Почему взламывают сайты WordPress?

Зачем кому-то взламывать сайт вашего бизнеса? Режиссеры могут сделать это увлекательным, но на самом деле все дело в предсказании человеческих привычек, поиске возможностей и абсолютной настойчивости. Узнайте, как думают хакеры, и как вы можете защитить свой бизнес.

WordPress - лидер рынка

WordPress, бесспорно, самая популярная система управления контентом (CMS) для веб-сайтов, занимающая впечатляющие 59% доли рынка CMS. Это также один из самых популярных фреймворков для создания вашего веб-сайта, и почти треть всех веб-сайтов в Интернете построены с его использованием.

Источник: https://w3techs.com/technologies/overview/content_management/allWordp

Эта популярность также делает WordPress главной платформой для хакеров и других злонамеренных пользователей. Обычный вопрос, с которым мы сталкиваемся ежедневно: «Зачем кому-то нужен доступ к моему веб-сайту? У меня нет ценных данных для них ». Хотя это, безусловно, понятное утверждение, подходить к Интернету - это неправильный менталитет.

К сожалению, статистика заключается в том, что в Интернете крайне не хватает хорошо информированных пользователей, и лишь примерно 25% пользователей во всем мире могут выполнять задачи средней и высокой сложности. Это оставляет тревожное количество пользователей, уязвимых для злоупотреблений со стороны меньшинства технически опытных пользователей.

В этом посте мы рассмотрим некоторые из наиболее распространенных методов взлома веб-сайтов, некоторые причины взлома веб-сайтов и шаги, которые пользователи могут предпринять, чтобы защитить себя.

Как взламывают сайты?

Когда кто-то слышит слово «хакер», наиболее часто встречается изображение человека в темной комнате перед монитором с множеством строк кода, бегущих по экрану. Однако (печальная) правда в том, что повседневный взлом не так уж и интересен. На самом деле, наиболее распространенные взломы довольно просты по своей природе, и люди, пытающиеся взломать их, даже не обязательно должны быть высококвалифицированными.

Не все типы взлома также связаны с кодом. Социальная инженерия - также известная как социальный взлом - атаки по-прежнему являются одними из самых опасных. Распространенные методы мошенничества по-прежнему применяются в Интернете и могут привести к взлому вашего сайта. Поскольку это выходит за рамки данной статьи, вы можете узнать больше об угрозах социальной инженерии в этой статье tripwire .

Если оставить в стороне социальную инженерию, Интернет по-прежнему остается недружелюбным местом для веб-сайтов. Wordfence, ведущий разработчик плагинов безопасности WordPress, ежемесячно публикует отчеты об атаках WordPress . Из сентябрьского отчета мы видим, что большинство атак (91%) на самом деле являются атаками методом грубой силы.

Атака грубой силой - очень простая концепция. Любой может попробовать это, как правило, без последствий. В связи с этим, почему бы нам не начать атаку методом грубой силы прямо сейчас? Просто погуглите сайт вашего конкурента и попробуйте указать / wp-admin в конце их URL-адреса. Если вам повезло, они используют сайт WordPress. Все, что вам нужно сделать сейчас, это указать «admin» в качестве имени пользователя или адреса электронной почты, который, как вы знаете, они обычно используют, то есть «[email protected]». Затем подумайте, что они будут использовать в качестве пароля: свои имена, продукты, знаменательные даты… и продолжайте пробовать комбинации. По сути, вы начинаете атаку методом грубой силы. А теперь представьте, что у вас есть доступ к словарю слов и сценарию, который автоматически пытается войти в систему, используя различные комбинации имен пользователей и паролей. Вероятность взлома незащищенных учетных записей таким образом высока.

Избавившись от простейшей формы атак, пришло время исследовать более сложную атаку, которая пытается использовать общие слабые места в файлах вашего веб-сайта. Как многие из вас, возможно, уже знают, на сайте WordPress есть несколько файлов тем и плагинов, на которые он полагается. Они также обычно полагаются на библиотеки кода, написанные другими разработчиками. Иногда - отчасти из-за низкого качества кода, а отчасти из-за нововведений в области взлома - можно найти эксплойты.

Будем надеяться, что эксплойт был обнаружен этичным, также известным как хакер в белой шляпе. Как правило, сразу после того, как этичный хакер обнаруживает эксплойт, владелец кода узнает об этом, он информирует общественность о смягчении любого потенциального ущерба, а затем владелец кода выпускает патч для устранения уязвимости. В случаях, когда злоумышленник сталкивается с эксплойтом, могут пройти месяцы или годы, прежде чем он станет известен общественности. В любом случае, после того, как эксплойты становятся известны, они добавляются в списки уязвимостей, которые легко доступны через Интернет на таких сайтах, как этот .

Также существуют атаки, направленные непосредственно на сервер. Это очень сложный и обширный вопрос, и этот пост не будет вдаваться в подробности. Тем не менее, вот интересная статья, если вы хотите узнать больше: Как взломать веб-сервер .

Почему взламывают сайты?

Теперь мы изучили некоторые способы взлома веб-сайта, но вопрос о том, почему он был взломан, все еще остается в основном без ответа. К сожалению, есть много причин, по которым злоумышленник нацелился на ваш веб-сайт, и они варьируются от чистой скуки до распространения вирусов и незаконных СМИ по всему Интернету.

Поскольку чистая скука, хотя и является реальной причиной, довольно проста, мы собираемся перейти к более сложной проблеме: рекламе. Было много способов стать жертвой так называемых атак , связанных с внедрением рекламы . Идея проста: вы распространяете часто вредоносную рекламу на подлинном сайте, чтобы привлечь больше трафика на свой собственный. Это может быть простое отображение рекламы на сайте или, в крайнем случае, перенаправление всего трафика на сайт хакера. Эти рекламные объявления могут затем содержать вредоносный код, который приводит к получению контроля над машиной пользователя или конфиденциальными данными.

Другой распространенной причиной взлома веб-сайта может быть простое его повреждение из-за частичного хактивизма . Причины этого типа атак столь же разнообразны, как и группы, которые их проводят. У нас было много сообщений о «анонимных» порча сайты людей , которых они не согласны с, и даже ISIS развертывает ту же технику.

К сожалению, не все взломы видны, а некоторые могут быть довольно незаметными, и их трудно отследить. Например, если вы используете свой сайт WordPress в качестве электронного магазина, вы можете хранить данные кредитной карты клиента или личную информацию. Это очень ценно для любого хакера, и есть большая вероятность, что они не сообщат о своем присутствии, чтобы продолжать использовать эту информацию. Кроме того, поскольку денежная прибыль от взлома веб-сайта может быть весьма значительной, мы даже сталкиваемся с веб-сайтами, взломанными только для добычи криптовалют, таких как биткойны.

Как я могу защитить свой сайт?

Хотя все эксплойты, используемые злоумышленниками, могут показаться подавляющими, есть несколько основных шагов, которые вы можете предпринять как законный пользователь для защиты своего веб-сайта. Вот простой контрольный список безопасности, который вы можете использовать:

• Храните свои пароли в безопасности: всегда используйте надежный пароль и храните его в надежном месте. Не используйте один и тот же пароль на нескольких сайтах. Обновляйте свой пароль примерно каждые два месяца.

• Никогда не используйте админские или общедоступные адреса электронной почты для своей учетной записи администратора.

• Регулярно обновляйте свой веб-сайт: как уже упоминалось выше, известные эксплойты становятся общедоступными. Если на вашем веб-сайте используется устаревшая, уязвимая версия плагина или темы, вы подвергаетесь риску.

• Используйте хостинг с хорошей репутацией: хостинг и хостинг безответственной компании могут привести к взлому вашего веб-сайта из-за взлома другого веб-сайта на том же сервере.

• Предоставляйте доступ только тем пользователям, которым вы можете доверять: не давайте доступ к вашему сайту пользователям, которым он не нужен или которым вы не полностью доверяете. Не всем нужно быть админом.

• Используйте плагин безопасности: аналогично антивирусным программам для компьютеров, есть плагины безопасности для WordPress. Двумя основными из них являются Sucuri и Wordfence .

• Задайте вопрос: если у вас есть проблемы с безопасностью или вопросы относительно вашего веб-сайта, проконсультируйтесь с разработчиком.

В этой статье мы исследовали некоторые из распространенных методов и причин, по которым веб-сайт может быть взломан. Надеюсь, с этой информацией, наряду с контрольным списком безопасности, взлом больше не будет казаться всемогущей угрозой, которая постоянно присутствует в Интернете.

Будьте в безопасности, будьте в курсе!

Если вам нужна помощь с дизайном и разработкой WordPress, не стесняйтесь обращаться к нам.