10 шагов для защиты вашего WordPress блога

[Sun_ua]

Некоторые способы достаточно изощренные, но должны пойти на пользу.

[sshz]

Некоторые способы могут показаться параноидальными, но как программист могу сказать, это то, что действительно может защитить ваш блог от взлома.

[Hest]

про ssl хорошо, не знал

[AntonShevchuk]

1. С большой долей вероятности отпадет часть плагинов, т.к. частенько хардкодят путь к wp-content (тоже относится к 2.2)
10. Никто не застрахован от взлома кривых плагинов, более страшный вариант — кто-то ломанет доступ девелопера к SVN и зальет «обновления»

[codepoet]

1. wp-content относительно внутренней структуры останется неизменным, а в пенкте 2 нужно изменить файл wp-config.php, который не касается папки «wp-content».
10. поэтому и рекомендуется устанавливать только нужные и проверенные.

[AntonShevchuk]

Даже у проверенных плагинов есть авторы — а у них есть доступ к SVN'у…

[Freeman85]

Лучше создать блог «Я параноик» и публиковать это туда :D

[codepoet]

не стоит путать параною и беспечность ;-)

[SCoon]

Большая часть советов, увы, относится к категории "Security through obscurity" и является примером неправильного подхода к усилению безопасности.

К использованию можно рекомендовать только пункты 6, 9 и 10, которые трудно назвать оригинальными, не правда ли?

[codepoet]

что на счет 2 пункта? думаете стоит паренебрегать правильной(рекоммендуемой разработчиками) настройкой установочных файлов? а поверьте многие даже не подозревают что там есть такие поля…

[codepoet]

установочных=конфигурационных

[SCoon]

Рекомендованные разработчиками настройки не обязаны являться правильными. JFYI.

С советом включить SSL я согласен.

Совет менять префикс имени таблицы — классический пример STO. Самообман, ведущий к ощущению безопасности.

Что же до генерации уникальных ключей, то это должно защитить от чего конкретно? Вопрос без подвоха: я незнаком с исходниками последних версий wp.

[codepoet]

Соглашусь, что возможно вы правы и не все советы из списка значительно увеличивают безопасность. Но не соглашусь что всех их стоит списывать со счетов.

Что же до генерации уникальных ключей, то они должны усиливать шифрование информации в пользовательских кукисах, особенно для пользователей с привилегиями администратора и модератора. И чем-то еще. Подробности нужно смотреть в документации.

[SCoon]

Я кратко просмотрел исходники. Я вижу, что эти ключи помогают в случае, если кто-то УЖЕ хакнул сайт и вынес базу с хэшами паролей.

[kemko]

Ээээ. Какой еще самообман? Нестандартные имена вполне себе могут спасти, если обнаружена sql инъекция для которой разработчиками еще не выпущен хотфикс.

[SCoon]

Спасибо, Вы привели хороший пример ложной уверенности. Практически все промышленные СУБД предоставляют средства доступа к метаданным. Соответственно, при наличии sql injection нет ничего катастрофически сложного в том, чтобы получить доступ к таблице, зная не ее полное имя, а только уникальный постфикс. Сложность и осуществимость зависят, разумеется, от характера sql injection.

У примеру, в MySQL можно начать с протаскивания примерно такого запроса:

select * from information_schema.tables where table_name like '%users'

Соответственно, человек, сменив префикс на уникальный, ощущает ложную безопасность и не будет так спешить ставить фикс.

Спасибо за пример.

[kemko]

Я в курсе. А вот пишущие и читающие журнал «Хакер» судя по тем статьям что когда-то попадались на глаза — нет. Задача сунуть палки в колеса как можно бОльшему количеству людей. Если есть вероятность что кто-то может не знать такой конструкции — почему бы не усложнить ему жизнь?

[samlowry]

Эта задача прежде всего превращается в «сунуть палки в колёса себе» :)

[kolpeex]

*** К сожалению это до сих пор неприменимо к папке wp-admin.

Ну почему же? Если покопаться… ну, а если не копаться, то «Заменить» во всех файлах и все.

[panterras]

если Вордпресс уже стоит есть ли возможность поменять префикс таблиц?

[emaster]

Да, если у вас есть доступ к редактированию конфигурационного файла. На самом деле, кстати, в базе может храниться несколько вордпресовских баз с разными префиксами.

[n_petrov2090]

а нет такого же руководства для joomla? или там все сложнее?

[acornbreeze]

Насчёт префикса таблиц замечу, что если поставить свой некоторые плагины не работают или тема у меня одна падала от этого

[sshz]

Использовал нестандартные префиксы таблиц неодногократно, все работало как надо. Плагины которые от изменения префикса таблиц перестают работать это быдло-плагины какие то :)

[Newton]

Статья, на мой лично взгляд, тупейший бред для ламеров. Например, пункт 4 — кто-нибудь внятно способен объяснить, для чего это может быть нужно? Если файл wp-config.php находится в одном каталоге с index.php, само собой разумеется, что при обращении к нему «извне» (#$%) он будет обработан mod_php, и содержимое открыто не будет. Какой черт добавлять в .htaccess _лишнюю_ конфигурационную строку?

Советы 6 и 10 вообще очевиднее не придумаешь.

Такое чувство, что вы перевели статью, которую кто-то написал просто чтобы «добить» место на страницах журнала.

[recoilme]

А вы? Как вы защищаете свой блог от взлома? Что используете для этого?
1. Фильтрация XSS (отдельная статья страниц на 5)
2. No direct access alowed (index.html)
3. No direct script access allowed (проверка переменной под дефайном)
4. mysqlrealescapestring
5. intval($page), substr($string,0,255)
6. NO GET
7. htmlspechialchars
8. Disable CGI|PHP для расшаренных папок(картинки и т.п.), субдомены
9. encrypt_cookie
10. Валидация кук с сессиями
Это если вкратце.

[codepoet]

Если тоже самое подробнее — получится отличный пост!

[recoilme]

то же самое подробнее:
recoilme.ru/blog/comments/237

[codepoet]

хабр исправляет кавычки на свои

[alrond]

А ограничение по диапазонам IP своего провайдера и мест использования — 99.99% защита
Остальной 0.01% приходится на случаи если взломщик в одной подсети

[codepoet]

Замечательное решение! Сам удивился, что его нет в оригинальной статье, но дописавать от себя не стал, ограничился переводом.
P.S. Способ будет затруднителен, если вы делаете не для себя, а для заказчика например.

[samlowry]

Ага :) Залезть по ФТП :)

[alrond]

для этого нужны пути отступления — провайдер родителей, адреса соседнего интернет-кафе. Поэтому я и сделал приписку — «и мест использования»

[samlowry]

Паролить wp_admin через браузер не рекоммендую, ибо тогда флеш-аплодер требует авторизацию отдельно, при этом первая картинка в любом случае не обрабатывается → получается пустой.

[codepoet]

не знал этого, спасибо за совет

[Mokkey]

Рекомендую также удалять лишние файлы. Например, readme.html в корневой папке движка.

В одной из подобных статей (а возможно даже в комментариях к копиям этой же статьи на иных сайтах) активно рекомендовали скрывать отображение текущей версии движка. В том числе через плагины типа Replace WP-Version (http://wordpress.org/extend/plugins/replace-wp-version/). Мера конечно сомнительная, но допустим, что её можно тоже применить, как дополнение.

НО, нет смысла прятать демонстрацию версии WP, если можно обратиться к readme.html и получить эти данные:

www.vanilla-man.com/readme.html
wp-config.ru/readme.html

Этот файл вновь будет появляться всякий раз, как мы будем обновлять версию WP в авторежиме.

[codepoet]

я не прятал её и в коде, так как не вижу в этом смысла… соответственно readme.html тоже оставлял
но если вы таки решились на этот шаг — особенно странно убирать всего одну строку в теме при помощи плагина

[Mokkey]

У себя я версию не скрывал — не вижу особого смысла.

[rondob]

А кто как борется со спамом в комментариях? Как можно добавить дополнительные поля в форму для комментария? Может есть такие плагины? Посоветуйте пожалуйста! Спасибо!

[codepoet]

Akismet

[rondob]

Спасибо Вам за помощь! Никак не могу найти решение/плагин для добавления своих полей в форму для комментария… Может кто уже решил эту проблему? Спасибо!

[MrFreeman]

В общем, советы по защиет одни и те же, только теперь вам стоит немного потратиться на человека, который за деньги проверит ваш сайт на наличие уязвимостей и сообщит вам результаты.

Хочу предложить Вам в помощь сайт hackmysite.ru для проверки защиты вашего ресурса — по сути фриланс биржа для людей обладающих умением взлома. От вас требуется разместить проект, указать тип уязвимости и бюджет. Дальше просто — ждать предложения выполнить проект от экспертов взлома. Проект молодой и ждёт своих клиентов!