WordPress Zabezpečení: Vaše stránky jsou také zajímavé pro hackery

Tobias Schüring Aktualizováno Dne 23.ledna 2020
5 min.
Útoky hackerů na WordPress : Vaše stránky jsou také zajímavé pro hackery

28,4 procenta z největších světových webových stránek WordPress . Tato vysoká prevalence dělá WP stránky populární cíl pro hackery. Zejména provozovatelé malých stránek si často myslí, že jsou v bezpečí, protože kdo by měl hackovat blog s krátkým rozsahem nebo bez citlivých dat? Dnes vám ukážu, proč je to nebezpečný omyl, když přijde na WordPress - Bezpečnost.

WordPress je zvláště zajímavé pro útočníky, protože Použijte tolik stránek. Pro mnoho forem útoku, to není "kvalita" hacknutý cílů, na čem záleží, ale prostě schopnost infiltrovat co nejvíce stránek, jak je to možné automaticky. Příklad této chyby zabezpečení může vypadat při systematickém zneužívání chyby zabezpečení. Chybu zabezpečení In WordPress 4.7.1Nespočet stránek bylo znehodnoceno na domovské stránce s poznámkou "hacknutý".

Bezpečnostní společnost Sucuri zjistila tuto chybu zabezpečení WordPress Předán. A i když je problém WordPress 4.7.2 byla opravena poté, co se zneužití stalo známým. Miliony stránek hacknutý v takzvaný chudinské útoky.

Příklad ukazuje, že každý WordPress stránka je zajímavá pro útočníky. V drtivé většině případů jsou útoky zcela automatické. Dnes vám ukážu, jak může takový útok vypadat, co je cílem hackerů a jaké důsledky to může mít pro vás a vaše stránkyPokud byla vaše stránka jednou úspěšně napadena.

Hackeři chtějí, aby vaše WordPress stránky únos

Jak jsem řekl, většinu času to není o tom, jak velký je web, nebo co vyzvednout tam. Jednoduše automaticky napadá velký počet webových stránek, které nepřipojily určité chyby zabezpečení. Jakmile je web infikován, může být zneužit, například k odesílání spamu, nebo dokonce k distribuci malwaru - tj.

To je, jak hackeři vytvořit síť malware dodavatelů nebo botnet, které později používají pro DDoS nebo Brute Force Útoky Zneužívány. Takže jednotlivá stránka je často zajímavá pouze jako součást velkého celku. A čím více stránek útočník unese nebo infikuje, tím cennější je jeho počítač s malwarem.

Počet útoků na WordPress Zvyšuje

Počet útoků na webové stránky se v současné době zvyšuje. Podle společnosti Google, 2016 O 32 procent více stránek napadených hackery než v roce 2015. Jedním z nejčastějších typů útoků byl tzv. Brute Force Útoky. Zde jednoduše uhádnete pokusy o zadání správné kombinace přihlašovacího jména a hesla. Nebo útočníci již mají seznamy hesel, které mohou vyzkoušet.

To je rovněž zdůrazněno údaji poskytovatele bezpečnostních služeb Wordfence . Po celé měsíce Američané stálý nárůst těchto útoků na WordPress Záznam.

Útoky hackerů WordPress : Brute Force a komplexní útoky na WordPress od prosince 2016 do ledna 2017.
Na rozdíl od komplexních útoků se počet Brute Force Útoky. Ty nejsou závislé na existenci konkrétních chyb zabezpečení.

Reach je hlavním městem hackerů

To lze velmi dobře ilustrovat příkladem botnetu. Botnet je síť unesených webových stránek (což může být také internetové terminály nebo směrovače), která se používá například k řízení DDoS útoků proti webovým stránkám nebo serverům. Aktivuje prvky botnetu a bombarduje cíl na povel s tolika požadavky, že se stránka sbalí nebo se server stane přetíženým.

Čím více webových stránek hacker může přidat do svého botnetu, tím silnější a cennější se stává. To však také znamená, že WordPress instalace je často jen prvním krokem pro hackery. Druhým krokem je vytvořit něco, co lze zpeněžit.

Tři Jsou: informovat, identifikovat, infiltrovat

Zhruba nespecifické WordPress -Rozdělte hacky do tří fází:

Útoky hackerů WordPress : 3 fáze prototypického útoku na WP
Jakmile útočník zná chybu zabezpečení, začne skutečná práce: musí napsat program, který dokáže zjistit, zda chyba zabezpečení existuje, a poté ji automaticky zneužít.

Fáze 1: Získávání informací

V prvním kroku útočník vyhledává znalosti o známých nebo neznámých chybách WordPress . To je např. Databáze zabezpečení programu WPSCAN Možné.

S znesvěcením útoků, které jsem zmínil na začátku příspěvku, pohled na WordPress .org Dosaženo.

Fáze 2: Identifikujte vektory útoku

Nyní útočník ví, kde začít a musí napsat skript ve fázi 2, který mu umožní vybrat z množství stránek, které mají chybu zabezpečení. Při znesvěcování útoků na WordPress 4.7. a 4.7.1, bylo velmi snadné přečíst WordPress možné verze.

Fáze 3: Automatizované útoky

Jakmile je útočník nalezen, může znovu automaticky – hacknout stránky a provést (nežádoucí) změny. Některé typické příklady jsou:

  • Krádež dat: Útočník se pokusí ukrást citlivá data z vašeho webu nebo návštěvníků vašeho webu. Mohou to být e-mailové adresy nebo bankovní údaje – ale v zásadě je zajímavé vše, co lze prodat nebo znovu použít. Hacker může například na vaši stránku umístit nesprávný formulář, který ukradne všechna zadávaná data. A to v naprosto důvěryhodném prostředí a také SSL-šifrované.
  • Únosmísta: Útočník může WordPress stránku do botnetu. To umožňuje hackerovi získat kontrolu nad vaším webem a například je možné, aby s ním řídil Útoky DoS nebo DDoS.
  • Vstříknout škodlivý kód: Tím umístíte škodlivý kód na stránku. Útočník by například mohl zneužít váš reklamní prostor pro své vlastní účely nebo umístit na váš web formuláře, které kradou osobní údaje uživatelů.

Ve většině případů se náklady WordPress -Hacks čas a peníze

Jaké jsou náklady na WordPress -Hackeři vznikají a jaké přímé nebo nepřímé důsledky může mít útok přesně, nelze říci obecně. Ale hacknutý site operátoři vždy musí přizpůsobit těmto třem epizodám:

1) Náklady na obnovu

Každý den miliony útoků na WordPress Stránky. Jediným Plugin Výrobce Wordfence v průměru 35 milionů eur za duben 2017. Brute Force Útoky a 4,8 milionu útoků na zneužití Denní. Dovolte mi říci: neexistuje absolutní bezpečnost. Jediné, co můžete udělat, je minimalizovat pravděpodobnost, že budou hacknuti a vytvořit vhodné mechanismy, které vám umožní rychle obnovit stránku v případě případů.

V nejlepším případě máte Zálohování a lze jej snadno přehrát. Pokud jsou zálohy také infikovány nebo obnovení není možné, bude to dražší. Pak je tu čas a náklady na ruční odstranění malwaru.

2) Ztráta tržeb

V závislosti na typu škodlivého kódu, který byl použit, a na tom, jak dlouho je třeba váš web obsluhovat, mohou vám také vzniknout náklady ve formě ušlých příjmů z reklamy a prodeje.

3) Ztráta důvěry

Google vidí všechno: Napadená stránka často obsahuje škodlivý kód, který šíří malware. Pokud to Google zjistí a vy s tím nic neuděláte, vaše stránka skončí na černé listině. Při přístupu na web se návštěvníkovi zobrazí bezpečnostní upozornění, které varuje před malwarem nebo phishingem. To může také způsobit, že vaše pozice hodnocení vyhledávačů (SERP) trpí a ztratíte významný dosah.

Závěr: Útoky na WordPress stránky jsou normální

Tento článek není určen k vyvolání neopodstatněné paniky, samozřejmě. Ale to, co to má být jasné: Jen proto, že máte "malou" stránku, neznamená, že byste se neměli aktivně zabývat tématem bezpečnosti webových stránek.

Je například důležité vědět, že většina zranitelných míst je pravidelné aktualizace mohou být odstraněny. A že certifikát SSL nechrání váš web před útoky hackerů.

Na začátku jsem se zmínil, že pouhá velikost WordPress jako CMS dělá každou stránku potenciální cíl. Tato velikost však také přináší rozhodující výhodu: celosvětovou komunitu dobrovolníků a zaměstnanců WordPress -Společnost pracuje nepřetržitě, aby WordPress Bezpečnější. A tak dříve nebo později existuje odpovídající řešení pro každou zranitelnost a pro každý problém.

Jako správce systému společnost Tobias monitoruje naši infrastrukturu a hledá každý seřizovací šroub pro optimalizaci výkonu našich serverů. Vzhledem k jeho neúnavné úsilí, on je často také Slack k nalezení.

Podobné články

Komentáře k tomuto článku

Napsat komentář

Vaše e-mailová adresa nebude zveřejněna. Povinná pole jsou označena * .