امنیت در WordPress و شناسایی فایل های هک شده
در این مطلب قصد داریم به بررسی امنیت در WordPress و شناسایی فایل های هک شده در آن بپردازیم . امیدواریم این مقاله مورد توجه شما قرار بگیرد. با ما همراه باشید.
امنیت در WordPress
یکـی از محبوب‌ترین سیستم‌های مدیریت وب‌سایت ها WordPress می‌باشد که این علت باعث شده هست تا هکرها برای پیدا کردن راه‌های نفوذ به این سیستم روز به روز زیـادتر کوشش نمایند. در اینجا در ۱۰ وهله آموزش تا حد توانایی سایت شما در رو به روی نفوذ هکرها در امان می‌ماند ولی این را آگاه باشید هیچ چیزی در رو به روی نقوذ ۱۰۰٪ نمی‌باشد.
۱- قدم اول برای مواجهه با هکرهای آنلاین پاک بودن سیستم خود شممی باشد. یعنی می بایست مطمئن باشید که سیستم شما از لحاظ ویروسی نبودن ایمن هست که برای این کار راه های بیشتری وجود دارد از جمله نصب بودن آنتی‌ویروس پر قدرت و مشاهده نکردن کار های مشکوک.
۲- قدم بعدی که همیشه باید رعایت نمایید بهره گیری از آخرین ورژن سیستم وردپرس هست که این کار باعث ممانعـت از خیل عظیم نفوذها با باگ های موجود در ورژن های قبلی می شـود .
۳- در وهله سوم شما می بایست مطمئن باشید نام کاربری شما غیرمتعارف و غیرهمنام با نام دامین بوده و ضمناً یک رمز گذر پر قدرت که در آن اعداد و حروف و علائم هر سه به کار رفته و بالای ده کاراکتر است را دارا باشید.
۴- در قسمـت کاربران دقت نمایید کاربری با نام Admin نباشد، چنان چه که این نام را دارا است از پلاگین “Admin username changer” برای عوض کردن نام بهره گیری نمایید.
۵- از Captcha ها برای وارد شدن به سیستم و قسمـت نظر ها بهره گیری نمایید برای اینکار از پلاگین های Captcha برای کمپانـی BWS خواهید توانست بهره گیری نمایید که هم برای گوگل reCaptcha را دارا است و هم سیستمی با اعمال ریاضی مثل جمع و … مثل تصویر زیر:
امنیت در WordPress
۶- با پلاگین “Limit Login Attempts” تعداد دفعات داخل ناموفق به سیستم خود را محدود نمایید تا موقعی غلط وارد نمودن چند مرتبه رمز و نام غلط ی تا یک ساعت داخل از آن IP و توکن موجود در Cookies موجود ناممکن شود.
۷- قسمـت پلاگین های وردپرس را هر چند مدت چک نمایید تا ببینید پلاگین ای به روز رسانی داشت اقدام نمایید و از نصب بودن پلاگین های بیکار و غیر سودمند اجتناب کرده و آنان را در اولیـن فرصت غیرعـادی کرده و پاک نمایید. دقت نمایید که برای پلاگین غیرفعال بودن ضـروری نیست و هکر خواهـد توانست از پلاگین غیرفعال هم برای هک کردن کمک بگیرد.
۸- پلاگین سودمند “iThemes Security” را قطعا داشته باشید ولی پیش از بهره گیری و نصب آن از کل دیتابیس و هاست خود بک آپ داشته باشید. چون تنظیمات این پلاگین اگر دقت ننمایید باعث بعضـی مـوارد جدی میگردد. این پلاگین همه مسائـل بالا را ضمناً در خود دارد و در قسمـت Dashboard آن خواهید توانست مسائـل امنیتی مورد نیاز که اصرار شده هست را تنظیم نمایید.
۹- از پلاگین “IP Filter” خواهید توانست از قسمـت Logs موجود در وهله پیش کمک گرفته و آیپی هایی که کوشش می نمایـند وارد سایت شما شوند را بلاک نمایید . در این پلاگین دقت بیشتری لازم هست چنان چه که مهارت خود را ضـروری ناطلاع داریـد این وهله را انجام ندهید.
۱۰- بسته به سیستم هاستینگ خود بک آپ های چند روز یک مرتبه را فراموش ننمایید و در مدیت های معیـن قطعا از سایت خود بک آپ و فایل پشتیبان داشته باشید چون هکرهایی می باشند که تمام چیز را پاک می نمایـند و شانس دارد در عرض چند دقیقه کل کوشش های چند ساله شما به فنا برود.
توجه: موقعی وجود پرسش یا نکته با ارزش در قسمـت نظر ها بیان نمایید تا در متن اعمال گردد
ابزارهای تشخیص سریع
اگر شما مشکوک شدید که سایتتان به تهدید افتاده است، چند ابزار رایگان وجود دارد که برای شما یک تشخیص سریع را انجام خواهند داد. مناسـب تر هست ابتدا از ابزار تشخیص مرور ایمنی گوگل دیدن نمایید . URL خود را در انتهـا این لینک وارد نمایید :
http://www.google.com/safebrowsing/diagnostic?site=wptavern.com
هر چند که چنان چه فایل های هسته ی وردپرس تغییر کرده باشند، این کار به شما اطلاع نمی دهد ، ولی خواهید توانست یک ایده کامل بدست بیاورید که آیا سایت شما در معرض توزیع نرم افزارهای مخرب قرار گرفته هست یا نه. این ابزار اطلاعاتی به شرح پایین را در اختیار شما قرار می دهد:
• چنان چه وضعیت لیست فعلی سایت شما مشکوک باشد
• چنان چه گوگل متوجه گـردد که یک نرم افزار مخرب در زمان بازدید یک کاربر از سایت شما، بدون رضایت دانلود و نصب می شـود
• چنان چه سایت به عنوان یک واسطه عمل کرده و در سرانجام ی آن نرم افزارهای مخرب انتشار داده شده اند
• چنان چه سایت شما در ۹۰ روز قبلی میزبان نرم افزار مخرب بوده است
اسکنر راه دور Sucuri SiteCheck یکـی دیگر از ابزارهای تشخیصی سریع و رایگان هست که خواهـد توانست سریع در لیست مشکی بودن، نرم افزارهای مخرب، جاوا اسکریپت مخرب، iFrame های مخرب، نرم افزارهای مخرب دانلود نمایـند ه، ناهنجاری، یورش های IE، تغیی مسیرهای مشکوک و هرزنامه ها را بازبینی نماید .
اما ، چیزهای بیشتری وجود دارند که Sucuri و گوگل نمی تواند تشخیص دهند، پس تنها به این دو متکی نشوید. چنان چه بخواهید که دقیقا همـه فایل های هک شده ی وردپرس را ردیابی نمایید ، می بایست یک ابزار ویـژه وردپرس را به کار بگیرید.
پلاگین های رایگان وردپرس برای شناسایی دستکاری فایل ها
چند پلاگین رایگان به عنوان مورد های خیلی عالی برای انجام اسکن سریع در نصب و راه اندازی وردپرس، وجود دارد. فراتر از اینها نیز چندین مورد ی عالی دیگر هم برای نظارت مستمربر روی سایت وردپرس خود به منظور بازبینی فایل های دستکاری شده وجود دارد.
پلاگین Exploit Scanner
پلاگین Exploit Scanner بوسیـله یکـی از گسترش دهندگان به نام Donncha O Caoimh، برای جستجوی هم فایل ها و هم پایگاه داده های وب سایت شما به منظور پیدا کردن نشانه هایی از کار های مشکوک، تهیه شده می باشد. این پلاگین ضمناً خواهـد توانست نام فایل های غیر معمول در میـان لیست پلاگین های فعال شما را تشخیص دهد.
نتایج، یادداشت های سودمند ، هشدارهای جدی و یا تهدید شدید را نشان می دهد. با این حال، این پلاگین تنها یک ابزار تشخیصی می باشد. وقتی که تهدیدی را کشف کردید، می بایست به شیوه دستی آن را پاک نمایید .
پلاگین Sucuri Security – اسکنر SiteCheck Malware
اعضای Sucuri یک پلاگین رایگان برای سایت های وردپرس تولـید کرده اند که طیف گسترده ای از بازبینی های امنیتی را انجام می دهد. اسکنر Sucuri SiteCheck Malware به شما نشانه های مناسب و معقولی عرضه می دهد که نشان می دهد آیا سایت شما در تهدید هست یا نه. این پلاگین قادر به تشخیص اقسام مختـلفی از نرم افزارهای مخرب، تزریق هرزنامه ها، ارور های وب سایت، سایت های غیر فعال، مـوارد مربوط به اتصال به پایگاه داده، ناهنجاریهای کد و بسیار زیـادتر از اینها می باشد.
علاوه بر خصوصیات ی تشخیصی آن، اسکنر Sucuri ضمناً قادر هست که بطور اتوماتیک اقداماتی برای مطمئن تر کردن نصب وردپرس شما، انجام دهد، از جمله:
• اثبات کردن ورژن ی وردپرس
• حفاظت از فهرست آپلودها
• محدود کردن دسترسی به محتوای وردپرس
• محدود کردن مشمولات دسترسی وردپرس
• اثبات ورژن ی PHP
• غیر فعال کردن تم ها و پلاگین های ویرایشگر
• اسکن همـه فایل های مهـم وردپرس برای وجود هر گونه تغییر
در نهایت، توانایی “ارسال هک” اسکنر Sucuri برای یک سایت خیلی که به شانس دارد به تهدید افتاده باشد، سودمند می باشد. این به شما اجازه می دهد تا بطور اتوماتیک همـه واژگـان گذر و کلیدهای پنهـان را برای همـه کاربران در بخـش نصب، مجددا تنظیم نمایید .
پلاگین های وردپرس رایگان برای نظارت فعال بر دستکاری فایل ها
اگر می خواهید بطور فعال بر سایت وردپرس خود برای دستکاری فایل ها نظارت داشته باشید، دوپلاگین ی خیلی عالی وجود دارد که به شما کمک خواهد کرد.
پلاگین Wordfence Security
پلاگین ی Wordfence Security، پلاگین ای هست که فایل های اصلی، تم ها و پلاگین ها را برای بازبینی یکپارچگی آنان در مساوی ورژن های مخزن WordPress.org، اسکن می کند . این پلاگین بطور همیشگی برای نرم افزارهای مخرب و URLهای مشکوک، از جمله همـه URL های موجود در فهرست مرور ایمن گوگل، اسکن انجام می دهد. این پلاگین تمام نظـر ات، پست ها و فایل ها را برای پیدا کردن تهدیدات امنیتی، بازبینی می کند . Wordfence ضمناً با چندین سایت سازگار می گـردد و شما خواهید توانست فقط با یک کلیک همـه وبلاگ های موجود در شبکه ی خود را اسکن امنیتی نمایید . شما ضمناً خواهید توانست گزینش نمایید که فایل های دستکاری شده، به شیوه اتوماتیک مرمت شوند.
علاوه بر اسکن یکپارچگی فایل ها، این پلاگین ضمناً یک میزبان از خصوصیات ی امنیتی دیگر به منظور کمک به حفظ امنیت سایت شما در مساوی دستکاری، فراهم می کند . بعضـی از نکات برجسته عبارتند از:
• نظارت بر فضای دیسک (اکثر حملات DDoS کوشش می نمایـند که همـه فضای دیسک را اشغال نمایـند تا سرویس دهی را انکار نماید )
• توانایی انجام دو فاکتور تأیید هویت
• مورد برای به اجرا درآوردن واژگـان گذر پر قدرت برای قسمـت مدیریت، ناشران و کاربران سایت شما
• حاوی یک فایروال برای ممانعـت از تهدیدات امنیتی مشترک مثل Googlebots جعلی، اسکن های مخرب هکرها و بوت نت ها
• اسکن برای ورژن های قدیمی اسکریپت timthumb
Wordfence ده ها مورد ی قابل تنظیم دارد، ولی چنان چه شما زیـادتر از این نیاز دارید خواهـد توانست یک کلید API اعلاء ساخته نمایید که به شما توانایی داخل به وسیله ی تلفن همراه و از طریق SMS را می دهد و اجازه می دهد تا کشورها و اسکن برنامه ها را در وقـت های ویژه ای مسدود نمایید .
پلاگین WordPress File Monitor Plus
یکـی دیگر از پلاگین های خیلی عالی برای شناسایی فایل های دستکاری شده، پلاگین ی WordPress File Monitor Plus می باشد. این پلاگین به طور همیشگی بر سایت وردپرس شما برای پیدا کردن فایل های اضافه شده / پاک شده / تغییر کرده ، نظارت می کند . وقتی که یک تغییر شناسایی شود، هشدار آن را به ایمیل شما ارسال می کند . چنان چه که شما ایمیل را اخذ ننمایید ، این هشدار را ضمناً در درون قسمـت مدیریت وردپرس اخذ خواهید کرد.
پلاگین ی WordPress File Monitor Plus ضمناً با چندین سایت سازگار می شـود . خصوصیات ی مهـم آن عبارتند از:
• توانایی نظارت بر تغییرات فایل ها بر حسب هش آن فایل، مهر وقتی و / یا حد ی فایل
• توانایی پاک فایل ها و فهرست ها از اسکن (به عنوان مثال چنان چه شما از یک سیستم گیرنده بهره گیری می نمایید که فایل های خود را در منطقه تحت نظارت ذخیره می کند )
• حاوی کردن URL سایت در ایمیل اطلاع رسانی در نکات ی که پلاگین در سایت های مختـلفی بهره گیری می شـود
• توانایی انجام بازبینی فایل ها از طریق cron خارجی که سرعت بازدید نمایـند ه ها از وب سایت شما را کم نکند و انعطاف زیادتری در زمان برنامه ریزی عرضه دهد
• توانایی تنظیم نادیده گرفتن و یا تنها اسکن کردن پسوند فایل ها
بزرگترین مزیت دارا بودن یک پلاگین شبیه به این، آن هست که ضـروری نیست بطور منظم اسکن انجام دهید. این کار مثل در اختیار دارا بودن یک جفت چشم همیشه مراقب بر روی سایتتان می باشد. چنان چه هر چیز مشکوکی شناسایی شود، یک هشدار در صندوق پستی خود اخذ خواهید کرد.
در صورت هک شدن چه اقداماتی انجام شود؟
دانستن اینکه افزونه، تم و یا فایل های مهـم هک شده اند، خیلی با ارزش می باشد. چنان چه شما از پلاگین ای که بطور اتوماتیک تعمیرات انجام می دهد بهره گیری نمی نمایید ، بـعد باید کشف نمایید که کدام فایل می بایست جایگزین شود. چنان چه مشخص شد که تهدید در فایل های مهـم شما صورت گرفته است، ردیابی کردن فایل دقیق، خاصیت ی چندانی ندارد. احتمالا مجبور شوید که همـه آنها را جایگزین نمایید . می بایست مجـدد وردپرس را به شیوه دستی نصب نمایید . پیش از آغاز هر گونه تعمیرات فایل های هک شده، پشتیبان گیری نمایید . ضمناً ، به یاد داشته باشید که فایل htaccess خود را برای تغییراتی که شانس دارد بدون اطلاع شما اضافه شده باشد، بازبینی نمایید .
وردپرس مدت های زیاد هست که هدف ویژه ای برای هکرها و اسپم سازها حساب می شـود . مستندات، یک مأخذ زیاد دربـاره چگونگی پاک کردن یک سایت هک شده ی وردپرس و راهنمایی برای ایمن تر کردن آن دارند. سایت های وردپرس حفاظت نشده ی قدیمی، به خاص آسیب پذیرتر می باشند . یکـی از برترین کارهایی که برای کمک به حفظ ایمنی سایت خود خواهید توانست انجام دهید، این هست که از به روز رسانی شدن آن به ورژن ی وردپرس ۳٫۷، اطمینان حاصل نمایید . این نسخه، به روز رسانی بـعد زمینه را برای امنیت و انتشارات جزئی، عرضه می دهد.
خب دوستان به پایان مقاله امنیت در WordPress و شناسایی فایل های هک شده رسیدیم . از توجه شما سپاسگزاریم . در صورتی که نیاز به اطلاعاتی در مورد سرور مجازی و هاستینگ دارید کلیک کنید.