Wordpress blog security warning

[gvarth]

Τρεις εταιρείες (HostGator,CloudFlare,ResellerClub) που φιλοξενούν στους διακομιστές τους εκατομμύρια ιστολόγια που γράφονται με το εξαιρετικά δημοφιλές σύστημα διαχείρισης περιεχομένου Wordpress, γνωστοποιούν πως άγνωστοι εισβολείς επιχειρούν να αποκτήσουν πρόσβαση με δικαιώματα διαχειριστή σε ευάλωτους λογαριασμούς, με username το admin,δοκιμάζοντας προφανή password σε μηδενικό χρόνο.

 

Οι επιτιθέμενοι φαίνεται ότι έχουν τα μέσα για να εξαπολύσουν την επίθεση, αφού αναφέρεται πως 90.000 διαφορετικές διευθύνσεις IP υπολογιστών έχουν αναλάβει να δοκιμάζουν κωδικούς πρόσβασης με βάση μια λίστα, έως ότου τελικά πετύχουν την πρόσβαση (επίθεση "brute force").

 

Η επίθεση στο σύστημα διαχείρισης περιεχομένου Wordpress θα μπορούσε να λάβει τεράστιες διαστάσεις, αφού οι τρέχουσες εκτιμήσεις αναφέρουν πως ένας στους έξι δικτυακούς τόπους σήμερα στον Παγκόσμιο Ιστό βασίζεται στην πλατφόρμα του Wordpress.

 

Τι μπορούμε , εκ των υστέρων να κάνουμε ;

 

1. Να φτιάξουμε έναν χρήστη με όνομα τυχαίο που θα το σημειώσουμε και θα δώσουμε και ένα δύσκολο password 8 τουλάχιστον χαρακτήρων που σίγουρα θα περιέχει _ , & , $ κ.λ.π.

 

2. Να δώσουμε στο νέο χρήστη δικαιώματα διαχειριστή .

 

3. Να σβήσουμε τον χρήστη admin δηλώνοντας βέβαια ότι τα posts που έγραψε ο admin , να λογίζονται πλέον ότι τα έγραψε ο νέος χρήστης.

 

4. Εναλλακτικά , μπορούμε να ψάξουμε στα πρόσθετα του Wordpress κάποιο που να "μπλοκάρει" την πρόσβαση στο admin panel όταν αυτή πάει να γίνει με τους "γνωστούς" τρόπους , κάνοντας έτσι την αυτοματοποιημένη είσοδο αρκετά δυσχερή .

 

Επειδή τα παραπάνω μπορεί να ακούγονται "κινέζικα" , αναθέστε την υποστήριξη σε κάποιον φίλο ή συνάδελφο που τον εμπιστεύεστε ότι γνωρίζει ή επικοινωνείστε με την εταιρεία που σας φιλοξενεί το site/blog που έχετε φτιάξει και ζητείστε βοήθεια σχετική με την ασφάλεια σε επιθέσεις στο administration control panel .

 

____________________________

 

Πηγή Πληροφόρησης : http://tech.in.gr/ne...?aid=1231244260

[Didonis]

5. Στο cpanel να οριστεί κωδικός πρόσβαση για τον φάκελο /wp-admin/. Τα ρομποτακια θα τα βρουν μπαστούνια. Φυσικά το user name και το pass που θα δοθεί για την πρόσβαση στον φάκελο διαχείρισης να μη είναι ίδιος με τα user name και pass που έχουν οριστεί για την διαχείριση στην SQL για το word press.

 

6. καλό είναι να υπαρχει για εγγραφή όπως και για σύνδεση με το σίτε σας να έχει διπλό σύστημα Captcha. Πχ συνδυασμό γράμματα εικόνες με άλλο με αριθμητικές πράξεις αλλά με γραφή και όχι μόνο αριθμούς. Να διαλέξετε με ελληνικά. Τα διεθνή ρομποτακια που είναι εκατομμύρια δεν το κατέχουν καλά το Ελληνικός.

 

7. Συχνό Full Backup. Άλλο ημερήσιας βάσης κι άλλο εβδομάδας. Όταν διαπιστώσεις ότι σήμερα το πρωί σου το χακάρισαν και το βράδυ είχες προγραμματίσει το αυτόματο backup μπορεί να μη γνωρίζεις αν το χακαρισμα έγινε προ ή μετά backup. Αν έγινε προ και πας να το επαναφέρεις το επαναφέρεις χαλασμένο, οπότε πρέπει να έχεις εναλλακτική κάνα δυο μέρες πριν.

(καλού κακού κρατάς και ένα backup μήνα). Όσα μέτρα προστασίας και να έχεις άμα μπεις στόχος να σου κάνουν το χακαρισμα θα στο κάνουν. Οπότε μόνο αυτό σε σώζει.

[gvarth]

Όσα μέτρα προστασίας και να έχεις άμα μπεις στόχος να σου κάνουν το χακαρισμα θα στο κάνουν.

 

Το μόνο σίγουρο ...

 

Γι' αυτό φροντίζουμε για backup περιοδικά και τακτικά όπως σωστότατα παραπάνω επισημάνθηκε.