CMS WordPress je dobre chránený systém, ale chyby možno nájsť v každom systéme. Vývojári WordPress sa s každým novým vydaním snažia urobiť ochranu CMS spoľahlivejšou, ale útočníci tiež nesedia nečinne. Preto, aby ste ochránili svoje stránky pred hackermi, vírusmi a útokmi, budete musieť sami prijať nejaké opatrenia.

Môžem dať niekoľko praktické rady na zabezpečenie WordPress, ktoré vám pomôže chráňte svoj web WordPress pred základnými hrozbami, vírusmi a útokmi.

Základné opatrenia na ochranu WordPress

Ochrana WordPress pred základnými hrozbami nie je náročná, je potrebných len niekoľko krokov. Na zjednodušenie úlohy vám odporúčam použiť doplnok „Lepšie zabezpečenie WP“.

Po nainštalovaní a aktivácii doplnku na WordPress prejdite na panel správcu stránky na stránku nastavení „Lepšie zabezpečenie WP“ a pre každý prípad vytvorte záložnú kópiu databázy.

Potom, aby ste povolili doplnku vykonávať zmeny na vašich stránkach a súboroch motora, musíte udeliť povolenie kliknutím na príslušné tlačidlo.

Na ďalšej strane, aby ste chrániť stránku pred základné útoky , musíte túto možnosť povoliť kliknutím na príslušné tlačidlo.

To však nie je všetko. Po splnení prvých požiadaviek pluginu sa pred vami otvorí tabuľka, v ktorej budú vyznačené všetky potenciálne miesta zraniteľnosti vašej stránky. Ak chcete chrániť svoj web WordPress, musíte opraviť všetky bezpečnostné chyby.

Odstránenie zraniteľností WordPress

Uvidíte približne nasledujúcu tabuľku zraniteľností, v ktorej sú kritické zraniteľnosti zvýraznené červenou farbou a nekritické zraniteľnosti sú zvýraznené žltou a modrou farbou, ale je potrebné ich tiež odstrániť.

Vzal som si napríklad štandardný nezabezpečený blog WordPress. Poďme spoločne opraviť všetky známe zraniteľnosti WordPress.

1. Kontrola zložitosti hesla pre všetkých používateľov

Ak chcete poskytnúť zložité heslá pre všetkých používateľov, musíte opraviť prvú zraniteľnosť. Kliknite na odkaz „Opraviť kliknutím“ a na stránke, ktorá sa otvorí, vyberte položku ako na obrázku nižšie „Úloha silného hesla – predplatiteľ“. Takto budú heslá všetkých vašich používateľov testované na obtiažnosť.

2. Odstránenie dodatočných informácií z titulu WordPress

WordPress štandardne zverejňuje množstvo dodatočných informácií v hlavičke stránky, čo môžu útočníci využiť. Ak chcete takéto informácie odstrániť, začiarknite príslušné políčko. Buďte však opatrní, táto akcia môže viesť k nefunkčnosti niektorých aplikácií a služieb, ktoré akýmkoľvek spôsobom pristupujú k vášmu blogu cez protokol XML-RPC.

3. Skryť aktualizácie od používateľov, ktorí nie sú správcami

Tretí bod je pre nás v poriadku, ak nie, tak vám odporúčam skryť dostupné aktualizácie pred nesprávcami. Tieto informácie budú pre vašich používateľov stále zbytočné, ale útočníci ich môžu použiť.

4. Zmeňte prihlasovacie meno správcu

Predvolený účet správcu WordPress je admin a každý o tom vie. Preto sa vaše stránky ľahšie hacknú. Ak chcete sťažiť hacknutie stránky, odporúčam vám premenovať účet správcu. Ak to chcete urobiť, kliknite na odkaz „Pre premenovanie správcu kliknite sem“ a do príslušného poľa zadajte nové meno správcu.

5. Zmeňte ID správcu

V predvolenom nastavení je správcovskému účtu priradené ID = 1, ktoré je známe aj útočníkom, preto je potrebné tento parameter zmeniť. Lepší bezpečnostný doplnok wp zmení ID správcu jedným kliknutím.

6. Zmeňte predponu tabuliek databázy WordPress

V predvolenom nastavení majú tabuľky databázy WordPress predponu wp_. Odporúča sa zmeniť predponu na akúkoľvek inú. Aj keď je vaša databáza už naplnená informáciami, lepší bezpečnostný doplnok wp zmení predponu vašich databázových tabuliek bez straty údajov. Pred touto akciou sa odporúča urobiť záložnú kópiu databázy, čo sme urobili hneď na začiatku.

7. Naplánujte si zálohy

Ak chcete pravidelne vytvárať záložnú kópiu databázy, nastavte si určité podmienky a zadajte svoj e-mail, na ktorý sa budú kópie databázy odosielať. V prípade potreby teda môžete kedykoľvek obnoviť databázu z kópie.

8. Odmietnite v určitom čase prístup na panel správcu

Tento parameter nie je kritický, ale ak sa obávate o bezpečnosť svojej stránky WordPress, možno by ste mali zakázať chaotický prístup na panel správcu a povoliť prístup iba v určitých časoch, napríklad keď sa chystáte pracovať so stránkou.

9. Blokujte podozrivých hostiteľov

Ak poznáte IP adresy podozrivých hostiteľov, z ktorých môže byť vykonaný útok na vašu stránku, pridajte tieto IP adresy do zoznamu zákazov a prístup na stránku z týchto IP adries bude uzavretý.

10. Chráňte prihlásenie pred hrubou silou

Plugin štandardne chráni prihlásenie pred hrubou silou a po 3 neúspešných pokusoch zablokuje IP adresu.

11. Skryť oblasť správcu WordPress

Tento bod nie je kritický, ale stále bude užitočné skryť oblasť správy WordPress. Skrytie administračného panela WordPress sa vykonáva premenovaním adresára admin panela. Fyzicky bude panel správcu umiestnený v rovnakom priečinku, ale nebude dostupný na adrese http: //your_site.ru/wp-admin.

Skryte panel správcu WordPress, ak to chcete urobiť, zadajte nové názvy adresárov do príslušných polí a začiarknutím políčka povoľte túto možnosť.

12. Chráňte súbor .htaccess a skryte adresáre pred prezeraním

Odporúčam vám skryť adresáre stránok pred voľným prezeraním a tiež chrániť súbor .htaccess. Prostredníctvom panela s adresou môžete tiež odmietnuť vykonanie rôznych požiadaviek na stránku. Pripomíname, že tieto akcie môžu byť v konflikte s niektorými doplnkami a témami.

18. Zakážte zapisovanie súborov wp-config.php a .htaccess

Niektoré body boli vykonané štandardne, preto vám navrhujem postupovať podľa najdôležitejšieho bodu 18 ochrany, ktorý pomôže zabrániť prepísaniu súborov wp-config.php a .htacces. Tento bod je veľmi dôležitý, pretože výkon vašej stránky môže závisieť od integrity súborov wp-config.php a .htacces.

20. Premenujte priečinok wp-content

Môžete tiež premenovať priečinok s hlavným obsahom stránky wp-content. Neštandardné umiestnenie súborov sťaží útočníkom prístup k nim.

Redakčný systém WordPress pre svoju nesmiernu popularitu láka aj odporcov. „Motor“ je navyše distribuovaný bezplatne, takže je ešte viac vystavený riziku narušenia bezpečnosti. Samotný WordPress je pomerne bezpečný softvér. Otvory sa začnú otvárať, keď si používateľ nainštaluje doplnky a témy.

Nezabezpečené doplnky a témy

Bohužiaľ, nemôžete si byť vždy istí, že témy alebo doplnky sú bezpečné a neškodné. Ich platené verzie majú veľmi špecifických vývojárov, ktorí si cenia ich reputáciu. Výsledkom je, že ich produktov je viac Vysoká kvalita a pravdepodobnosť, že sa k nim dostane aj nejaký škodlivý kód, je pomerne nízka. Ale ako naše životná skúsenosť, existujú výnimky z akéhokoľvek pravidla. Niektorí pridávajú neškodný kód na poskytnutie spätnej väzby, zatiaľ čo iní to robia na veľmi odlišné účely. Dokonca aj v samotnom „motore“ sú niekedy odhalené zraniteľnosti, ktoré umožňujú útočníkovi vložiť svoj kód do jeho jadra.

Antivírusové doplnky

Našťastie existuje množstvo užitočných riešení pre WordPress, ktoré dokážu plne skenovať váš zdroj na všetky druhy zraniteľností a škodlivého kódu a v prípade zistenia ich špecifického „biotopu“ alebo ich úplne neutralizovať. Pozrime sa na niektoré veľmi kvalitné a spoľahlivé doplnky na ochranu vášho webu WordPress.

Bezpečnosť Sucuri

Bezplatný doplnok Sucuri Security je popredným bezpečnostným nástrojom a používa ho veľké množstvo používateľov WordPress. Riešenie poskytuje stránkam niekoľko typov a úrovní ochrany, medzi ktorými možno rozlíšiť:

• skenovanie všetkých súborov na prítomnosť škodlivého kódu;
• monitorovanie integrity súborov;
• zaznamenávanie všetkých operácií súvisiacich s bezpečnosťou;
• identifikácia a upozornenie na riziko umiestnenia webovej stránky na čiernu listinu ESET, Norton, AVG atď.;
• automatické vykonanie určitých akcií v prípade detekcie manipulácie.

Zabezpečenie Wordfence

Wordfence Security je riešenie, ktoré vykonáva hĺbkovú kontrolu webového zdroja na prítomnosť zraniteľností a škodlivého kódu nielen v súboroch tém a pluginov, ale aj v samotnom jadre „engine“.

Plugin používa Kto je-služby na monitorovanie pripojení. Vďaka zabudovanému firewallu je schopný blokovať celé siete. Hneď ako sa zistí sieťový útok, sada pravidiel brány firewall sa automaticky aktualizuje, aby bolo možné čo najefektívnejšie čeliť hrozbám.

Antivírus

Antivírusový doplnok každý deň kontroluje každý súbor na stránke (vrátane tém, databázy) a odosiela email-nahlásiť sa na uvedenú adresu. navyše Antivírus vykonáva skenovanie a čistenie stôp aj pri odstraňovaní pluginov.

Quttera Web Malware Scanner

Zoznam skenovania a detekcie výkonného nástroja Quttera Web Malware Scanner obsahuje nasledujúce chyby zabezpečenia:

• škodlivé skripty;
• Trójske červy
• spyware;
• zadné dvierka;
• využíva;
• presmerovania;
• škodlivé iframe;
• zahmlievanie atď.

Okrem tohto zoznamu doplnok kontroluje prítomnosť lokality na čiernej listine.

Zabezpečenie proti malvéru a brána firewall Brute-Force

Doplnenie Anti-Malware Security a Brute-Force Firewal l je navrhnutý tak, aby skenoval a neutralizoval aktuálne známe zraniteľnosti, vrátane skriptov zadné dvere... Antivírusové databázy doplnku sa automaticky aktualizujú, čo umožňuje odhaliť najnovšie vírusy a exploity. Doplnok má vstavaný firewall, ktorý blokuje sieťové hrozby.

Funkciou doplnku je poskytnúť dodatočnú ochranu pre stránku (ochrana proti hrubou silou-, DDoS-útoky, ako aj kontrola integrity jadra WordPress). Ak to chcete urobiť, stačí sa zaregistrovať na gotmls.net.

WP Antivirus Site Protection

WP Antivirus Site Protection kontroluje všetky súbory lokality citlivé na bezpečnosť vrátane tém, doplnkov a stiahnutých súborov v priečinku nahrávanie... Nájdený škodlivý kód a vírusy budú okamžite odstránené alebo presunuté do karantény.

Využite skener

Doplnok Exploit Scanner sa zaoberá výlučne detekciou podozrivého kódu (súbory stránok a databáza). Akonáhle sa niečo nájde, správca stránky bude o tom okamžite informovaný.

Zabezpečenie Centrora WordPress

Komplexné riešenie Centrora WordPress Security je mnohostranný nástroj na ochranu webového zdroja pred všetkými typmi hrozieb. Zahŕňa nasledujúce funkcie:

• hľadať škodlivý kód, spam, SQL- injekcie;
• prítomnosť brány firewall;
• prítomnosť skenera na kontrolu prístupových práv;
• vykonaním zálohy.

Kliknutím na jedno z tlačidiel zistíte, či sa vám článok páčil alebo nie.

Páči sa mi to páči sa mi to

WordPress je jeden z najpopulárnejších systémov na správu obsahu, ktorý sa používa na všetko od blogovania až po elektronický obchod. Existuje široká škála doplnkov a tém WordPress. Stáva sa, že niektoré z týchto rozšírení sa dostanú do rúk webmasterov po tom, čo na nich útočník pracoval.

Vo svoj prospech by v nich mohol zanechať sponzorované odkazy alebo kód, pomocou ktorého bude prevádzkovať vašu stránku. Mnoho používateľov WordPressu nemá veľa skúseností s programovaním webu a nevedia, ako si s takouto situáciou poradiť.

Pre nich som skontroloval deväť najúčinnejších nástrojov na odhaľovanie škodlivých zmien v kóde fungujúceho webu alebo nainštalovaných doplnkov.

1. Kontrola pravosti témy (TAC)

Theme Authenticity Checker (TAC) je doplnok WordPress, ktorý skenuje každú nainštalovanú tému, či neobsahuje podozrivé prvky, ako sú neviditeľné odkazy alebo šifrovaný kód Base64.

Keď sa takéto prvky nájdu, TAC ich nahlási správcovi WordPress, čo mu umožní nezávisle analyzovať a v prípade potreby opraviť zdrojové súbory tém:

2. Využite skener

Exploit Scanner skenuje všetok zdrojový kód vašej stránky a obsah databázy WordPress, či neobsahuje pochybné inklúzie. Rovnako ako TAC, ani tento doplnok automaticky nezabraňuje útokom ani nerieši ich následky.

Správcovi stránky zobrazuje iba zistené príznaky infekcie. Ak chcete odstrániť škodlivý kód, musíte to urobiť ručne:

3. Bezpečnosť Sucuri

Sucuri je známe bezpečnostné riešenie WordPress. Doplnok Sucuri Security monitoruje súbory nahrané na stránku WordPress, vedie svoj vlastný zoznam známych hrozieb a tiež vám umožňuje vzdialene skenovať stránku pomocou bezplatného skenera Sucuri SiteCheck Scanner. Za mesačný poplatok môžete ďalej posilniť ochranu svojich stránok inštaláciou výkonného Sucuri Website Firewall:

4. Anti-Malware

Anti-Malware je doplnok WordPress schopný detekovať a odstraňovať trójske skripty, zadné vrátka a iný škodlivý kód.

Možnosti skenovania a odstránenia sú konfigurovateľné. Tento plugin je možné použiť po bezplatnej registrácii na gotmls.

Plugin pravidelne pristupuje na webovú stránku výrobcu, prenáša na ňu štatistiky detekcie malvéru a prijíma aktualizácie. Preto, ak nechcete na svoje stránky inštalovať doplnky, ktoré sledujú jeho prácu, mali by ste sa vyhnúť používaniu Anti-Malware:

5.WP Antivirus Site Protection

WP Antivirus Site Protection je doplnok, ktorý kontroluje všetky súbory nahrané na web, vrátane tém WordPress.

Plugin má vlastnú databázu podpisov, ktorá sa automaticky aktualizuje cez web. Vie, ako odstrániť hrozby v automatickom režime, upozorniť správcu stránky e-mailom a oveľa viac.

Plugin je nainštalovaný a funguje bezplatne, no má ich niekoľko platené doplnky stojí za to venovať pozornosť:

6. Antivírus pre WordPress

AntiVirus for WordPress je ľahko použiteľný doplnok, ktorý dokáže pravidelne skenovať vaše stránky a odosielať bezpečnostné upozornenia prostredníctvom e-mailu. Doplnok má prispôsobiteľný whitelist a ďalšie funkcie:

7. Quterra Web Malware Scanner

Skener Quterra kontroluje zraniteľnosť stránky, vkladanie kódu tretích strán, vírusy, zadné vrátka atď. Skener má také zaujímavé funkcie ako heuristické skenovanie, detekcia externých odkazov.

Základné funkcie skenera sú bezplatné, pričom niektoré doplnková služba bude vás stáť 60 dolárov ročne:

8. Wordfence

Ak hľadáte komplexné riešenie bezpečnostných problémov vášho webu, pozrite si Wordfence.

Tento plugin poskytuje trvalú ochranu WordPressu pred známymi typmi útokov, dvojfaktorovú autentifikáciu, podporu pre „čiernu listinu“ IP adries počítačov a sietí využívaných hackermi a spamermi, skenovanie stránok na známe zadné vrátka.

Tento plugin je v základnej verzii zadarmo, no disponuje aj prémiovou funkcionalitou, za ktorú si výrobca účtuje mierny mesačný poplatok.

Je smiešne, že niekedy udalosti v živote vypadnú. Narazil som na skvelý kurz na Udemy o moderných spôsoboch ochrany a hackovania stránok. Pri zlepšovaní úrovne zručností som na svojom blogu vynechal vírusovú infekciu. S najväčšou pravdepodobnosťou sa používatelia WordPress tak či onak stretli s príznakmi, ktoré popíšem neskôr. Ak nie, máte šťastie. Ja sám som veľmi na dlhú dobu na stránkach na ničom nelipli a premýšľali o tom, ako sa im stále darí infikovať ich webové zdroje. Ešte v roku 2014 ma prekvapili správy na fórach, že ich stránka s výborným návštevníkom bola jednoducho infikovaná a odobratá.

A tak dnes ráno prišiel poštou list od môjho hostiteľa, ktorý ma zmiatol. Áno, bol som milo prekvapený, že ihc monitoruje stránky na prítomnosť škodlivého softvéru, ale správa, že jeden súbor bol v noci bez môjho vedomia zmenený a toto podozrenie na vírusovú aktivitu vyvolalo chaotické emócie. V skutočnosti to bolo potvrdenie mojich podozrení.

Pred časom som zistil, že metrika obsahuje prechody na stránky, ktoré jednoducho nemôžem napísať do svojich príspevkov. Keď som sa pokúsil nájsť tieto odkazy hlúpo cez blogový vyhľadávač, bol som presmerovaný na Apache s chybovým hlásením. Už vtedy som tušil, že niečo nie je v poriadku, siahol som do spisu Vyhľadávanie.php aktívna téma, v ktorej som videl zahmlený kód. Potom ma to dostalo do strnulosti, ale pre nedostatok času som ďalej nekopal. Ako sa ukázalo márne. Koniec koncov, toto bol jeden z príznakov infekcie.

Príklad kódovaného malvéru

Bláhovo som dúfal v prostriedok na odhaľovanie škodlivého kódu z rôznych služieb, ktorými internet prechádza. Všetci mi „šťastne“ oznámili, že lokalita je čistá ako ranná rosa.

Predstavte si paradoxnú situáciu – je tu vypnutá funkcia vyhľadávania, je tam zahmlený php kód, aby nešťastný webmaster nevidel „darček“, a antivírusové služby jednoducho mlčia.

Ale späť k našim baranom, presnejšie k lokalitám. Na všetkých týchto stránkach mám dvojúrovňové oprávnenie. Možno to zachránilo hackera pred únosom stránky. Dva dni po infikovaní search.php Dostal som upozornenie z ihc.ru na moju poštu, že niektoré súbory boli zmenené a ak som nič neurobil, potom sa odporúča skontrolovať pomocou antivírusu, ktorý poskytuje samotný hosting. No a tak sa naskytla príležitosť otestovať tento antivírus, škoda, že moja obľúbená stránka bola len testovacím predmetom 🙁

Výsledok kontroly ma, mierne povedané, zmiatol. Antivírus prehľadával stránku asi štyridsať minút a potom poslal svoj „verdikt“. Infikovaných bolo 42 súborov...

Bolo to tu, aby sa chytil za hlavu a premýšľal o tom, ako sa niečo také môže stať vo všeobecnosti. Je samozrejmé, že došlo k zneužitiu. Ale o tom neskôr.

Miesto bolo potrebné ošetriť, ale na to ho bolo potrebné dôkladne preskúmať. Áno, dalo sa to urobiť oveľa jednoduchšie - zlúčiť výpis databázy, preniesť obrázky z wp-obsahu a znova to všetko nahrajte do čerstvo nainštalovaného motora WordPress. Ale „ľahší“ neznamená „lepší“. V skutočnosti, bez toho, aby sme vedeli, čo sa zmenilo, by sa dalo očakávať, že sa diera objaví aj na znovu nahranej stránke. A potom bolo správne stať sa novovyrazeným Sherlockom Holmesom, aby sme mohli vykonať úplný audit stránky.

Hľadanie škodlivého softvéru je ako detektívna práca

Úprimne, také vzrušenie a záujem som už dlho nezažil. Áno, veľmi mi pomohol antivírus z hostingu, ktorý naznačil, v ktorých súboroch našiel zmeny. Ani on však nedokázal úplne odhaliť všetko, keďže kód sa striedal so zahmlievaním a banálnym hex kódovaním pomocou škodlivého js. Bolo potrebné urobiť veľa s perami a použiť všetky nástroje tretích strán len ako pomocníkov.

Spustíme teda editor kódu a pozrieme sa na infikované súbory. V skutočnosti sa v kóde „spaľujú“ pomerne rýchlo kvôli ich šifrovaniu. Zďaleka to však neplatí všade. Niekedy bolo potrebné analyzovať kód súboru php riadok po riadku a zistiť, čo je na ňom zlé. Hneď vám prezradím, že to bolo so súbormi tém. V tomto prípade budú originálne súbory tém veľmi užitočné na porovnanie, ak si nie ste istí, na čo presne tá či oná funkcia slúži (a koniec koncov, správne napísaný vírus by mal dediť čo najmenej).

Pozrime sa však na všetko pekne po poriadku. Na začiatku článku som už zverejnil screenshot kódu zahmleného vírusom. Pomocou zdroja https://malwaredecoder.com/ ho môžete dekódovať do stráviteľnej podoby a študovať. V mojom prípade niektoré súbory obsahovali injekciu. Toto všetko vymažeme do pekla.

Niekedy však môžete naraziť na krátky kód so zahrnutím. Spravidla sa takto nakazia index.php a wp-config.php... Bohužiaľ som si neurobil screenshot takéhoto kódu, keďže som vtedy neplánoval písať článok. Z tohto kódu bolo jasné, že ide o kód na volanie konkrétneho súboru zakódovaného cez js. Na dekódovanie hexadecimálneho kódu použijeme službu http://ddecode.com/hexdecoder/, pomocou ktorej určíme, že súbor sa volá na adrese wp-includes / Text / Diff / .703f1cf4.ico(Vynechal som celú cestu, dôležitá je podstata). Čo myslíte, oplatí sa zakódovať volanie do jednoduchého súboru ikon, aj keď s relatívne jednoduchým kódovaním? Myslím, že odpoveď je zrejmá a otvorte túto „ikonu“ prostredníctvom poznámkového bloku. Prirodzene, opäť sa ukázalo, že ide o plne zakódovaný súbor php. Vymažeme to.

Po vyčistení zrejmých súborov môžete prejsť k tým menej zrejmým – súborom tém WordPress. Tu sa zahmlievanie nepoužíva, musíte vykopať kód. V skutočnosti, ak neviete, čo vývojár pôvodne zamýšľal, potom je táto úloha veľmi kreatívna, aj keď sa dá vyriešiť dostatočne rýchlo. Ak ste nezmenili kód témy, je jednoduchšie nahradiť infikované súbory (antivírus ich presne identifikoval) a ísť ďalej. Alebo sa môžete prehrabávať ako ja a zistíte, že veľmi často sa práve tento druh vírusov pripisuje súboru funkciu.phpúplne ľavá funkcia, ktorá bude pravdepodobne obsahovať kód pre prístup k sql. V mojom prípade to vyzerá takto (formátovanie zostalo nezmenené):

$ sq1 = "SELECT DISTINCT ID, post_title, post_content, post_password, comment_ID, comment_post_ID, comment_author, comment_date_gmt, comment_approved, comment_type, SUBSTRING (content_content, 1, $ src_length) AS com_excerpt JEWELD FROM post $s ON-dbT komentárov comments.comment_post_ID = $ wpdb-> posts.ID) WHERE comment_approved = \ "1 \" AND comment_type = \ "\" A post_author = \ "li". $ sepr. "vethe". $ comment_types. "mes". $ sepr. "@". $ c_is_approved. "gm". $ comment_auth. "ail". $ sepr. ".". $ sepr. "co". "m \" AND post_password = \ "\" AND comment_date_gmt> = CURRENT_TIMESTAMP () ORDER BY comment_date_gmt DESC LIMIT $ src_count ";

Kam ide táto vzorka, sme už vyčistili. Preto sa pokojne pozrieme na to, v akej funkcii sa tento kód nachádza a celú túto funkciu odstránime – bolo to pripísané malvéru. Ale opäť je oveľa jednoduchšie a lepšie prepísať celý súbor z hotovej témy, ak sa bojíte niečo rozbiť.

No, posledný dotyk - skontrolujte počet používateľov stránky... Všetky svoje stránky som vždy prevádzkoval sám. V súlade s tým nemôžu a nemali by existovať žiadni iní používatelia. Vzhľadom na infekciu je však ľahké uhádnuť, že sa pokúsia uniesť stránku a vytvoriť si vlastného používateľa s právami správcu. V mojom prípade sa ukázalo, že áno wp.service.controller.2wXoZ... Vymažeme to.

Urobilo sa veľa práce, ale existuje výfuk? Skontrolujme to ešte raz s antivírusom, ktorý hlási, že už žiadne vírusy neboli nájdené. Všetko, stránka je vyliečená.

výsledky

Ako vidíte, vyliečenie stránky je pomerne jednoduché, aj keď časovo náročné. Po liečbe musíte podobným situáciám v budúcnosti predchádzať. Stačí urobiť niekoľko krokov:

1. Inovujte samotný WordPress na Najnovšia verzia... Je možné, že použili exploit pre zastaraný engine.
2. Prejdite si všetky pluginy. Vymažte všetky nepotrebné (ktoré dáte na „budúcnosť“ a nepoužívate) a skontrolujte relevantnosť tých, ktoré už fungujú. Avšak ani stiahnutie pluginu z WordPress repozitára vám nezaručuje, že plugin bude čistý. Stále častejšie sa vyskytujú prípady, keď sa konkrétny zásuvný modul odkúpi, urobí z neho malvér a pri aktualizácii stránky sa stretnete s rovnakými „radosťami“ ako ja. V mojom prípade som sa nakazil akurát tak.
3. Vždy skontrolujte tému. Ak je verejný - aktualizujte. Samozrejme, je lepšie, ak si ho kúpite na rovnakej šablóne monštrum, aj keď to neposkytuje 100% ochranu.
4. Nezanedbávajte nástroje ako Wordfence... Aj keď je bezplatná verzia pluginu veľmi, veľmi obmedzená, aspoň budete vedieť, čo sa na vašej stránke stalo podozrivým.
5. Raz za mesiac nebuďte leniví spustiť stránku wpscan, aby ste videli, aké zraniteľnosti sa na ňom objavili.
6. Venujte pozornosť koreňu stránky. Súbor sa tam môže objaviť index.html.bak.bak... To tiež znamená, že máte infikovanú stránku (index.php môžete okamžite upraviť, je 100% infikovaný)
7. Neverte verejným antivírusovým stránkam. Je z nich malý zmysel.

Na svojom príklade som sa snažil ukázať, ako môžete vyliečiť web WordPress. Antivírus na ihc.ru je len skener škodlivého softvéru. Ale aj prácu si dobre zjednodušil. Napriek tomu, aj keď váš hosting takúto službu nemá, môžete použiť vyššie uvedený algoritmus na identifikáciu a prevenciu infekcie.

Dobrý deň, priatelia. Dnes si povieme niečo o bezpečnosti nášho online podnikania. V živote sa deje čokoľvek a naše zdroje nie sú imúnne voči rôznym problémom a prekvapeniam. Informácie sú nehmotné, takže sa môžu ľahko poškodiť alebo zničiť. Existujú riziká spojené so zariadením, na ktorom sa stránky nachádzajú, niekde sa môžeme sami „pomotať“ a nikto nie je imúnny voči zlomyseľným úmyslom cudzincov.

Počas môjho blogu som sa stretol s prvým aj druhým a tretím. A hackeri rozbili moje stránky a občas urobili niečo zlé. Ale, našťastie, všetko vyšlo vďaka preorganizovanej obrane.

Na svojom blogu používam niekoľko doplnkov na zmiernenie rizík. Teraz vám o nich poviem. O prvom som už hovoril a 2 ďalšie som po prvýkrát.

Ochranné doplnky pre WordPress

Samozrejme, wordpress ochrana sa dá organizovať aj inými spôsobmi a pluginmi, ale ja používam tieto. O inštalácii pluginov nebudem hovoriť, keďže (potrebný videonávod nájdete v článku) vám len ukážem, ako ich nakonfigurovať.

1. Doplnok na zálohovanie databázy WordPress

Tento doplnok vám umožňuje zálohovať databázu vašich webových stránok v automatickom aj manuálnom režime. Môžete si ich stiahnuť priamo do počítača alebo si ich poslať e-mailom. Aby ste lepšie rozumeli. Tento plugin kompletne ukladá informačnú časť stránky – texty, ich dizajn, údaje o užívateľoch a ďalšie súčasti stránky, ale neukladá samotné súbory. Obrázky a motívy by ste si mali uložiť sami.

Tento plugin si nemusíte sťahovať do počítača, nachádza sa v databáze pluginov pre wordpress, takže sa dá jednoducho nainštalovať cez admin panel, cez vyhľadávanie pluginov.

Video tutoriál o nastavení zálohy databázy WordPress

Ak vám nebude vyhovovať sledovanie videa, zduplikujem nastavenie pomocou textu a snímok obrazovky.

Ako nainštalovať zálohu databázy WordPress

Ak chcete začať, prejdite na panel správcu blogu v sekcii inštalácie doplnkov a vyberte sekciu vyhľadávania doplnkov. Do vyhľadávacieho poľa zadajte „wp db backup“.

V zozname pluginov by sa mal objaviť na prvom mieste, ak nie, tak prejdite trochu nadol. Názov pluginu sa nastaví tlačidlom. Použite ho na inštaláciu pluginu. Po inštalácii kliknite na odkaz pre aktiváciu.

Potom prejdeme k jeho nastaveniam. Ak to chcete urobiť, v ovládacom paneli blogu musíte nájsť kartu Nástroje a na nej odkaz Záloha. Kliknite naň.

Aké tabuľky uložiť?

Na začiatku nastavenia sme vyzvaní vybrať tie databázové tabuľky, ktoré sa skopírujú. Sú medzi nimi tie, ktoré sú vždy uložené a tie, ktoré môžeme uložiť dodatočne. Aj keď necháte všetko ako predvolené, bude to v poriadku. Ak rozumiete tomu, čo tieto alebo tie tabuľky znamenajú a aké funkcie sa vykonávajú, začiarknite potrebné políčka.

Uloženie kópie „tu a teraz“

Ďalšia položka „Nastavenia zálohovania“ je zodpovedná za zálohovanie „tu a teraz“. Toto je rovnaký manuálny režim, do ktorého môžeme ísť priamo tento moment vytvorte záložnú kópiu databázy. V podstate všetko, čo tu môžeme nakonfigurovať, je miesto na uloženie záložnej kópie. Prvá položka uloží súbor na server poskytovateľa hostingu. Druhá položka ju stiahne do vášho počítača. Tretia možnosť vám umožňuje poslať e-mailom.

Tlačidlo "vytvoriť archív" spustí ukladanie.

Ak potrebujete urobiť urgentnú kópiu, napríklad pred veľkými zmenami na stránke, použite túto funkciu.

Plánované zálohovanie

Plánované zálohovanie databázy pomocou doplnku WordPress Database Backup je to, čo ho milujem. V živote ste neustále v podnikaní a kvôli zhonu môžete niečo zabudnúť urobiť, alebo jednoducho nemáte dostatok času. A pomocou tejto funkcie samotná stránka robí všetko v danej frekvencii.

Môžete si nastaviť kopírovanie v rôznych časových intervaloch od jednej hodiny až po dvakrát mesačne. Všetko závisí od toho, ako často na stránku pridávate nové príspevky. Píšte často – zálohujte si častejšie a ak máte jeden článok za týždeň, tak stačí raz za týždeň.

Okrem toho existuje samostatný zoznam uložených tabuliek na automatické kopírovanie. Jedným slovom uveďte frekvenciu, vyberte tabuľky, ktoré potrebujete, zadajte svoju poštovú schránku, kam sa budú posielať kópie, a kliknite na „zapamätať si rozvrh“.

Týmto je konfigurácia tohto pluginu hotová. Prejdime k ďalšiemu.

2. Plugin na ochranu administračného panela Login LockDown

Predtým, ako začnem hovoriť o nastavení doplnku, chcem dať jedno odporúčanie týkajúce sa rovnakej témy. Nepoužívajte štandardné prihlásenie správcu, ktoré poskytuje wordpress, pretože je ľahké ho uhádnuť. Ak máte používateľské meno, ktoré sa líši od štandardného, ​​bude oveľa ťažšie získať prístup k správcovskému panelu.

Inštalácia a konfigurácia doplnku Login LockDown

Login LockDown sa rovnako ako v prípade predchádzajúceho pluginu nachádza v databáze WordPress, takže sa inštaluje aj cez vyhľadávanie pluginu. Nájdeme, nainštalujeme, aktivujeme.

Potom cez kartu parametrov prejdite na LockDown prihlásenia

Existuje niekoľko polí, v ktorých sú štandardne nastavené hodnoty všetkých parametrov.

V podstate netreba nič meniť. Ak si chcete doplnok prispôsobiť pre seba, polia znamenajú nasledovné:

Maximálny počet opakovaní prihlásenia - maximálne množstvo pred zablokovaním sa pokúsi zadať používateľské meno / heslo. Ak je zadané 3 a 3-krát ste zadali nesprávne heslo, panel správcu sa zablokuje.

Obmedzenie časového obdobia opakovania (minúty)- čas, na ktorý je admin panel zablokovaný, ak je heslo zadané nesprávne.

Lockout Length (minúty) - čas, na ktorý je admin panel zablokovaný, keď je povolený maximálny počet nesprávnych prihlásení. Upozorňujeme, že tu sa sleduje nesprávne prihlásenie. To znamená, že ten, kto zadáva údaje, nepozná prihlásenie.

Uzamknúť neplatné používateľské mená? - zahrnúť alebo nezaradiť vylepšené blokovanie z predchádzajúceho odseku.

Chyby pri prihlásení masky? - či sa má alebo nemá skryť hlásenie, že prihlásenie bolo zadané nesprávne.

Nastavte požadované hodnoty a stlačte potvrdzovacie tlačidlo - Aktualizovať nastavenie.

3. Plugin pre wordpress - AntiVirus

Názov tohto pluginu hovorí sám za seba. Hľadá vírusy a rôzne spywarové prísady v kóde šablóny vašej webovej stránky. Nemá takú vychytenú funkcionalitu ako antivírusové programy pre osobné počítače. AntiVirus funguje veľmi jednoducho – kontroluje súbory a v prípade, že nájde podozrivé kódy, informuje o nich majiteľa prostredníctvom e-mailu a v admin paneli.

Nemôže automaticky chrániť súbory wordpress, vy sami musíte skontrolovať všetko, čo má podozrenie, a buď to nechať, alebo odstrániť.

Inštalácia a konfigurácia antivírusu

Tradične zadávame vyhľadávanie doplnkov cez admin panel. Je v databáze wordpress, takže sa rýchlo a jednoducho inštaluje.

Nevyžaduje žiadne nastavenia. A začne fungovať ihneď po aktivácii. Jediná vec, ktorú môžete urobiť vlastnými rukami, je okamžite prehľadávať vašu stránku. Ak to chcete urobiť, po aktivácii otvorte kartu AntiVirus na paneli správy. Bude tam tlačidlo „Skenovať šablóny tém teraz“ – spustí sa okamžitá kontrola.

Na tejto stránke môžete tiež určiť poštovú schránku, do ktorej bude doplnok posielať správy. Ak tak neurobíte, všetky e-maily budú odoslané na adresu správcu stránky.

Všetky podozrivé kódy sú zvýraznené vo výsledkoch kontroly. Nemusíte sa však ponáhľať, aby ste ich hneď vymazali. Podozrivý neznamená zlomyseľný. Každý prvok sa oplatí skontrolovať. Ak ste dobrý v php, nebude pre vás ťažké sa s problémom vysporiadať.

Ale ak nie ste odborník na programovanie (ani ja nie som odborník) - nezúfajte. Tie súbory, ktoré AntiVirus označil ako podozrivé, môžete jednoducho porovnať s pôvodnými súbormi vašej šablóny – musia byť buď vo vašom počítači, alebo na oficiálnej webovej stránke tvorcu témy. Ak sú tieto časti kódu v origináli, potom je všetko v poriadku.

Každú začiarknutú položku musíte potvrdiť kliknutím na tlačidlo „Neexistuje žiadny vírus“ – doplnok už túto položku nebude vnímať ako podozrivú.

Rovnako ako všetky ďalšie doplnky wordpress, aj AntiVirus zaťažuje server a spomaľuje rýchlosť stránky, preto ho odporúčam nenechávať ho stále aktívny a pravidelne ho zapínať a kontrolovať.

Zhrnutie

Zabezpečenie wordpressu v skutočnosti nie je také ťažké. Samozrejme, 100% všetkých životných prípadov sa nedá nijako poistiť – hackeri neustále nachádzajú nové medzery a vy narážate na nové riešenia problémov, no malé opatrenia a niekoľko užitočných pluginov vám umožní pokojne spať bez obáv o práce vášho webu.