{"id":247528,"date":"2022-12-31T11:29:00","date_gmt":"2022-12-31T08:29:00","guid":{"rendered":"https:\/\/inform.click\/wordpress-pressi-all-kaitske-oma-katega\/"},"modified":"2022-12-31T11:29:00","modified_gmt":"2022-12-31T08:29:00","slug":"wordpress-pressi-all-kaitske-oma-katega","status":"publish","type":"post","link":"https:\/\/inform.click\/et\/wordpress-pressi-all-kaitske-oma-katega\/","title":{"rendered":"WordPress pressi all. Kaitske oma k\u00e4tega"},"content":{"rendered":"<p>\n  WordPress \u2013 mugav platvorm artiklite avaldamiseks ja haldamiseks, mis p\u00f5hineb tohutul hulgal erinevatel saitidel. Oma levimuse t\u00f5ttu on see CMS h\u00e4kkeritele pikka aega olnud maitsev suupiste.\n<\/p>\n<p>\n  Kahjuks ei taga p\u00f5hiseaded piisavat kaitsetaset, mist\u00f5ttu on palju auke katmata krediidiriski t\u00f5ttu. Selles artiklis k\u00e4sitleme t\u00fc\u00fcpilist WordPressi h\u00e4kkimissaiti ja n\u00e4itame, kuidas tuvastatud turvaauke parandada.\n<\/p>\n<p>\n  T\u00e4nap\u00e4eval on k\u00f5ige populaarsem sisuhalduss\u00fcsteem WordPress. Selle osakaal on 60,4% CMS-mootoreid kasutavate saitide koguarvust. Neist statistika j\u00e4rgi 67,3% saitidest p\u00f5hinevad tarkvara uusimal versioonil. Vahepeal leiti veebimootori kaheteistk\u00fcmne aasta jooksul 242 erinevat t\u00fc\u00fcpi turvaauku (v\u00e4lja arvatud kolmandate osapoolte pistikprogrammides ja teemades leitud haavatavused). Kolmanda osapoole lisandmoodulite statistika on veelgi kurvem. Nii viis ettev\u00f5te l\u00e4bi anal\u00fc\u00fcsi 2350 Revisium Russified WordPressi mallis, mis v\u00f5eti erinevatest allikatest. Selle tulemusena leidsid nad, et enam kui pooled (54%) olid nakatunud Web Shelliga, tagauksed, blackhat seo (&#8220;r\u00e4mpspost&#8221;) lingid ja skriptid sisaldasid kriitilisi turvaauke. Nii et istuge maha, N\u00fc\u00fcd m\u00f5istame, kuidas WordPressi saidil auditit l\u00e4bi viia ja leitud puudused k\u00f5rvaldada. Kasutatakse versiooni 4.\n<\/p>\n<h5>\n  Indekseerimissait<br \/>\n<\/h5>\n<p>\n  Iga testi esimene samm on tavaliselt sihtm\u00e4rgi kohta teabe kogumine. Ja siis v\u00e4ga sageli aitab see valesti seadistamine Indekseerimissait, mis v\u00f5imaldab volitamata kasutajatel vaadata saidi teatud jaotiste sisu ja saada n\u00e4iteks teavet installitud pistikprogrammide ja teemade kohta, samuti juurdep\u00e4\u00e4su konfidentsiaalsetele andmetele v\u00f5i andmebaaside varukoopiatele.. Kontrollimaks, millised kataloogid on v\u00e4ljastpoolt n\u00e4htavad, on lihtsaim viis Google'i eeliste kasutamiseks. Piisab, kui k\u00e4ivitada p\u00e4ring Google Dorks t\u00fc\u00fcpi site: example.com intitle: \u00abindex of\u00bb inurl: \/ wp-content \/. Operaatori inurl: saate m\u00e4\u00e4rata j\u00e4rgmised kataloogid:\n<\/p>\n<p>\n  <code>\/wp-content\/<\/code><br \/>\n  <code>\/wp-content\/languages\/plugins<\/code><br \/>\n  <code>\/wp-content\/languages\/themes<\/code><br \/>\n  <code>\/wp-content\/plugins\/<\/code><br \/>\n  <code>\/wp-content\/themes\/<\/code><br \/>\n  <code>\/wp-content\/uploads\/<\/code>\n<\/p>\n<p>\n  Kui saate vaadata faili \/ wp-content \/ plugins \/, on j\u00e4rgmine samm installitud pistikprogrammide ja nende versioonide kohta teabe kogumine oluliselt lihtsustatud. Loomulikult saate indekseerimist takistada faili robots.txt abil. Nii et vaikimisi pole see WordPressi installipaketti kaasatud, on vaja luua ja visata end saidi juurkataloogi. Faili robots.txt loomise ja sellega t\u00f6\u00f6tamise juhendeid on \u00fcsna palju, nii et j\u00e4tke see teema enda teada. Et anda vaid \u00fcks v\u00f5imalikest valikutest:\n<\/p>\n<pre><code>User-Agent: *\nDisallow: \/cgi-bin\nDisallow: \/wp-login.php\nDisallow: \/wp-admin\/\nDisallow: \/wp-includes\/\nDisallow: \/wp-content\/\nDisallow: \/wp-content\/plugins\/\nDisallow: \/wp-content\/themes\/\nDisallow: \/?author=*\nAllow: \/<\/code><\/pre>\n<p>\n  Kui \u00fcleslaaditavatesse kaustadesse salvestatud failid on konfidentsiaalne teave, lisage sellele loendi reale: Disallow: \/ wp-content \/ uploads \/. Teisest k\u00fcljest ei soovitata faili robots.txt paigutada linke kataloogidele, mis on loodud spetsiaalselt tundliku teabe salvestamiseks. Vastasel juhul h\u00f5lbustate sellega r\u00fcndaja \u00fclesannet, sest see on esimene koht, kus tavaliselt k\u00f5ik otsivad &#8220;jammy&#8221;.\n<\/p>\n<h5>\n  WordPressi turbepluginad<br \/>\n<\/h5>\n<ul>\n<li>\n    <a href=\"https:\/\/wordpress.org\/plugins\/login-lockdown\/\" target=\"_blank\" rel=\"noopener\">Login LockDown<\/a> \u2013 piirab eba\u00f5nnestunud sisselogimiskatsete arvu;\n  <\/li>\n<li>\n    <a href=\"https:\/\/revisium.com\/rwp\/\" target=\"_blank\" rel=\"noopener\">Revisium WordPressi teemakontroll<\/a> \u2013 otsib WordPressi teemadest t\u00fc\u00fcpilisi pahavara t\u00fckke;\n  <\/li>\n<li>\n    <a href=\"https:\/\/wordpress.org\/plugins\/sucuri-scanner\/\" target=\"_blank\" rel=\"noopener\">Sucuri Security<\/a> \u2013 teostab pahatahtliku koodi j\u00e4lgimist ja tuvastamist;\n  <\/li>\n<li>\n    <a href=\"https:\/\/wordpress.org\/plugins\/better-wp-security\/\" target=\"_blank\" rel=\"noopener\">IThemes Security (endine Better WP Security)<\/a> \u2013 mitme pistiku WordPressi kaitsmiseks;\n  <\/li>\n<li>\n    <a href=\"https:\/\/wordpress.org\/plugins\/backupwordpress\/\" target=\"_blank\" rel=\"noopener\">BackUpWordPress<\/a> \u2013 teeb failide ja andmebaaside varukoopiaid;\n  <\/li>\n<li>\n    <a href=\"https:\/\/wordpress.org\/plugins\/google-captcha\/\" target=\"_blank\" rel=\"noopener\">Google Captcha (reCAPTCHA)<\/a> \u2013 loob captcha registreerimisel, sisselogimisel, parooli taastamisel ja kommentaaride kujul.\n  <\/li>\n<\/ul>\n<h5>\n  \u00dchendage .htaccess<br \/>\n<\/h5>\n<p>\n  Tundlikule teabele juurdep\u00e4\u00e4su piiramiseks on parem kasutada faili .htaccess \u2013 see on konfiguratsioonifail, mida kasutab Apache veebiserver. Kaaluge faili v\u00f5imalust ohutuse seisukohast. Sellega saate: keelata juurdep\u00e4\u00e4su kataloogidele ja failidele, lukustada mitmesuguseid SQL-i s\u00fcstimisi ja pahatahtlikke skripte. Selle CMS WordPress 4.1 standardse .htaccess-faili jaoks peate veidi laiendama. Failide ja kaustade loendi sulgemiseks lisage:\n<\/p>\n<pre><code>Options +FollowSymLinks -Indexes\n \nRewriteCond %{QUERY_STRING} base64_encode[^(]*([^)]*) [OR]<\/code><\/pre>\n<p>\n  Blokeeri viited, mis sisaldavad kodeeringut Base64. Vabanege silti sisaldavatest linkidest :\n<\/p>\n<pre><code>RewriteCond %{QUERY_STRING} (|%3E) [NC,OR]<\/code><\/pre>\n<p>\n  Skriptide vastu v\u00f5itlemiseks, mis \u00fcritavad m\u00e4\u00e4rata globaalseid muutujaid v\u00f5i muuta <code>_REQUEST<\/code>muutujat URL-i kaudu:\n<\/p>\n<pre><code>RewriteCond %{QUERY_STRING} GLOBALS (=|[|%[0-9A-Z]{0,2}) [OR]\nRewriteCond %{QUERY_STRING} _REQUEST (=|[|%[0-9A-Z]{0,2})<\/code><\/pre>\n<p>\n  Teatud v\u00f5tmes\u00f5nu sisaldava URL-i SQL-i sisestamise blokeerimise p\u00e4ringute vastu v\u00f5itlemiseks:\n<\/p>\n<pre><code>RewriteCond %{query_string} concat.*( [NC,OR]\nRewriteCond %{query_string} union.*select.*( [NC,OR]\nRewriteCond %{query_string} union.*all.*select [NC]\nRewriteRule ^(.*)$ index.php [F,L]<\/code><\/pre>\n<p>\n  Levinud h\u00e4kkimist\u00f6\u00f6riistade elu rikkumiseks filtreerib teatud kasutajaagendid:\n<\/p>\n<pre><code>SetEnvIf user-agent \u00abIndy Library\u00bb stayout=1\nSetEnvIf user-agent \u00ablibwww-perl\u00bb stayout=1\nSetEnvIf user-agent \u00abWget\u00bb stayout=1\ndeny from env=stayout<\/code><\/pre>\n<h5>\n  Kaitseb faile<br \/>\n<\/h5>\n<p>\n  Oleks tore piirata ja juurdep\u00e4\u00e4su kriitilistele failidele, mis salvestavad konfiguratsiooni v\u00f5i v\u00f5ivad lihtsalt anda r\u00fcndajale teavet. Saate valida j\u00e4rgmised kandidaadid:\n<\/p>\n<ul>\n<li>Wp-config.php, sisaldab andmebaasi nime, kasutajanime, parooli ja tabeli eesliidet;\n  <\/li>\n<li>.htaccess;\n  <\/li>\n<li>Readme.html ja ru_RU.po, mis sisaldavad WordPressi versiooni;\n  <\/li>\n<li>Install.php.\n  <\/li>\n<\/ul>\n<p>\n  Seda tehakse j\u00e4rgmiselt.\n<\/p>\n<pre><code>\nOrder Allow,Deny\nDeny from all\n<\/code><\/pre>\n<p>\n  Neid ridu sisaldav fail .htaccess peaks asuma samas kataloogis, kus fail on kaitstud. Seej\u00e4rel \u00e4rge lubage kasutajate loendit (pidage meeles, natuke k\u00f5rgemal, me r\u00e4\u00e4kisime sellest, kui lihtne on kasutajate loendit hankida?):\n<\/p>\n<pre><code>RewriteCond %{QUERY_STRING} author=d\nRewriteRule ^ \/? [L,R=301]<\/code><\/pre>\n<p>\n  Niisiis, mida veel? Sissep\u00e4\u00e4su saab lubada ainult m\u00e4\u00e4ratud IP-aadressidelt. Selleks looge oma wp-adminis .htaccess-fail j\u00e4rgmiste reeglitega:\n<\/p>\n<pre><code>AuthUserFile \/dev\/null\nAuthGroupFile \/dev\/null\nAuthName \"Access Control\"\nAuthType Basic\norder deny,allow\ndeny from all\nallow from 178.178.178.178  # IP Home computer\nallow from 248.248.248.248  # IP Work computer<\/code><\/pre>\n<p>\n  Meetod ei ole eriti paindlik ja on rakendatav ainult siis, kui t\u00f6\u00f6tate piiratud arvu fikseeritud IP-aadressidega. Vastasel juhul on soovitatav hostimise kaudu m\u00e4\u00e4rata kausta wp-admin paneeli parool (kui see funktsioon on olemas).\n<\/p>\n<h5>\n  WWW<br \/>\n<\/h5>\n<p>\n  Perishable Pressi 5G musta nimekirja ja 6G musta nimekirja beeta reeglistik, mis v\u00f5imaldab teil toime tulla WordPressi levinud pahatahtlike URL-i p\u00e4ringutega.\n<\/p>\n<h5>\n  Lisameetmed<br \/>\n<\/h5>\n<p>\n  Lisaks \u00fclaltoodule v\u00f5ib lisada j\u00e4rgmised soovitused. Esiteks kasutage ainult WordPressi ja selle komponentide uusimaid versioone \u2013 see k\u00f5rvaldab teadaolevad haavatavused. Teiseks eemaldage pistikprogrammid ja teemad, mida saab ka proekspluatirovat. Kolmandaks laadige WordPressi teemad ja pistikprogrammid alla usaldusv\u00e4\u00e4rsetest allikatest, n\u00e4iteks arendajate saitidelt ja WordPressi ametlikult saidilt. Lisaks koduarvutile peate perioodiliselt kontrollima oma veebiressurssi Web Antivirus, n\u00e4iteks AI-Bolit. Kui teil on juurdep\u00e4\u00e4s veebiserverile, on failide ja kataloogide juurdep\u00e4\u00e4su\u00f5igused. Tavaliselt m\u00e4\u00e4rab WordPress t\u00e4ielikud \u00f5igused installifaasis, kuid vajadusel saab selle k\u00e4sitsi seadistada chmod. Kataloogi jaoks \u2013 chmod 755 failide jaoks \u2013 chmod 644. Veenduge, et 777 \u00f5igused m\u00e4\u00e4ratakse ainult neile rajatistele, mis seda vajavad (m\u00f5nikord on see vajalik m\u00f5ne pistikprogrammi normaalseks t\u00f6\u00f6ks). Kui WordPress lakkas normaalselt t\u00f6\u00f6tamast, katsetage juurdep\u00e4\u00e4su\u00f5igustega: esmalt proovige 755, seej\u00e4rel 766 ja l\u00f5puks 777. Et kogu htaccess-fail paljastaks chmod 444 (ainult lugemiseks). Kui sait enam ei t\u00f6\u00f6ta, proovige katsetada v\u00e4\u00e4rtustega 400, 440, 444, 600, 640, 644.\n<\/p>\n<p>\n  Teisaldage fail wp-config.php. See fail sisaldab teavet s\u00e4tete, MySQL-i, tabeli prefiksi, salajaste v\u00f5tmete ja muu kohta. Seet\u00f5ttu on vaja \u00fcle kanda faili ei olnud Internetist saadaval. Kui sait ei asu kaustas public_html, siis lohistage fail wp-config.php \u00fclaloleval kaustatasemel ja WordPress leiab selle automaatselt juurkataloogist (kehtib, kui sellel CMS-il on ainult \u00fcks hostimissait).\n<\/p>\n<p>\n  \u00dclekandmise kesta keerulisemaks muutmiseks keelake WordPressi konsooli l\u00f5imede redigeerimise v\u00f5imalus. Selleks sisestage faili wp-config.php j\u00e4rgmine rida:\n<\/p>\n<pre><code>define ('DISALLOW_FILE_EDIT', true) ;<\/code><\/pre>\n<p>\n  Teine n\u00f5rk koht \u2013 fail install.php (kaustas wp-admin). Seet\u00f5ttu on parem eemaldada, blokeerida v\u00f5i muuta. Tehke \u00fcks j\u00e4rgmistest:\n<\/p>\n<ol>\n<li>Lihtsalt kustutage see fail \u2013 p\u00e4rast installimist pole see enam vajalik.\n  <\/li>\n<li>Keela juurdep\u00e4\u00e4s failile .htaccessi kaudu.\n  <\/li>\n<li>Nimetage algne fail install.php \u00fcmber (nt install.php.old) ja looge uus fail install.php j\u00e4rgmise sisuga:\n  <\/li>\n<\/ol>\n<pre><code>&lt;?php header(\"HTTP\/1.1 503 Service Temporarily Unavailable\"); ?&gt;\n&lt;?php header(\"Status 503 Service Temporarily Unavailable\"); ?&gt;\n&lt;?php header(\"Retry-After 3600\"); \/\/ 60 minutes ?&gt;\n&lt;?php mail(\"your@email.com\", \"Database Error\", \"There is a problem with teh database!\"); ?&gt;\n\n\n\n<\/code><\/pre>\n<p><meta http-equiv=\"Content-Type\" content=\"text\/html; charset=utf-8\" \/><\/p>\n<pre>\n<\/pre>\n<p><title><br \/>\n  Error Establishing Database Connection<br \/>\n<\/title><\/p>\n<pre>\n\n\n<\/pre>\n<h1>\n  <code>Error Establishing Database Connection<\/code><br \/>\n<\/h1>\n<pre>\n<br \/>We are currently experiencing database issues. Please check back shortly. Thank you.\n\n<\/pre>\n<p>\n  <code>Lisaks saidi k\u00fclastajate teavitamisele teeb see skript j\u00e4rgmist:<\/code>\n<\/p>\n<ul>\n<li>\n    <code>saadab kliendile ja otsingumootoritele olekukoodi 503 (\"Teenus pole saadaval\");<\/code>\n  <\/li>\n<li>\n    <code>M\u00e4\u00e4rab ajavahemiku, mille jooksul kliendid ja otsingumootorid saavad saidile naasta (reguleeritav parameeter);<\/code>\n  <\/li>\n<li>\n    <code>Andmebaasiga seotud probleemist teavitage e-posti teel, et saaksite asjakohaseid toiminguid teha.<\/code>\n  <\/li>\n<\/ul>\n<p>\n  <code>Asjaolu, et WordPressi varasemates versioonides (<\/code>\n<\/p>\n<p>\n  <code>L\u00f5puks katkestage uute kasutajate registreerimine, kui see pole vajalik. Kui aga pakub veebis registreerimist, hoolitsege selle eest, et uued kasutajad saaksid p\u00e4rast registreerimist minimaalsed privileegid.<\/code>\n<\/p>\n<h5>\n  <code>Kasulikud lingid<\/code><br \/>\n<\/h5>\n<ul>\n<li>\n    <code>&lt;a href=\"https:\/\/codex.wordpress.org\/Hardening_WordPress\"&gt;WordPressi k\u00f5venemine&lt;\/a&gt;<\/code>\n  <\/li>\n<li>\n    <code>&lt;a href=\"http:\/\/habrahabr.ru\/post\/62814\"&gt;K\u00fcmme sammu oma WordPressi ajaveebi kaitsmiseks&lt;\/a&gt;<\/code>\n  <\/li>\n<li>\n    <code>&lt;a href=\"http:\/\/www.securitylab.ru\/analytics\/456835.php\"&gt;Iga teine \u200b\u200bWordPressi venestatud mall on nakatunud v\u00f5i haavatav&lt;\/a&gt;<\/code>\n  <\/li>\n<li>\n    <code>&lt;a href=\"http:\/\/xakep.ru\/2015\/04\/01\/wordpress-hack\"&gt;Esitlus WordPressi h\u00e4kkimisest&lt;\/a&gt;<\/code>\n  <\/li>\n<\/ul>\n<h5>\n  <code>Sulgemine<\/code><br \/>\n<\/h5>\n<p>\n  <code>WordPress \u2013 \u00fcsna mahukas ja kompleksne toode oma plusside ja miinustega. Kahjuks on vaikekonfiguratsioonis selle ohutus k\u00fcsitav, kuna isegi tavalise skriptkidisega sirge k\u00e4e ja Interneti olemasolul suudab kaitse l\u00e4bi murda. Seet\u00f5ttu soovitame tungivalt ressurssi kontrollida samal viisil, nagu tegime artiklis. Ja kui leiate vigu \u2013 parandage need, et minimeerida r\u00fcndaja v\u00f5imalusi ressurssi kahjustada.<\/code>\n<\/p>\n<p>\n  <code>&lt;\/p&gt;\n&lt;p&gt;<\/code>\n<\/p>\n<div id=\"PostUnique_PostSource\" style=\"padding-top: 50px\">\n  <code>: &lt;a target=\"_blank\" rel=\"noopener nofollow\" data-pssr=\"\" href=\"http:\/\/www.instantshift.com\/2015\/07\/06\/protect-you-wordpress\/\"&gt;instantshift.com&lt;\/a&gt;<\/code>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>WordPress \u2013 mugav platvorm artiklite avaldamiseks ja haldamiseks, mis p\u00f5hineb tohutul hulgal erinevatel saitidel. Oma levimuse t\u00f5ttu on see CMS h\u00e4kkeritele pikka aega olnud maitsev suupiste. Kahjuks ei taga p\u00f5hiseaded piisavat kaitsetaset, mist\u00f5ttu on palju auke katmata krediidiriski t\u00f5ttu. Selles artiklis k\u00e4sitleme t\u00fc\u00fcpilist WordPressi h\u00e4kkimissaiti ja n\u00e4itame, kuidas tuvastatud turvaauke parandada. T\u00e4nap\u00e4eval on k\u00f5ige populaarsem sisuhalduss\u00fcsteem WordPress. Selle osakaal on 60,4% CMS-mootoreid kasutavate saitide koguarvust. Neist vastavalt\u2026<\/p>\n","protected":false},"author":1,"featured_media":222087,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_wp_rev_ctl_limit":""},"categories":[221,143,104,117,52],"tags":[],"class_list":["post-247528","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-opikud","category-veebi-napunaited-ja-nipid","category-veebi-turvalisus","category-veebitooriistad","category-web-ja-wordpress"],"_links":{"self":[{"href":"https:\/\/inform.click\/et\/wp-json\/wp\/v2\/posts\/247528","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/inform.click\/et\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/inform.click\/et\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/inform.click\/et\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/inform.click\/et\/wp-json\/wp\/v2\/comments?post=247528"}],"version-history":[{"count":0,"href":"https:\/\/inform.click\/et\/wp-json\/wp\/v2\/posts\/247528\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/inform.click\/et\/wp-json\/wp\/v2\/media\/222087"}],"wp:attachment":[{"href":"https:\/\/inform.click\/et\/wp-json\/wp\/v2\/media?parent=247528"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/inform.click\/et\/wp-json\/wp\/v2\/categories?post=247528"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/inform.click\/et\/wp-json\/wp\/v2\/tags?post=247528"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}