امنیت وردپرس؛ برنامهٔ نگهداری و کنترل دسترسی

محتوای آموزشی وبلاگ نت‌آرام

امنیت وردپرس به نگهداری مداوم نیاز دارد. در این آموزش از نسخهٔ پشتیبان، حساب‌ها و به‌روزرسانی شروع می‌کنیم و سپس کنترل فایل و ورود را بررسی می‌کنیم. بعضی کارها سریع انجام می‌شوند، اما زمان ثابت برای امن شدن کامل هر سایت وجود ندارد. هدف این است که هر تغییر دلیل، نتیجهٔ قابل آزمون و مسیر برگشت داشته باشد.

رمز موفقیت شما = بک آپ :

قبل از هر اقدامی همیشه دو نسخه پشتیبان، یکی در هاست پشتیبان و دیگری در سیستم خود تهیه کنید تا پس از هک شدن سایت از آن استفاده کنید، معمولا هکر ها پس از آپلود صفحه خود به دیگر فایل های سایت نیز نفوذ می کنند تا راه برای نفوذ برای آینده بسیار راحتتر باشد، یعنی حتی اگر سایت هم امن کنید به دلیل نفوذ به سایر فایل ها آنها در کمتر از چند دقیقه مجدد می توانند سایت شما را هک کنند.

انتخاب هاست مناسب

میزبانی را انتخاب کنید که روش به‌روزرسانی، جداسازی حساب‌ها، بکاپ و پاسخ به رخداد را روشن توضیح دهد. درصد مشخصی دربارهٔ علت همهٔ نفوذها بدون دادهٔ معتبر نمی‌توان اعلام کرد. امنیت سایت و محیط میزبانی هر دو باید بررسی شوند.

ایجاد رمز روی پوشه wp-admin

حملات حدس رمز و آسیب‌پذیری برنامه دو مسئلهٔ متفاوت‌اند. برای ورود، رمز قوی، عامل دوم و کنترل تلاش‌ها را در نظر بگیرید. حفاظت پوشهٔ مدیریت می‌تواند یک مرحلهٔ احراز هویت وب اضافه کند، اما ممکن است روی AJAX یا سرویس خودکار اثر بگذارد؛ ابتدا روی نمونهٔ آزمایشی بررسی کنید. این قابلیت جای رفع SQL Injection در کد یا افزونه را نمی‌گیرد. برای روش انجام، راهنمای حفاظت پوشه در دایرکت ادمین را بخوانید.

دسترسی فایل‌های حساس

مالکیت و handler اجرای PHP تعیین می‌کنند چه دسترسی‌ای لازم است. فایل wp-config.php نباید از وب قابل خواندن باشد و فقط حساب‌ها یا سرویس‌های لازم باید به آن دسترسی داشته باشند. یک عدد مانند 444 راه‌حل عمومی همهٔ نصب‌ها نیست و می‌تواند به‌روزرسانی یا ویرایش را مختل کند. تنظیم را با مدل اجرای میزبان هماهنگ کنید و بعد خواندن سایت و ذخیرهٔ تنظیم مجاز را امتحان کنید.

حفاظت از اطلاعات تنظیم

کدگذاری فایل با ionCube جای محدود کردن دسترسی و حفاظت از رمزها را نمی‌گیرد. اگر برنامهٔ دارای دسترسی بتواند فایل را اجرا کند، کدگذاری به‌تنهایی مرز دسترسی تازه ایجاد نمی‌کند. نسخه‌های بکاپ تنظیم را بیرون از مسیر عمومی نگه دارید و در صورت احتمال افشای رمز، خود رمز و دسترسی مرتبط را اصلاح کنید.

تغییر پیشوند جدول های پایگاه داده وردپرس از wp به غیره

انتخاب پیشوند غیرپیش‌فرض ممکن است بعضی حملات ساده و ثابت را دشوار کند، اما آسیب‌پذیری SQL Injection را اصلاح نمی‌کند. در سایت موجود، تغییر نام جدول‌ها و مقدارهای مرتبط بدون برنامهٔ مهاجرت می‌تواند سایت را خراب کند. اولویت با رفع کد آسیب‌پذیر، به‌روزرسانی و دسترسی مناسب پایگاه داده است.

همیشه از نسخه بروز استفاده کنید

وردپرس دائما در حال بروزرسانی می باشد و در لحظه بروزرسانی یک اطلاعیه در مورد نسخه جدید به کاربر نمایش می دهد، شما می توانید از قسمت پیشخوان –> بروزرسانی ها، وردپرس و تمامی افزونه های خود را به آخرین نسخه بروز رسانی نمایید.

از نام کاربری admin استفاده نکنید

نام کاربری مدیر را از یک مقدار بسیار قابل حدس انتخاب نکنید، اما محرمانه بودن نام را عامل اصلی حفاظت فرض نکنید. برای تغییر حساب، ابتدا مدیر تازه را ایجاد و ورود و سطح دسترسی او را بررسی کنید. سپس حساب قبلی و نسبت دادن نوشته‌ها را با دقت مدیریت کنید. عامل دوم و رمز قوی همچنان لازم‌اند.

ویرایش کد از پیشخوان وردپرس را غیر فعال کنید

اگر هکر بتواند به مدیریت وردپرس شما نفوذ کند با امکان ویرایشگر وردپرس می تواند هر کدی را در پلاگین ها و قالب شما اجرا کند و مشکلات امنیتی دیگری در سایت شما ایجاد کند بنابراین بهتر است این امکان را در وردپرس خود غیر فعال نمایید. شما می توانید از کد زیر برای غیر فعال کردن ویرایشگر وردپرس از کد زیر در فایل wp-config.php استفاده کنید : define( 'DISALLOW_FILE_EDIT', true );

از سایت های معتبر افزونه ها و پوسته ها را دریافت کنید

واقعیت اینه که متاسفانه بعضی از وب سایت ها قالب های زیبایی برای دانلود کاربران قرار داده اند اما متاسفانه داخل آنها کد های مخرب که اقلب با base64 نیز کد شده اند تا شناسایی آنها سخت شود مشکلات امنیتی زیادی ایجاد می کنند، بنابراین برای افزایش امنیت وردپرس خود سعی کنید پوسته ها و افزونه های سایت خود را از سایت های معتبر مانند wordPress.org انتخاب نمایید.

انتخاب ابزار امنیتی و ادامهٔ نگهداری

افزونهٔ امنیتی باید با نسخهٔ وردپرس و محیط شما سازگار و دارای نگهداری قابل بررسی باشد. همهٔ هشدارهای یک افزونه به معنی نفوذ نیستند و هیچ افزونه‌ای همهٔ آسیب‌پذیری‌ها را خودکار اصلاح نمی‌کند. یک ابزار را با تنظیم مشخص انتخاب کنید و قبل از فعال کردن قابلیت‌های محدودکننده، راه بازیابی دسترسی را آماده کنید.

پس از هر تغییر، یک ورود تازه، فرم و عملیات انتشار را امتحان کنید. برای به‌روزرسانی، نسخهٔ آزمایشی و بکاپ قابل بازیابی داشته باشید. بکاپ فقط زمانی مفید است که تاریخ و سلامت آن روشن باشد؛ یک بازیابی نمونه را روی محیط جدا امتحان کنید. نسخهٔ آلوده می‌تواند راه نفوذ را دوباره برگرداند، پس زمان رخداد و زمان بکاپ را مقایسه کنید.

اگر نشانهٔ نفوذ می‌بینید، فقط صفحهٔ ظاهری را حذف نکنید. راه ورود، حساب‌ها، فایل‌های تغییرکرده و رمزهای مرتبط باید بررسی شوند. در مقابل، برای هشدار بی‌مدرک هم تغییر گستردهٔ همهٔ تنظیم‌ها انجام ندهید. تصمیم را با لاگ و رفتار واقعی پیوند بدهید و هر اقدام را قابل پیگیری نگه دارید.

توضیح بیشتر برای انجام مراحل

قبل از تغییر، یک نسخهٔ پشتیبان از سایت داشته باشید. فایل‌های سایت مثل قالب و تصاویرند؛ دیتابیس نوشته‌ها، کاربران و سفارش‌ها را نگه می‌دارد، پس هر دو لازم‌اند. اگر فروشگاه دارید، بکاپ دیروز سفارش‌های امروز را ندارد. به همین دلیل، هنگام رفع خطا نباید بدون برنامه کل اطلاعات را به دیروز برگردانیم. متن پیام خطا را هم کپی کنید تا در مرحله‌های بعد بدانیم دنبال رفع چه مشکلی هستیم.

منابع قابل اعتماد

وردپرس، قالب و افزونه را از منبع رسمی یا فروشندهٔ معتبر بگیرید. نسخهٔ نال‌شده یعنی نسخه‌ای که مجوز یا سازوکار اصلی آن دستکاری شده و نمی‌توان سالم بودنش را از ظاهر تشخیص داد. برای تغییر مهم، یک کپی جدا از سایت بسازید و ابتدا آن را به‌روز کنید؛ به این نسخهٔ آزمایشی staging می‌گویند. در آن کپی، ورود، فرم‌ها و کارهای اصلی سایت را امتحان کنید تا خطای احتمالی به کاربران سایت فعال نرسد.

حساب و فایل

برای هر مدیر حساب مستقل، رمز قوی و در صورت امکان ورود دومرحله‌ای داشته باشید. مالکیت فایل و حداقل دسترسی لازم را رعایت کنید؛ 777 راه رفع خطا نیست.

بازیابی و پایش

بکاپ جدا از سرور و تمرین بازیابی داشته باشید. تغییر حساب‌های مدیر، خطاهای ورود و فایل‌های مشکوک را پایش کنید.

یک بازیابی آزمایشی انجام دهید و مسیر دسترسی اضطراری را بررسی کنید. فایروال برنامه لایهٔ کمکی است و کد آسیب‌پذیر را خودبه‌خود اصلاح نمی‌کند.

منابع و ادامهٔ مطالعه

مقاله قبلی

انتقال فایل وردپرس با SFTP و FTPS؛ انتخاب ابزار و تنظیم امن

۱ مرداد ۱۳۹۴

مقاله بعدی

افزایش سرعت وردپرس؛ برنامهٔ عملی برای موبایل و دسکتاپ

۳۱ تیر ۱۳۹۴

دیدگاه‌ها (۲)

دیدگاه‌های تاییدشده و پاسخ‌های تیم نت‌آرام

پوریا

۱۳۹۵/۵/۱۰ ۸:۰۸:۰۸

پاسخ

سلام و خداقوت به شما
چطوری باید از نرم افزار Ioncube استفاده کنیم؟ توی سیستم پی سی خودمون نصب کنیم؟

مصطفی جانقربان

نویسنده مقاله

۱۳۹۵/۵/۱۲ ۶:۱۱:۱۵