60٪ از تمام وب سایت ها با وردپرس کار می کنند و از آنجایی که وردپرس منبع باز است و می توان آن را سفارشی و بهینه کرد، بنابراین می تواند در برابر نقص های امنیتی آسیب پذیر باشد. می توان گفت از هر 10 سایت وردپرسی، 8 سایت دارای ریسک امنیتی متوسط یا بالا هستند. بنابراین آشنایی با حمله های امنیتی به سایت وردپرسی و روش های جلوگیری و مقابله با آن ها برای صاحب هر سایت وردپرسی از اهمت ویژه ای برخوردار است. بنابراین در این پست ما قصد داریم شما را با 7 مورد از مهم ترین و رایج ترین حمله های امنیتی به سایت های وردپرسی آشنا کنیم و راه حل هایی برای جلوگیری از آن ها به شما ارائه دهیم پس تا انتهای این پست همراه ما باشید.
حمله های امنیتی به سایت های وردپرسی
در ادامه لیستی از مهم ترین و رایج ترین حملات ا منیتی به سایت های وردپرسی را آورده ایم:
- Brute force
- XSS
- SQL Injection
- Backdoor
- DDoS
- Phishing
- Hotlinking
1. حمله Brute force
در حمله Brute force هکر ها به طور مکرر سعی می کنند نام کاربری و رمز عبور را با استفاده از تولید کننده های رمز عبور خودکار حدس بزنند. این نوع حمله با امتحان دوباره و دوباره انواع نام های کاربری و رمز های عبور تصادفی انجام می شود تا بالاخره هکر بتواند رمز عبور صحیح را یافته و به سیستم وارد شود.
راه های مقابه با حمله Brute force
- افزایش طول رمز عبور
- افزایش پیچیدگی رمز عبور
- محدود کردن تعداد تلاش ها برای ورود به سیستم
- تغییر فایل htaccess
- استفاده از Captcha
- احراز هویت دو عاملی
- Cloudflare
2. حمله Cross-Site Scripting (XSS)
Cross-Site Scriptting یا به طور خلاصه XSS یک تکنیک هک است که در آن کد های مخرب از ورودی کاربر به صفحات وب تزریق می شود و سپس توسط بازدیدکنندگان سایت مشاهده می شود. حملات XSS به طور بالقوه می توانند اطلاعات حساس را استخراج کنند، بر عملکرد وب سایت و موارد دیگر تأثیر بگذارند.
کاری که هکر ها باید انجام دهند این است که افراد را هنگام استفاده از سایت به سمت مکانی که به کد های مخرب آلوده شده است هدایت کنند، که معمولاً به آن payload گفته می شود. هنگامی که این صفحه در مرورگر قربانی بارگیری می شود، این کد های مخرب بدون هیچ گونه دانش و نشانه ای اجرا خواهد شد.
از آنجایی که هر گونه ورودی غیر معتبر کاربر، بدون رمز گذاری صحیح HTML می تواند منجر به حمله به سایت وردپرسی شما شود. برای مقابله با این حمله باید هنگام نوشتن افزونه برای وردپرس، اطمینان حاصل کنید که امنیت ورودی کاربران به خوبی تامین شده است.
3. حمله تزریق کد اس کیو ال (SQL Injection)
در حمله تزریق کد SQL، عبارات SQL مخرب از طریق ورودی کاربر غیر قانونی تزریق می شود. در این حمله به طور کلی هکر می تواند داده هایی را که معمولاً قادر به بازیابی نیستند را مشاهده کند. که این داده ها می تواند شامل داده های کاربران یا هر داده دیگری باشد که برنامه به آن دسترسی دارد.
در این حمله هکر می تواند این داده ها را تغییر داده یا حذف کند و باعث ایجاد تغییرات مداوم در محتوا شود. در برخی شرایط نیز هکر می تواند سرور اصلی یا سایر زیرساخت های back-end را به خطر بیاندازد. به طور کلی از حملات تزریق کد SQL می توان برای دستکاری داده ها، استخراج اطلاعات حساس و موارد دیگر استفاده کرد.
اولین اقدامی که برای مقابله با این حمله روی سایت وردپرسی خود می توانید انجام دهید این است که سایت خود را برای آسیب پذیری های تزریق کد SQL با استفاده از ابزار های اسکن وب سایت آنلاین مانند Sucuri SiteCheck اسکن کنید.
4. حمله درب پشتی (Backdoor)
در حمله در پشتی کاربران مجاز و غیر مجاز قادر به دستیابی به اقدامات امنیتی عادی و دستیابی به سطح کاربری بالا در سیستم کامپیوتری، شبکه یا برنامه نرم افزاری هستند. پس از ورود، هکر ها می توانند از یک در پشتی برای سرقت اطلاعات شخصی و مالی، نصب بد افزار های اضافی و … استفاده کنند.
این بک دور می تواند در فایل های درون سرور، دیتابیس سایت، سرویس های سرور و هنگام ایجاد سرویس جدید برای اتصال قرار گیرد. در این حمله برخلاف سایر حملات سایبری که خود را به کاربر می شناسانند، حمله در پشتی به سختی شناخته شده و معمولا به راحتی از بین نمی رود. در حمله در پشتی راه دسترسی مهاجمان بر روی سیستم شما باز شده و می توانند از راه دور فرمان کامپیوتر شما را بدست بگیرند.
برای مقابله با این حمله باید مطمئن شوید که سرور شما از آنتی ویروس و فایروال برای محافظت استفاده می کند و سرور شما همواره به روز است. همچنین مطمئن شوید که خود وردپرس و هر افزونه مرتبط با آن را با آخرین وصله های امنیتی به روز باشد.
5. حمله Denial-of-Service (DDoS)
حمله DDoS یک وب سایت وردپرسی را برای کاربران غیر قابل دسترس می کند. به عنوان مثال، یک حمله DDoS ترافیک را از چندین منبع به یک وب سایت ارسال می کند و اتصال شبکه آن را تحت تأثیر قرار می دهد. در این حمله تقاضای بیش از اندازه به یک سیستم ارسال می شود. این تقاضا باعث خواهد شد تا منابع سیستم مانند پردازنده، پایگاه داده، پهنای باند و حافظه به مقدار زیادی اشغال شود.
این مقدار اشغال منابع باعث اختلال در سرویس دهی سیستم خواهد شد. در واقع تقاضای زیاد از سیستم باعث حجم بالای پردازش در آن خواهد شد. در این حمله در یک بازه زمانی لحظه ای و یا کمی بیشتر درخواست های بسیاری از سمت سیستم های مختلف ارسال می شود، بنابراین به دلیل محدودیتی که سرور در پاسخ به کاربران دارد، اختلال پیش می آید.
حملات DDOS امکان دارد پس از چند دقیقه رفع شود یا اینکه چندین روز طول بکشد. برای جلوگیری و رفع این حملات می توان IP های مخرب را بلاک کرد و از بسته های امنیتی برای مقابله با آن استفاده کرد. به روز رسانی های سخت افزاری و نرم افزاری نیز یکی دیگر از روش هایی است که می توان برای مقابله با حملات DDos به کار برد.
6. حمله فیشینگ (Phishing)
هکر ها از تکنیک فیشینگ برای جعل هویت از طریق ایمیل، استفاده می کنند تا اطلاعات شخصی را مستقیماً از هدف به دست آورند. سپس از این اطلاعات برای هک کردن سایت یا ارتکاب کلاهبرداری استفاده می کنند. در این تکنیک ایمیل هایی به شما ارسال می شود که شما را ترغیب می کند برای به روز رسانی آدرس یا شماره کارت اعتباری خود، یک حساب کاربری بسازید.
این ایمیل ها دارای لینک هایی به صفحاتی هستند که از صفحات رسمی ورود به سیستم تقلید می کنند و اطلاعات نام کاربری و رمز ورود شما را هنگام ساخت حساب کاربری، به سایت هکر ها می فرستند. برای مقابله با این حمله می توانید از فیلتر های هرزنامه استفاده کنید. این فیلتر ها می توانند اکثر ایمیل های مخرب را شناسایی کنند.
7. حمله Hotlinking
در این تکنیک یک وب سایت برای حمله به یک سایت وردپرسی، مستقیماً به دارایی های وب سایت مورد نظر مانند فایل های ویدیویی یا تصویری لینک می دهد تا رتبه سئو آن را افزایش دهد و رسانه های خود را بدون استفاده از منابع سرور یا پهنای باند خود به نمایش بگذارد. برای جلوگیری از این حمله می توانید از یک پلاگین یا CDN (شبکه های تحویل محتوا) مانند Cloudflare برای کمک به محافظت از فایل های رسانه ای خود استفاده کنید.
منبع: a2hosting.com
