WORDPRESS HARDENING
۱۸ وصلهی امنیتی فعال روی سایت وردپرس شما
جلوگیری از دسترسی به فایل های مهم و حساس
دسترسی به فایلهای حساس وبسایت، مانند اطلاعات اتصال به دیتابیس و فایلهایی که برای یافتن حفرههای امنیتی بررسی میشوند، بهشدت محدود میشود تا فقط شما به آنها دسترسی داشته باشید.
تغییر Username پیش فرض وردپرس
نام کاربری admin نخستین هدف حملات Brute Force است. ما نام کاربری مدیر سایت را به یک نام امن تغییر میدهیم تا این مسیر نفوذ بهطور کامل بسته شود.
تنظیم security keys در وردپرس
وردپرس برای رمزنگاری کوکیها از کلیدهای AUTH_KEY، SECURE_AUTH_KEY، LOGGED_IN_KEY و NONCE_KEY استفاده میکند. در صورت ضعیف بودن، کلیدهای تصادفی جدید با بیش از ۶۰ کاراکتر پیچیده تعریف میشوند.
فعالسازی Hotlink Protection
هاتلینکینگ یعنی استفادهی سایتهای دیگر از تصاویر، ویدیوها و فایلهای حجیم شما با مصرف پهنای باند سایت شما. این وصله از چنین سرقت پهنای باندی جلوگیری میکند.
جلوگیری از Directory Browsing
فعال بودن مرور پوشهها، اطلاعات مهم سایت را در اختیار نفوذگران قرار میدهد. این قابلیت در سرویسهای ماناسرور بهصورت پیشفرض غیرفعال است و این وصله از غیرفعال ماندن آن اطمینان میدهد.
جلوگیری از دسترسی به فایل های .htaccess و .htpasswd
این فایلها میتوانند کلید نفوذ به کل وبسایت باشند؛ این وصله احتمال دسترسی غیرمجاز به آنها را به صفر میرساند.
غیرفعال کردن اجرای PHP در فولدر های cache
یک فایل PHP آلوده در پوشهی cache میتواند کل سایت را آلوده کند؛ با این وصله، اجرای فایلهای PHP در این پوشهها مسدود میشود.
جلوگیری از اسکن نام نویسنده مقالات
نفوذگران با اسکن شناسهی نویسندگان (ID Phishing) نام کاربری مدیر را کشف و سپس حملهی Brute Force را آغاز میکنند. این وصله هرگونه اسکن برای یافتن نامهای کاربری را مسدود میکند.
فعالسازی قابلیت Bot protection
بسیاری از رباتها برای یافتن حفرههای امنیتی طراحی شدهاند. این وصله سایت شما را از اسکن رباتهای مخرب و بیکاربرد محافظت میکند.
غیر فعال کردن Pingback
Pingback میتواند به حملات Comment Attack و درج انبوه دیدگاه منجر شود که سایت و دیتابیس را کند میکند. این وصله XML-RPC Pingback را در کل سایت، حتی پستهایی که آن را فعال دارند، غیرفعال میکند.
غیرفعالسازی اجرا اسکریپت به زبان های دیگر
اجرای اسکریپتهایی که وردپرس از آنها پشتیبانی نمیکند، مانند Perl و Python، مسدود میشود تا نفوذ از این مسیر غیرممکن باشد.
غیرفعالسازی ادغام اسکریپت در داشبورد ادمین وردپرس
ادغام اسکریپتها در پیشخوان وردپرس میتواند در حملات DDoS مورد سوءاستفاده قرار گیرد. با غیرفعالسازی آن، تأثیری برای بازدیدکنندگان سایت ایجاد نمیشود.
تغییر Prefix پیش فرض دیتابیس وردپرس
پیشوند استاندارد wp_ کار اسکریپتهای مخرب را ساده میکند؛ این وصله پیشوند دیتابیس را به ساختاری کاملاً تصادفی تغییر میدهد.
جلوگیری از دسترسی غیرمجاز به فایل wp-config.php
مهمترین فایل وردپرس، حاوی اطلاعات دیتابیس و پیکربندی سایت است. با قوانین .htaccess، حتی در صورت توقف پردازش PHP، دسترسی غیرمجاز به این فایل مسدود میشود.
محدودیت دسترسی به فایل ها و دایرکتوری ها
مجوزهای دسترسی بهصورت امن تنظیم میشوند: wp-config.php روی ۶۰۰، سایر فایلها روی ۶۴۴ و همهی پوشهها روی ۷۵۵.
جلوگیری از اجرای اسکریپت های PHP در پوشه wp-includes
نفوذگران اغلب از پوشهی wp-includes برای آلودهسازی سایت استفاده میکنند؛ این وصله با قوانین .htaccess اجرای PHP در این پوشه را مسدود میکند.
غیرفعالسازی ویرایش فایل از طریق داشبورد وردپرس
امکان ویرایش مستقیم افزونهها و قالبها از پیشخوان حذف میشود تا حتی در صورت افشای رمز یک مدیر، فایل مخربی به سایت اضافه نشود.
جلوگیری از اجرای اسکریپت های PHP در پوشه wp-content/uploads
پوشهی uploads از رایجترین مسیرهای آلودهسازی سایت است؛ اجرای فایلهای PHP در آن با قوانین .htaccess مسدود میشود.