عوامل هک شدن سایت وردپرسی

هدف از هک شدن سایت وردپرسی ، ورود و نفوذ به سایت و خرابکاری در سایت است. برخی کاربران این تصور را دارند که سایت های کوچک و شخصی مورد حملات هک قرار نمیگیرند ولی این تصور اشتباهی است چرا که هکرها هیچ گونه تعصبی در مورد اندازه سایت یا کسب و کاری که به آن حمله می کنند ندارند.

متاسفانه باید گفت راه های بسیار زیادی برای هک کردن سایت وجود دارد، برای جلوگیری از هک شدن سایت باید آن گونه فکر کنیم که هکر ها فکر میکنند با این کار شما میتوانید ضعیف ترین نقاط سایت و راه های مختلفی برای بهبود آن را پیدا کنید با این کار میتوانید تا حدودی از این حملات در امان بمانید.

حال برای روشن تر شدن موضوع  این سوال مطرح میکنیم که:

نقاط ضعف سایت وردپرسی چیست؟

افراد همیشه فکر میکنند هکرها به صورت آنلاین سایت را هک میکنند ولی در بسیاری موارد این طور نیست هکر ها با استفاده از رباط ها  این کار را انجام میدهند. آنها به رباط ها برنامه ای میدهند؛که نقاط ضعف سایت را پیدا کند و از طریق آن ضعف موفق به هک کردن سایت می شوند. بنابراین هر سایت وردپرسی میتوان هک شود.

هدف هکرها از هک کردن سایت وردپرسی چیست؟

هکرها تنها به دنبال تخریب و نفوذ در سایت های بزرگ نیستند بلکه به دنبال سو استفاده و بهره برداری از سایت هستند. هدف یک هکر از هک کردن سایت می تواند یکی یا چند مورد زیر باشد.

      1.انتشار محتوای مخرب

در برخی موارد، هک شدن سایت با انتشار کدهای مخرب در سایت با امید اینکه بازدید کنندگان شما بر روی لینک های دارای مشکل کلیک کنند رخ می دهد. این کار ممکن است از طریق ثبت نظرات یا ربودن ایمیل سایت شما و ارسال پیام های هرزنامه به کاربران شما، یا از طریق ارسال محتوای واقعی اتفاق بیفتد.

      2. پخش ویروس ها

انگیزه بعدی یک هکر می تواند انتشار ویروس در سایت شما باشد. هکرها می توانند این کار را با استفاده از کد مخرب یا با فایل هایی که در سایت آپلود کرده اند، انجام دهند. وقتی بازدیدکنندگان با آنها ارتباط برقرار می کنند، هکرها اطلاعات بازدید کننده را سرقت می کنند یا از رایانه های خود برای انتشار ویروس ها به وب سایت های دیگر منتقل می کنند.

      3.سرقت اطلاعات شخصی بازدید کنندگان

این راه بسیار نگران کننده است. هکرها می توانند این اطلاعات را به روش های مختلفی به دست آورند و همچنین می توانند از آن ها استفاده های متفاوتی کنند . گاهی اوقات از آن برای سوء استفاده و افزایش درآمد شخصی خود استفاده می کنند

       4. سرقت اطلاعات مالی (شماره کارت)

یکی از بزرگترین دلیلی یک هکر سایتی را هکر می کند بدست اوردن پول و سرقت اطلاعات مالی آن است. و خیلی از سایت هایی که کارهای تجاری انجام می دهند و پول و ارز داد و ستد می کنند بسیار محتاطانه عمل می کنند و امنیت سایت خود را افزایش می دهند.

        5. بک لینک دهی به سایت

هکرها از بک لینک های سایت شما سوء استفاده کرده و از آن ها به نفع سایت های دیگر استفاده میکنند که این کار باعث افت سایت شما از نظر seo می شود .

         6.خرابکاری درسایت

در بیشتر موارد، هکرها بدنبال فرصتی برای خراب کردن نام تجاری شما هستند.یکی از بزرگترین دلایلی که سبب اینگونه هک ها میشود بروز رسانی نکردن قالب وردپرس است .این نقص را می توان دلیل عمده هک شدن سایت های وردپرسی دانست.

در ادامه مطلب به برخی  از نقاط ضعف و راه های هک شدن میپردازیم:

استفاده از هاست ناامن

سرورهای میزبانی و سرورهای مجازی می‌توانند در خطر حملات هکرهایی باشند که کارشان آپلود کردن بدافزار یا سایت‌های و کدهای خراب‌کار روی سرورها است. به محض آن‌ که سایت یا کد مخرب آپلود شود همه مشتریانی که داده هایشان روی سرور به اشتراک گذاشته شده در خطر قطعی خواهند بود. این کدها یا خود به خود روی سرور فعال خواهند شد یا ادمین در حین انجام وظایف روزمره نگه داری سرور ناخواسته آن‌ها را فعال می‌کند.

یکی دیگر از روش‌های معمول سوء استفاده هکرها که بسیار به ضرر یک شرکت میزبانی و مشتریانش خواهد بود فرستادن اسپم از سرور است. .

استفاده از رمز عبور ضعیف

رمز عبور یکی از ساده ترین راه های هک سایت است سعی کنید در انتخای رمز دقت بیشتری کنید. رمزهای واضحی مثل موارد زیر که بسیار آشکار است استفاده نکنید.

• چهار رقم آخر شماره موبایل و یا کد ملی تان
• 123 یا 1234 و یا 123456
• کلمه password
• روز تولد خود
• و کلمه هایی که در زندگی شما بسیار مشخص است

هکرها به دور از هر گونه اصول اخلاقی برای بدست آوردن اطلاعات مورد نظرشان از هر ابزاری استفاده می کنند. تنها مرز و سد نگه دارنده بین فاش شدن و محرمانه ماندن اطلاعات تان رمزعبوری است که به خودتان بستگی دارد.

بهتریت راه برای انتخاب یک رمز خوب این است که-اگر از الفبای انگلیسی استفاده می کنید، از اعداد به جای حروفی هم قیافه شان استفاده کنید. به عنوان مثال از عدد “0” به جای حرف “o” ، از 3 به جای E و از @ در کلماتی که a دارند استفاده کنید.

دسترسی آسان به بخش مدیریت

بسته به روشی که برای طراحی و پیاده‌سازی سایت استفاده میشود، نشانی ورود به پنل یا بخش مدیریت سایت نیز متفاوت خواهد بود. به این نکته دقت کنید که برای افزایش امنیت، ممکن است نشانی ورود به پنل مدیریت سایت با مقداری جدید جایگزین شود تا هکرها با یک مانع بیشتر برای ورود به سایت مواجه شوند.

بنابراین بهتر است برای ورود به پنل مدیریت سایت، رمزهای متعدد و پی در پی از کاربر پرسیده شود تا امنیت بیشتری برای این بخش به دست آید و خطر هک شدن از طریق مدیریت سایت به حداقل برسد.

آپدیت نکردن وردپرس

شاید بپرسید که چرا باید وردپرس را آپدیت کنیم؟ مطمئنا امنیت مهمترین علت برای به روز نگه داشتن وبسایت وردپرس است. دلیل این که وردپرس Open source است، هرکس میتواند کد نویسی آن را تغییر دهد. هکرها هم میتوانند از آن بهره ببرند و راهی برای دسترسی به وبسایت بیابند.

اما قسمت خوب ماجرا این است که همه ی هکرها بد نیستند. تعداد هکرهای خوب خیلی بیشتر از هکرهای بد است این بدان معنی است که کارشناسان امنیتی در سراسر جهان وجود دارند که میتوانند این کدها را مطالعه کنند و اشکالات را جهت رفع آنها ، گزارش دهند. هروقت که یک مشکل امنیتی گزارش شود، تیم هسته وردپرس با دقت سعی میکنند آن را رفع کرده و یک نسخه جدید انتشار دهند.

نکته: اگر از آخرین ورژن وردپرس استفاده نکنید، از نرم افزاری استفاده کرده اید که حفره امنیتی شناخته شده ای دارد. هکرها میتوانند وبسایت هایی را که از نسخه های قدیمی استفاده میکنند پیدا کنند بدین ترتیب بسادگی میتوانید قربانی یک حمله شوید.

آپدیت نکردن پلاگین ها

به روز رسانی پلاگین ها امری  مهم و ضروری است که سایت شما را در برابر هک شدن در امان نگه میدارد. هکرها با مطالعه پلاگین های قبلی و بررسی آنها نقاط ضعف را پیدا کرده و از این طریق وارد سایت شما میشوند بنابراین با بروز رسانی پلاگین ها باگ های قبلی حذف شده و شما ایمن تر خواهید بود.

آپدیت پلاگین ها: اگر با نحوه ایمن آپدیت کردن پلاگین ها در وردپرس آشنا باشید می توانید خیلی راحت حتی به صورت خودکار آن ها را به روز کنید و کدهای خاص آن را داخل فایل wp-config.php قرار دهید.

استفاده از admin به عنوان نام کاربری وردپرس

انتخاب یک رمز مناسب و سخت برای صفحه‌ی ورود وردپرس بسیار مهم است. در هنگام نصب وردپرس نام کاربری به صورت پیشفرض admin قرار دارد. پس اگر تغییری در ابن نام کاربری ندهید سایت وردپرسی شما آسیب پذیرتر خواهد بود.

زمانی‌ که هکر در صفحه‌ی ورود وردپرس کلمه را admin وارد کند به راحتی مشخص خواهد شد که شناسه سایت مورد نظر ادمین است چرا که در صورت صحیح بودن نام کاربری (admin) فقط پیام “رمز وارد شده نادرست است ” به نمایش در خواهد آمد که حاکی از صحیح بودن شناسه admin است و هکر با استفاده از روش‌های مختلف اقدام به دستیابی به رمز شما می‌کند.

دانلود افزونه و قالب از سایت نامعتبر

یکی از حساس ترین نقاطی که مورد هک قرار میگیرد افزونه ها و قالب های وردپرس است .مشکلات امنیتی در قالب ها زمانی بیشتر خواهد شد که شما قالب ها و افزونه ها را از سایتهای نامعتبر و نا شناس دانلود کرده باشید و از وجود کدهای مخرب در فایلهای قالب ها مطلع نباشید.که همین عامل سبب هک شدن سایت میشود.

در این متن ما به شما آموزش میدهیم که چطور پلاگین های نصب شده را تست کنید و از کدهای مخرب آن مطلع شوید.

• ابتدا پلاگین را در مخزن پلاگین های وردپرس جستجو و نصب میکنیم. پس از نصب؛ پلاگین فعال نمایید. می توانید آموزش نصب افزونه ها را مشاهده کنید. تا اگر در این زمینه مشکلی دارید برطرف کنید.
• پس از نصب پلاگین ، شما میتوانید از منوی نمایش و زیر منوی TAC صفحه ی مربوط به اسکن پلاگین را مشاهده نمایید.

تغییر ندادن پیشفرض wpدر وردپرس

یک سری کارهای ساده هست که در صورتی که کاربر، آن‌ها را جدی نگیرد مشکلات امنیتی ایجاد می‌کند یکی از این‌کارها تغییر ندادن  پیشفرض ها  درهنگام نصب است مثل پیشوند نام جدول‌ها در پایگاه داده وردپرس که به صورت پیشفرض مقدار ـwp را دارد، که هکر ها با استفاده از حملات خاصی از این مقدار پیش‌فرض می‌توانند سوءاستفاده کنند و به سایت شما نفوذ کنند برای همین در هنگام نصب این مقدار را حتما تغییر دهید.

 آموزش ویرایش wp-config.php

فایل wp-config.phpرا که در شاخه اصلی وردپرس بر روی هاست قرار دارد را باز کنید و خط table_prefix  را بیابید و مقدار wp_ را به یک مقدار دلخواه مثل wp_a123456_ تغییر دهید:

پسوند جدید شما میتواند  حروف، اعداد و خط باشد.

تغییر پیشوند جدول‌ها

در این مرحله باید به پایگاه داده سایتتان دسترسی پیدا کنید و نام جدول‌ها را به آنچه که در فایل wp-config.php نوشتید، تغییر دهید برای این کار از ابزار phpMyAdmin استفاده می‌کنیم. اگر از cPanel استفاده می‌کنید در قسمت databases این ابزار می‌توانید دسترسی پیدا کنید. بعد از بازکردن phpMyAdmin برروی نام پایگاه داده ای که به سایت وردپرسی‌تان اختصاص داده‌اید، کلیک کنید تا جدول‌ها نمایش داده شود.

با یک دستور SQL این تغییر را می‌توانید انجام دهید ابتدا گزینه SQL را انتخاب کنید و در آن کد زیر را وارد کنید. فقط دقت کنید که مقداری را که در فایل wp-config وارد کرده اید را با مقداری که در کد زیر است عوض کنید و اگر فیلد دیگری در جدول به خاطر افزونه ‌ای وجود دارد را به دستور زیر اضافه نمایید.

RENAME table `wp_commentmeta` TO `wp_a123456_commentmeta`;

RENAME table `wp_comments` TO `wp_a123456_comments`;

RENAME table `wp_links` TO `wp_a123456_links`;

RENAME table `wp_options` TO `wp_a123456_options`;

RENAME table `wp_postmeta` TO `wp_a123456_postmeta`;

RENAME table `wp_posts` TO `wp_a123456_posts`;

RENAME table `wp_terms` TO `wp_a123456_terms`;

RENAME table `wp_term_relationships` TO `wp_a123456_term_relationships`;

RENAME table `wp_term_taxonomy` TO `wp_a123456_term_taxonomy`;

RENAME table `wp_usermeta` TO `wp_a123456_usermeta`;

RENAME table `wp_users` TO `wp_a123456_users`;

پاکسازی وردپرس هک شده

در صورتی که سایت شما هک شده نگران نباشید ما در ادامه به شما کمک میکنیم که ساییتان را پاک سازی کنید.

مرحله1: نوع هک را شناسایی کنید

• آیا می توانید به پنل مدیریتی وردپرس وارد شوید؟
• آیا سایت وردپرسی شما به سایت دیگری هدایت می شود؟
• آیا سایت وردپرسی شما دارای لینک خراب یا آلوده است؟
• آیا گوگل سایت شما را ناامن میداند؟

مرحله ی 2: شرکت های میزبانی خود را بررسی کنید

بسیاری از میزبانان در این شرایط مفید عمل می کنند. آن ها تجربه ی پاکسازی وردپرس هک شده را دارند. هاست شما می تواند اطلاعات اضافی و خوبی را درباره ی راه های نفوذ به سایتتان را در اختیار شما قرار دهد. با تماس با پشتیبانی و دنبال کردن دستورات آن ها سایت خود را پاک سازی نمایید.

مرحله ی 3: بازیابی نسخه پشتیبان

یکی دیگر از روش های پاکسازی وردپرس هک شده استفاده از نسخه پشتیبان است. اگر از سایت خود پشتیبان گرفته اید، بهترین راه این است که تا قبل از زمان از دست رفتن کامل اطلاعات بازیابی صورت گیرد. ولی در نظر ممکن است نوشته ها ووبلاگ های روزانه را ز دست بدهید .

مرحله ی 4: اسکن بدافزار و حذف آن ها

وب سایت وردپرسی خود را مجددا اسکن کنید . قالب ها و افزونه های غیرفعال و بلا استفاده را حذف کنید. این ها جاهایی است که هکر ها Backdoor و یا فایل های خراب خود را قرار میدهند برای مطالعه بیشتر به مقاله ای با نام backdoor مراجعه کنید.