Как защитить свой блог: 12 советов, о которых, возможно, ты еще не знаешь!

Привет тебе, дорогой читатель in4wp.ru. Сегодня будет достаточно интересный пост. В этой статье ты узнаешь как защитить свой блог о всяких вирусов или даже от ddos атак – примени эти правила – и твоему блогу не будет страшен никто!

Как ты уже знаешь – это не первый мой проект. Раньше у меня был монетаблог. И вот с ним-то у меня и были проблемы в плане защиты.

В один прекрасный момент у меня была просадка в посещаемости с 1000 до 200 – представь себе!

Самое главное, что эти вирусы могут быть “заразные”, т.е. сначала с сайта вирус кочует на твой компьютер, а потом, когда ты начинаешь залезать по фтп на блог – вирус кочует на твой блог. Ну и так далее по накатанной.

От сюда можно следовать вывод – не заходи на подозрительные сайты! В принципе, как показала практика, большинство пользователей так и делают, т.к. когда мой блог был в статусе “подозрительных” – посещаемость падала в ПЯТЬ ряз, а точнее до 200 человек в день.

Поэтому еще раз подумай, прежде чем лазить на подозрительные сайты и блоги.

Я не к тому, что нужно забыть и забить на все сайты, у которых встречаются такие пометки. Я лишь про то, что нужно помнить о том, что они могут стать такими же жертвами какой стал я в тот раз.

Кстати о пометках. Вот ты можешь спросить “про какие пометки я говорю”. Вот тебе скриншот, того что было с моим блогом и того что я имею сейчас ввиду.

Я даже больше расскажу. После того как взломали мой блог – вирусяка перебрался ко мне на компьютер и уже через меня переполз на другие сервера, с которыми я работал. У меня есть отдельно купленный хостинг у mchost и cishost – я их всем рекомендую, кстати. И вот на этих серверах у меня были удалены все(!) сайты, блоги, в общем – все проекты. Это было очень печально и чуть не началась паника, когда я увидел вот такие картинки на своих, а главное – клиентских сайтах:

Очень порадовала (в который раз) оперативность тех поддержки этих хостинг компаний, особенно mchost, которая предложила свои услуги в анализе, почему же был взломан хостинг, каким путем и главное – полное восстановление всех сайтов (который раз убеждаюсь что сделал выбор хостинга правильно).

Таким образом сайты были не доступы менее суток, что в принципе неплохо, учитывая проблему такого рода. Согласись? Напиши об этом в комментариях.

Но это мы с тобой обсуждаем лишь момент о том какие могут быть последствия взлома блога, т.е. как ты можешь понять что твой блог взломали.

А сейчас давай поговорим о том, что нужно сделать чтобы этого не происходило, или как защитить свой блог на wordpress от взлома.

Очень надеюсь, что все мои советы будут восприняты правильно и помогут большинству читателей. Я буду очень благодарен любым комментариям, поэтому не нужно скупиться на комментарии – пиши что думаешь.

12 советов о том как защитить блог от взлома!

Я сразу хочу сказать, что до взлома моего блога я не следовал ни одному совету, приведенному ниже. Очень вероятно, что это и стало причиной взлома. По повторяй моих ошибок!!!

Совет №1: При установке WordPress генерируй максимально сложные пароли к базе данных!

Простые пароли подбираются на раз-два обычным брутфорсером. Что это – я чуть позже распишу. Чем пароль сложнее – тем надежнее. Тем более, если учесть, что этот пароль тебе нужен будет лишь однажды, а потом его можно забыть.

Совет №2: При установке WordPress – изменяй префиксы таблиц в своей базе данных.

Стандартный префикс – wp_. Измени его! Ради блога твоего!

Когда устанавливаешь новый блог, движок предлагает тебе стандартное значение «wp_». Помни, чем более сложным будет значение этого префикса, тем менее вероятен взлом баз данных блога.

Не бойся придумывать сильно заумные значения. Они тебе не понадобятся, тем более если ты не программист, а вот усложнить жизнь взломщику – как два пальца.

Совет №3: Используй надежный пароль для входа в админку.

Самая распространенная ошибка (и я такое тоже встречал), что блоггеры устанавливают стандартную связку логина и пароля, а точнее: admin\admin. Естественно этот пароль подберет обычный любопытный школьник.

И что тогда ты будешь делать?

Кстати, на счет паролей – не стоит их хранить в FileZilla или Total коммандере. Потому что есть вирусы, которые специально “выдирают” эти сохраненные пароли. (Если ты не в курсе что это и как с этим работать – напишите мне, я напишу статью об этом).

Совет №4: Запрети регистрацию у себя на блоге.

Совет №5: Постоянно обновляйся.

Причем и сам WordPress и плагины, которые используешь до последней версии. Это нужно и очень важно!

Новые версии специально и выходят для того, чтобы устранить обнаруженные уязвимости в коде и кроме этого, разработчики, обычно еще больше оптимизируют код, чтобы плагин или движок работали быстрее.

Ты ведь хочешь чтобы блог был быстрее, и чтобы не пришлось заморачиваться над тем как ускорить блог, правда?

Совет №6: Удали все плагины которые НЕ используешь.

А также не стоит делать склад шаблонов. Некоторые шаблоны также могут содержать уязвимости. Но основной пункт здесь – это плагины.

Совет №7: Проверь права к файлам и папкам.

Самая распространенная ошибка среди новичков. Когда все файлы и папки новички ставят открытыми к записи и выставляют права 777. Я надеюсь все понимают, о чем я говорю.

Как это выглядит у меня в контрольной панели хостинга – вы можете видеть на скриншоте. Осмелюсь напомнить, в большинстве случаев права CHMOD на все папки твоего WP должны быть 755, на файлы 644.

Так что потрудись проследить за тем, чтобы твои CHMOD права были примерно такие же.

Чем это может грозить? Тем что кто угодно сможет загрузить любые файлы к тебе на блог и выполнить этот файл. Например вирус, или вредоносный скрипт. Это ведь так просто будет, правда?

Совет №8: Установи специальные плагины для защиты своего блога от хакеров.

Совет №9: Убери выскакивающую ошибку.

Возможно у тебя возникнет вопрос, а что не так с этой ошибкой? Почему её нужно убирать? Все очень просто. Дело в том, что когда взломщик начинает подбирать доступы к админке – он простым перебором будет перебирать все значения И логина И пароля.

А когда высвечивается ошибка, которую ты видишь на скриншоте – злоумышленнику достаточно подобрать сначала логин, потому что он видит, правльный логин или нет.

А когда он увидит сообщение типа “Пароль не правильный” – это значит что логин он подобрал правильно и осталось дело за малым.

Поэтому лучше это сообщение скрыть, чтобы никто не знал, что именно было набрано не верно.

Чтобы это сделать – нужно в файле functions.php вписать вот эту строчку:

add_filter('login_errors',create_function('$a', "return null;"));

Попробуй и напиши, что у тебя получилось.

Совет №10: Защити свой файл WP-CONFIG.PHP

Ты уже знаешь, что такое файл wp-config.php. Наверняка знаешь, если у тебя есть собственный блог. Это файл конфигурации, который содержит доступы к базе данных блога.

Чтобы его защитить – попробуй прописать вот такие строчки в файл .htaccess (если его нет – создай).:

# to protect wp-config.php
 <Files wp-config.php>
order allow,deny
deny from all
</Files>

Но это еще не все, на всякий случай, пару советов про конфигурацию wordpress:

Совет №11: Удали стандартную учетную запись администратора.

Во время установки движка – тебе по-умолчанию предлагается создать пользователя с именем ‘admin’ , в большинстве случаев все так и оставляют. Но лучше сменить это имя на какое-нибудь другое. А если уж ты действительно создали эту учетную запись, значит будем от неё избавляться.

Но зачем? – Спросит кто-то. Вспомни совет №8 – убирание подсказки при входе в админку. Имя пользователя – admin – это самое распространенное имя, которое есть почти в каждом блоге.

Давай усложним злоумышленникам жизнь по максимуму! Убери эту учетную запись и он будет в замешательстве!

Как убрать учетную запись? Все просто. В админке переходи по этому пути “Пользователи – Все пользователи” и там, в списке, просто удали пользователя “admin”.

При удалении пользователя, тебя система спросит вот то что показано на скриншоте.

А точнее “кто сейчас будет автором всех статей, которые написал удаленный пользователь?”. Ставишь себя, как ты там называться будешь и все.

Ты полноправный автор всех статей на блоге. Причем в настройках, в админке, ты сможешь изменить отображаемое имя по своему усмотрению. т.е. логин может быть один, а имя может отображаться какое пожелаете. Очень удобно.

Совет №12: Защищаемся от XSS-инъекций и злых URL-запросов.

Для начала о том, что такое XSS инъекция. Это когда злоумышленник пытается взломать ваш сайт с помощью дополнительных параметров в урл-адресе. Например вот как-то так

http://*****.ru/free?p='><script>скриптвзломщика</script>

Ну, я думаю принцип понятен. Так вот, чтобы твой блог не сломали таким макаром, желательно закрыть эту возможность. Вопрос в том как это сделать.

Нужно обратиться к нашему, уже любимому, файлу .htaccess и прописать в него следующее:

Options +FollowSymLinks
RewriteEngine On
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} GLOBALS(=|\[|\%[0-9A-Z]{0,2}) [OR]
RewriteCond %{QUERY_STRING} _REQUEST(=|\[|\%[0-9A-Z]{0,2})
RewriteRule ^(.*)$ index.php [F,L]

Вот, как только обнаруживается XSS атака – сразу же выдается ошибка 403.

Кроме этого, можно даже самостоятельно написать плагин, которые поможет тебе отбивать подобные атаки и защитить твой блог от взлома.

Ну, тут вообще все просто. Тебе нужно зайти в папку с плагинами, а точнее в /wp-content/plugins/ и создать там новый файл, с абсолютно любым названием.

Главное чтобы он был с расширением PHP. Например, superplugin.php.

Открываем его и пишем туда следующий код:

<?php
/*
Plugin Name: Block Bad Queries
Plugin URI: perishablepress.com/press/2009/12/22/protect-wordpress-against-malicious-url-requests/
Description: Protect WordPress Against Malicious URL Requests
Author URI: perishablepress.com/
Author: Perishable Press
Version: 1.0
*/
global $user_ID; 
if($user_ID) {
  if(!current_user_can('level_10')) {
    if (strlen($_SERVER['REQUEST_URI']) > 255 ||
      strpos($_SERVER['REQUEST_URI'], "eval(") ||
      strpos($_SERVER['REQUEST_URI'], "CONCAT") ||
      strpos($_SERVER['REQUEST_URI'], "UNION+SELECT") ||
      strpos($_SERVER['REQUEST_URI'], "base64")) {
        @header("HTTP/1.1 414 Request-URI Too Long");
	@header("Status: 414 Request-URI Too Long");
	@header("Connection: Close");
	@exit;
    }
  }
}
?>

Сохраняем, перезаписываем. И все, остается только зайти через админку в блог и активировать этот плагин. Что он будет делать? Он будет защищать твой блог от взлома!

А именно, проверять запрашиваемый URL на предмет злых запросов и если найдет что-то подозрительное – сразу выдаст ошибку 404 или ошибку 414 (слишком длинный запрос).

Ну вот в принципе и все основные методы защиты wordpress Блога от хакерских атак и взломов. Мне лишь остается напомнить тебе что нужно обновляться почаще, а также рекомендую менять пароли почаще. Кто-то меняет раз в квартал, кто-то раз в месяц – как хотите.

Ну и конечно же в заключение хотелось бы посоветовать – если ты самостоятельно не можешь или не хочешь вникнуть в суть этого вопроса – обращайся ко мне. Буду рад помочь.

Всегда с тобой, Денис Тумилович.

(No Ratings Yet)

Loading...