{"id":255413,"date":"2022-12-31T11:16:00","date_gmt":"2022-12-31T08:16:00","guid":{"rendered":"https:\/\/inform.click\/wordpress-sotto-stampa-proteggi-con-le-tue-stesse-mani\/"},"modified":"2022-12-31T11:16:00","modified_gmt":"2022-12-31T08:16:00","slug":"wordpress-sotto-stampa-proteggi-con-le-tue-stesse-mani","status":"publish","type":"post","link":"https:\/\/inform.click\/it\/wordpress-sotto-stampa-proteggi-con-le-tue-stesse-mani\/","title":{"rendered":"WordPress sotto stampa. Proteggi con le tue stesse mani"},"content":{"rendered":"<p>\n  WordPress \u2013 una comoda piattaforma per la pubblicazione di articoli e gestione, che si basa su un numero enorme di siti diversi. A causa della sua prevalenza, questo CMS \u00e8 stato a lungo un gustoso boccone per gli hacker.\n<\/p>\n<p>\n  Sfortunatamente, le impostazioni di base non forniscono un livello di protezione adeguato, lasciando scoperti molti buchi di default del credito. In questo articolo esamineremo un tipico sito di hacking &#8220;modello&#8221; su WordPress e mostreremo come correggere le vulnerabilit\u00e0 identificate.\n<\/p>\n<p>\n  Oggi il sistema di gestione dei contenuti WordPress \u00e8 il pi\u00f9 popolare. La sua quota \u00e8 del 60,4% del numero totale di siti che utilizzano motori CMS. Di questi, secondo le statistiche, il 67,3% dei siti basati sull'ultima versione del software. Nel frattempo, nei dodici anni di funzionamento del motore web sono state rilevate 242 vulnerabilit\u00e0 di varia natura (escluse le vulnerabilit\u00e0 riscontrate in plug-in e temi di terze parti). Una statistica di componenti aggiuntivi di terze parti \u00e8 ancora pi\u00f9 triste. Pertanto, la societ\u00e0 ha condotto un'analisi su 2350 modelli russificati di Revisium per WordPress, presi da diverse fonti. Di conseguenza, hanno scoperto che oltre la met\u00e0 (54%) era infetta da Web Shell, backdoor, link blackhat seo (&#8220;spam&#8221;) e script che contenevano vulnerabilit\u00e0 critiche. Quindi siediti, ora andiamo a capire come effettuare un audit sul sito WordPress ed eliminare le mancanze riscontrate. L'uso sar\u00e0 la versione 4.\n<\/p>\n<h5>\n  Sito di indicizzazione<br \/>\n<\/h5>\n<p>\n  Il primo passo in qualsiasi test \u00e8 di solito raccogliere informazioni sull'obiettivo. E poi molto spesso aiuta l'errata configurazione dell'indicizzazione del sito che consente agli utenti non autorizzati di visualizzare i contenuti di determinate sezioni del sito e, ad esempio, di ottenere informazioni su plug-in e temi installati, nonch\u00e9 l'accesso a dati riservati o backup di database. Per verificare quali directory sono visibili dall'esterno, il modo pi\u00f9 semplice per sfruttare Google. \u00c8 sufficiente eseguire una query di tipo Google Dorks site: example.com intitle: \u00abindex of\u00bb inurl: \/wp-content\/. L'operatore inurl: \u00e8 possibile specificare le seguenti directory:\n<\/p>\n<p>\n  <code>\/wp-content\/<\/code><br \/>\n  <code>\/wp-content\/languages\/plugins<\/code><br \/>\n  <code>\/wp-content\/languages\/themes<\/code><br \/>\n  <code>\/wp-content\/plugins\/<\/code><br \/>\n  <code>\/wp-content\/themes\/<\/code><br \/>\n  <code>\/wp-content\/uploads\/<\/code>\n<\/p>\n<p>\n  Se riesci a visualizzare \/ wp-content \/ plugins \/, il passaggio successivo consiste nel raccogliere informazioni sui plug-in installati e le loro versioni sono notevolmente semplificate. Naturalmente, puoi impedire l'indicizzazione utilizzando il file robots.txt. Quindi per impostazione predefinita non \u00e8 incluso nel pacchetto di installazione di WordPress, \u00e8 necessario crearlo e lanciarsi nella directory principale del sito. I manuali per creare e lavorare con il file robots.txt sono parecchi, quindi lascia questo argomento per te stesso. Per dare solo una delle possibili opzioni:\n<\/p>\n<pre><code>User-Agent: *\nDisallow: \/cgi-bin\nDisallow: \/wp-login.php\nDisallow: \/wp-admin\/\nDisallow: \/wp-includes\/\nDisallow: \/wp-content\/\nDisallow: \/wp-content\/plugins\/\nDisallow: \/wp-content\/themes\/\nDisallow: \/?author=*\nAllow: \/<\/code><\/pre>\n<p>\n  Se i file archiviati in una cartella di upload sono informazioni riservate, aggiungi a questa riga di elenco: Disallow: \/wp-content\/uploads\/. D'altra parte, il file robots.txt non \u00e8 consigliato per inserire collegamenti a directory che sono state create appositamente per l'archiviazione di informazioni sensibili. Altrimenti, faciliti cos\u00ec il compito dell'attaccante, perch\u00e9 questo \u00e8 il primo posto dove di solito tutti guardano alla ricerca di &#8220;yammy&#8221;.\n<\/p>\n<h5>\n  Plugin di sicurezza per WordPress<br \/>\n<\/h5>\n<ul>\n<li>\n    <a href=\"https:\/\/wordpress.org\/plugins\/login-lockdown\/\" target=\"_blank\" rel=\"noopener\">Login LockDown<\/a> \u2013 limita il numero di tentativi di accesso falliti;\n  <\/li>\n<li>\n    <a href=\"https:\/\/revisium.com\/rwp\/\" target=\"_blank\" rel=\"noopener\">Revisium WordPress Theme Checker<\/a> \u2013 cerca i tipici pezzi di malware nei temi WordPress;\n  <\/li>\n<li>\n    <a href=\"https:\/\/wordpress.org\/plugins\/sucuri-scanner\/\" target=\"_blank\" rel=\"noopener\">Sucuri Security<\/a> \u2013 esegue il monitoraggio e il rilevamento di codice dannoso;\n  <\/li>\n<li>\n    <a href=\"https:\/\/wordpress.org\/plugins\/better-wp-security\/\" target=\"_blank\" rel=\"noopener\">IThemes Security (precedentemente Better WP Security)<\/a> \u2013 per proteggere il multi plug WordPress;\n  <\/li>\n<li>\n    <a href=\"https:\/\/wordpress.org\/plugins\/backupwordpress\/\" target=\"_blank\" rel=\"noopener\">BackUpWordPress<\/a> \u2013 effettua un backup di file e database;\n  <\/li>\n<li>\n    <a href=\"https:\/\/wordpress.org\/plugins\/google-captcha\/\" target=\"_blank\" rel=\"noopener\">Google Captcha (reCAPTCHA)<\/a> \u2013 stabilisce un captcha nella registrazione, nel login, nel recupero della password e sotto forma di commenti.\n  <\/li>\n<\/ul>\n<h5>\n  Connetti .htaccess<br \/>\n<\/h5>\n<p>\n  Per limitare l'accesso alle informazioni sensibili \u00e8 meglio utilizzare il file .htaccess \u2013 \u00e8 un file di configurazione utilizzato da Apache Web Server. Considerare la possibilit\u00e0 del file dal punto di vista della sicurezza. Con esso puoi: negare l'accesso a directory e file, bloccare varie iniezioni SQL e script dannosi. Per questo file .htaccess standard per CMS WordPress 4.1 \u00e8 necessario espandersi un po'. Per chiudere l'elenco di file e cartelle, aggiungi:\n<\/p>\n<pre><code>Options +FollowSymLinks -Indexes\n \nRewriteCond %{QUERY_STRING} base64_encode[^(]*([^)]*) [OR]<\/code><\/pre>\n<p>\n  Riferimenti di blocco contenenti la codifica Base64. Sbarazzati dei link che contengono il tag :\n<\/p>\n<pre><code>RewriteCond %{QUERY_STRING} (|%3E) [NC,OR]<\/code><\/pre>\n<p>\n  Per contrastare gli script che tentano di impostare variabili globali o modificare <code>_REQUEST<\/code>la variabile tramite URL:\n<\/p>\n<pre><code>RewriteCond %{QUERY_STRING} GLOBALS (=|[|%[0-9A-Z]{0,2}) [OR]\nRewriteCond %{QUERY_STRING} _REQUEST (=|[|%[0-9A-Z]{0,2})<\/code><\/pre>\n<p>\n  Per contrastare le richieste di blocco dell'iniezione SQL all'URL, contenente determinate parole chiave:\n<\/p>\n<pre><code>RewriteCond %{query_string} concat.*( [NC,OR]\nRewriteCond %{query_string} union.*select.*( [NC,OR]\nRewriteCond %{query_string} union.*all.*select [NC]\nRewriteRule ^(.*)$ index.php [F,L]<\/code><\/pre>\n<p>\n  Per rovinare la vita strumenti di hacking comuni, filtra alcuni user-agent:\n<\/p>\n<pre><code>SetEnvIf user-agent \u00abIndy Library\u00bb stayout=1\nSetEnvIf user-agent \u00ablibwww-perl\u00bb stayout=1\nSetEnvIf user-agent \u00abWget\u00bb stayout=1\ndeny from env=stayout<\/code><\/pre>\n<h5>\n  Protegge i file<br \/>\n<\/h5>\n<p>\n  Sarebbe bello limitare e accedere a file critici che memorizzano la configurazione o semplicemente possono fornire alcune informazioni a un utente malintenzionato. Puoi selezionare i seguenti candidati:\n<\/p>\n<ul>\n<li>Wp-config.php, include un nome del database, nome utente, password e prefisso della tabella;\n  <\/li>\n<li>.htaccess;\n  <\/li>\n<li>Readme.html e ru_RU.po, che contengono una versione di WordPress;\n  <\/li>\n<li>Installa.php.\n  <\/li>\n<\/ul>\n<p>\n  Questo viene fatto come segue:\n<\/p>\n<pre><code>\nOrder Allow,Deny\nDeny from all\n<\/code><\/pre>\n<p>\n  Il file .htaccess, contenente queste righe, dovrebbe trovarsi nella stessa directory in cui il file \u00e8 protetto. Quindi non consentire l'elenco degli utenti (ricordate, poco pi\u00f9 in alto, abbiamo parlato di quanto sia facile ottenere un elenco di utenti?):\n<\/p>\n<pre><code>RewriteCond %{QUERY_STRING} author=d\nRewriteRule ^ \/? [L,R=301]<\/code><\/pre>\n<p>\n  Quindi cos'altro? \u00c8 possibile consentire l'accesso solo da indirizzi IP specificati. Per fare ci\u00f2, crea un file .htaccess nel tuo wp-admin con le seguenti regole:\n<\/p>\n<pre><code>AuthUserFile \/dev\/null\nAuthGroupFile \/dev\/null\nAuthName \"Access Control\"\nAuthType Basic\norder deny,allow\ndeny from all\nallow from 178.178.178.178  # IP Home computer\nallow from 248.248.248.248  # IP Work computer<\/code><\/pre>\n<p>\n  Il metodo non \u00e8 molto flessibile ed \u00e8 applicabile solo se si lavora con un numero limitato di indirizzi IP fissi. Altrimenti si consiglia di impostare una password per la cartella wp-admin panel tramite l'hosting (se questa funzionalit\u00e0).\n<\/p>\n<h5>\n  WWW<br \/>\n<\/h5>\n<p>\n  Un insieme di regole 5G Blacklist e 6G Blacklist beta di Perishable Press, che ti consente di gestire le richieste di URL dannose prevalenti per WordPress.\n<\/p>\n<h5>\n  Ulteriori misure<br \/>\n<\/h5>\n<p>\n  Oltre a quanto detto sopra, si possono aggiungere le seguenti raccomandazioni. Innanzitutto, usa solo le versioni pi\u00f9 recenti di WordPress e dei suoi componenti: questo eliminer\u00e0 le vulnerabilit\u00e0 note. In secondo luogo, rimuovi i plugin e i temi, che possono anche essere proeksplutirovat. Terzo, scarica i temi e i plugin di WordPress da fonti affidabili, come i siti degli sviluppatori e il sito ufficiale di WordPress. Oltre al PC di casa, \u00e8 necessario controllare periodicamente la risorsa Web Web Antivirus, ad esempio AI-Bolit. Se hai accesso al server web, l'umore dei diritti di accesso a file e directory. Tipicamente, WordPress imposta i diritti completi in fase di installazione, ma se necessario pu\u00f2 essere impostato manualmente chmod. Per directory \u2013 chmod 755 per file \u2013 chmod 644. Assicurati che i diritti di 777 vengano assegnati solo a quelle strutture che ne hanno bisogno (a volte \u00e8 necessario per il normale funzionamento di alcuni plug-in). Se WordPress ha smesso di funzionare normalmente, sperimenta i diritti di accesso: prima prova 755, poi 766 e infine 777. Per tutto il file htaccess esporre chmod 444 (sola lettura). Se il sito non funziona pi\u00f9, prova a sperimentare con valori di 400, 440, 444, 600, 640, 644.\n<\/p>\n<p>\n  Sposta il file wp-config.php. Questo file contiene informazioni sulle impostazioni, MySQL, il prefisso della tabella, le chiavi segrete e altro. Pertanto, \u00e8 necessario trasferire al file non era disponibile da Internet. Se il sito non si trova nella cartella public_html, trascina il file wp-config.php nella cartella di livello superiore e WordPress lo trover\u00e0 automaticamente nella directory principale (si applica se esiste un solo sito di hosting su questo CMS).\n<\/p>\n<p>\n  Per complicare la shell di casting, disabilita la possibilit\u00e0 di modificare i thread della console WordPress. Per fare ci\u00f2, inserisci la seguente riga nel file wp-config.php:\n<\/p>\n<pre><code>define ('DISALLOW_FILE_EDIT', true) ;<\/code><\/pre>\n<p>\n  Un altro punto debole \u00e8 il file install.php (nella cartella wp-admin). Pertanto, \u00e8 meglio rimuovere, bloccare o modificare. Eseguire una delle seguenti operazioni:\n<\/p>\n<ol>\n<li>Basta eliminare questo file: dopo l'installazione non \u00e8 pi\u00f9 necessario.\n  <\/li>\n<li>Negare l'accesso al file tramite .htaccess.\n  <\/li>\n<li>Rinomina il file originale install.php (es. install.php.old) e crea un nuovo file install.php con i seguenti contenuti:\n  <\/li>\n<\/ol>\n<pre><code>&lt;?php header(\"HTTP\/1.1 503 Service Temporarily Unavailable\"); ?&gt;\n&lt;?php header(\"Status 503 Service Temporarily Unavailable\"); ?&gt;\n&lt;?php header(\"Retry-After 3600\"); \/\/ 60 minutes ?&gt;\n&lt;?php mail(\"your@email.com\", \"Database Error\", \"There is a problem with teh database!\"); ?&gt;\n\n\n\n<\/code><\/pre>\n<p><meta http-equiv=\"Content-Type\" content=\"text\/html; charset=utf-8\" \/><\/p>\n<pre>\n<\/pre>\n<p><title><br \/>\n  Error Establishing Database Connection<br \/>\n<\/title><\/p>\n<pre>\n\n\n<\/pre>\n<h1>\n  <code>Error Establishing Database Connection<\/code><br \/>\n<\/h1>\n<pre>\n<br \/>We are currently experiencing database issues. Please check back shortly. Thank you.\n\n<\/pre>\n<p>\n  <code>Oltre a notificare i visitatori del sito, questo script esegue le seguenti operazioni:<\/code>\n<\/p>\n<ul>\n<li>\n    <code>Invia al cliente e ai motori di ricerca il codice di stato 503 (\"Servizio non disponibile\");<\/code>\n  <\/li>\n<li>\n    <code>Specifica l'intervallo di tempo attraverso il quale i clienti ei motori di ricerca possono tornare sul sito (parametro regolabile);<\/code>\n  <\/li>\n<li>\n    <code>Notifica via e-mail di un problema con il database per l'azione appropriata.<\/code>\n  <\/li>\n<\/ul>\n<p>\n  <code>Il fatto che nelle versioni precedenti di WordPress (<\/code>\n<\/p>\n<p>\n  <code>Infine, disconnettere la registrazione di nuovi utenti, se ci\u00f2 non \u00e8 necessario. Se, tuttavia, fornisce la registrazione online, fai attenzione che i nuovi utenti dopo la registrazione abbiano ricevuto privilegi minimi.<\/code>\n<\/p>\n<h5>\n  <code>Link utili<\/code><br \/>\n<\/h5>\n<ul>\n<li>\n    <code>&lt;a href=\"https:\/\/codex.wordpress.org\/Hardening_WordPress\"&gt;Indurire WordPress&lt;\/a&gt;<\/code>\n  <\/li>\n<li>\n    <code>&lt;a href=\"http:\/\/habrahabr.ru\/post\/62814\"&gt;Dieci passaggi per proteggere il tuo blog WordPress&lt;\/a&gt;<\/code>\n  <\/li>\n<li>\n    <code>&lt;a href=\"http:\/\/www.securitylab.ru\/analytics\/456835.php\"&gt;Ogni secondo modello russificato per WordPress infetto o vulnerabile&lt;\/a&gt;<\/code>\n  <\/li>\n<li>\n    <code>&lt;a href=\"http:\/\/xakep.ru\/2015\/04\/01\/wordpress-hack\"&gt;Presentazione sull'hacking di WordPress&lt;\/a&gt;<\/code>\n  <\/li>\n<\/ul>\n<h5>\n  <code>Chiusura<\/code><br \/>\n<\/h5>\n<p>\n  <code>WordPress \u2013 un prodotto abbastanza grande e complesso, con i suoi vantaggi e svantaggi. Sfortunatamente, nella configurazione predefinita, la sua sicurezza \u00e8 discutibile, poich\u00e9 anche in presenza di normali skriptkidis mano dritta e Internet sar\u00e0 in grado di sfondare la protezione. Pertanto, consigliamo vivamente di controllare la risorsa nello stesso modo in cui abbiamo fatto nell'articolo. E se trovi difetti, correggili per ridurre al minimo le possibilit\u00e0 che un utente malintenzionato comprometta una risorsa.<\/code>\n<\/p>\n<p>\n  <code>&lt;\/p&gt;\n&lt;p&gt;<\/code>\n<\/p>\n<div id=\"PostUnique_PostSource\" style=\"padding-top: 50px\">\n  <code>Fonte di registrazione: &lt;a target=\"_blank\" rel=\"noopener nofollow\" data-pssr=\"\" href=\"http:\/\/www.instantshift.com\/2015\/07\/06\/protect-you-wordpress\/\"&gt;instantshift.com&lt;\/a&gt;<\/code>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>WordPress \u2013 una comoda piattaforma per la pubblicazione di articoli e gestione, che si basa su un numero enorme di siti diversi. A causa della sua prevalenza, questo CMS \u00e8 stato a lungo un gustoso boccone per gli hacker. Sfortunatamente, le impostazioni di base non forniscono un livello di protezione adeguato, lasciando scoperti molti buchi di default del credito. In questo articolo esamineremo un tipico sito di hacking &#8220;modello&#8221; su WordPress e mostreremo come correggere le vulnerabilit\u00e0 identificate. Oggi il sistema di gestione dei contenuti WordPress \u00e8 il pi\u00f9 popolare. La sua quota \u00e8 del 60,4% del numero totale di siti che utilizzano motori CMS. Di questi, secondo\u2026<\/p>\n","protected":false},"author":1,"featured_media":222087,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_wp_rev_ctl_limit":""},"categories":[225,108,121,56,147],"tags":[],"class_list":["post-255413","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-libri-di-testo","category-sicurezza-web","category-strumenti-web","category-web-e-wordpress","category-web-suggerimenti-e-trucchi"],"_links":{"self":[{"href":"https:\/\/inform.click\/it\/wp-json\/wp\/v2\/posts\/255413","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/inform.click\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/inform.click\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/inform.click\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/inform.click\/it\/wp-json\/wp\/v2\/comments?post=255413"}],"version-history":[{"count":0,"href":"https:\/\/inform.click\/it\/wp-json\/wp\/v2\/posts\/255413\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/inform.click\/it\/wp-json\/wp\/v2\/media\/222087"}],"wp:attachment":[{"href":"https:\/\/inform.click\/it\/wp-json\/wp\/v2\/media?parent=255413"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/inform.click\/it\/wp-json\/wp\/v2\/categories?post=255413"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/inform.click\/it\/wp-json\/wp\/v2\/tags?post=255413"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}