API raktų, duomenų bazės slaptažodžių ar slaptų URL. Taip pat saugokitės obfuskavusio kodo, eval iškvietimų ar base64 koduotų eilučių – tai dažnai yra kenksmingo kodo požymiai. Ieškokite eval(, base64_decode ir preg_replace su /e modifikatoriumi (pasenęs, bet vis dar naudojamas). Jei juos rasite ir jie nėra teisėtos bibliotekos dalis, skambinkite pavojaus varpais.

7 žingsnis: Naudokite automatinius skenerius kaip atsarginę priemonę

Rankiniai auditai yra išsamūs, bet atima daug laiko. Pirmąjį patikrinimą automatizuokite naudodami tokius įrankius kaip WPScan (nemokamas) ar komerciniai skeneriai. Jie aptinka žinomus pažeidžiamumus populiariuose įskiepiuose. Išsamų kontrolinį sąrašą rasite mūsų WordPress saugumo audito kontroliniame sąraše.

8 žingsnis: Peržiūrėkite atnaujinimų istoriją ir pakeitimų žurnalą

Prieš diegdami įskiepį, patikrinkite jo atnaujinimų dažnumą ir pakeitimų žurnalą wordpress.org. Įskiepis, kuris nebuvo atnaujintas daugiau nei metus, gali turėti nepataisytų pažeidžiamumų. Taip pat, kai įmanoma, įjunkite automatinius įskiepių atnaujinimus, bet prieš tai išbandykite testinėje svetainėje, kad išvengtumėte trikdančių pakeitimų.

Įspėjimai ir geriausia praktika

Rankinis auditas reikalauja tam tikrų techninių įgūdžių. Jei nesate patogiai įvaldę PHP skaitymo ar FTP naudojimo, apsvarstykite galimybę pasamdyti profesionalą arba laikykitės gerai žinomų patikimų kūrėjų įskiepių. Niekada tiesiogiai nemodifikuokite įskiepio kodo – jūsų pakeitimai bus perrašyti atnaujinimo metu. Vietoj to naudokite antrines temas arba individualias funkcijas.

Atminkite, kad joks auditas nėra tobulas. Derinkite rankinius patikrinimus su reguliariais atnaujinimais, stipriais slaptažodžiais ir sustiprinta saugumo laikysena.

Išvada

Įskiepiai yra WordPress gyvybė, tačiau jie taip pat yra didžiausia jos pažeidžiamumo vieta. Atlikdami struktūrizuotą rankinį auditą – peržiūrėdami nustatymus, tikrindami failus, testuodami įvestis ir išvestis, tikrindami leidimus ir ieškodami užpakalinių durų – galite sugauti trūkumus, kol jais nepasinaudojo užpuolikai. Įsipareigokite atlikti savo įskiepių auditą kas kelis mėnesius, ypač po didesnių atnaujinimų ar pridėjus naujų įskiepių. Šis aktyvus įprotis žymiai sumažina jūsų svetainės rizikos paviršių.

Pradėkite šiandien: pasirinkite svarbiausią savo įskiepį ir atlikite šiuos aštuonis žingsnius. Jūsų ateities aš (ir jūsų lankytojai) jums padėkos.