هک وردپرس چیست؟+10 روش هک WordPress و 6 حمله سایبری رایج🟢

اخیراً یکی از کاربران از ما پرسید که چرا هک وردپرس در سایت ها به راحتی انجام می شوند. این که متوجه شوید سایت وردپرس شما هک شده است نگران  کننده است. در حالی که هکرها همه وب سایت ها را هدف قرار می دهند، ممکن است اشتباهاتی انجام دهید که وب سایت شما را در برابر حمله آسیب پذیر می کند. در این مقاله، ما مهمترین دلایل هک شدن سایت های وردپرس را به اشتراک می گذاریم تا بتوانید از این اشتباهات جلوگیری کنید و از وب سایت خود محافظت کنید.

هک وردپرس

اول اینکه فقط وردپرس نیست. تمام وب سایت های موجود در اینترنت در برابر تلاش های هک آسیب پذیر هستند. دلیل اینکه وب سایت های وردپرسی یک هدف رایج هستند این است که وردپرس محبوب ترین سازنده وب سایت در جهان است. بیش از 43٪ از تمام وب سایت ها، به معنای صدها میلیون وب سایت در سراسر جهان است. این محبوبیت زیاد به هکرها راهی آسان برای یافتن وب سایت هایی می دهد که امنیت کمتری دارند تا بتوانند از آنها سوء استفاده کنند.

هکرها انگیزه های مختلفی برای هک کردن یک وب سایت دارند. برخی افراد مبتدی هستند که به تازگی یاد می گیرند از سایت های با امنیت کمتر بهره برداری کنند. برخی دیگر اهداف مخربی مانند توزیع بدافزار، حمله به وب سایت های دیگر و ارسال هرزنامه دارند.

با این اوصاف، اجازه دهید به برخی از دلایل اصلی هک شدن سایت های وردپرس نگاه کنیم تا بتوانید یاد بگیرید که چگونه از هک شدن وب سایت خود جلوگیری کنید.

1. هاست وب ناامن

مانند همه وب سایت ها، سایت های وردپرس بر روی یک وب سرور میزبانی می شوند. برخی از شرکت های هاستینگ پلت فرم هاست خود را به درستی ایمن نمی کنند. این امر باعث می شود که تمام وب سایت های میزبانی شده روی سرورهای خود در برابر تلاش های هک آسیب پذیر باشند.

با انتخاب بهترین ارائه دهنده میزبانی وردپرس برای وب سایت خود می توان از این امر به راحتی جلوگیری کرد. سرورهای ایمن مناسب می توانند بسیاری از رایج ترین حملات به سایت های وردپرس را مسدود کنند.

اگر می خواهید اقدامات احتیاطی بیشتری انجام دهید، توصیه می کنیم از یک ارائه دهنده میزبانی مدیریت شده وردپرس استفاده کنید.

بیشتر بخوانید📘📘📘📘👈👈👈👈: انواع محتوا

2. استفاده از رمزهای عبور ضعیف

پسوردها کلیدهای سایت وردپرس شما هستند. شما باید مطمئن شوید که از یک رمز عبور قوی و منحصر به فرد برای هر یک از حساب های زیر استفاده می کنید زیرا همه آنها می توانند دسترسی کامل هکرها را به وب سایت شما فراهم کنند:

حساب مدیریت وردپرس شما
حساب کنترل پنل میزبانی وب شما
و سوم حساب های FTP شما
پایگاه داده MySQL که برای سایت وردپرس شما استفاده می شود
تمام اکانت های ایمیلی که برای مدیریت و هاست وردپرس استفاده می شوند

همه این حساب ها با رمز عبور محافظت می شوند. استفاده از رمزهای عبور ضعیف باعث می شود هکرها با استفاده از برخی ابزارهای هک اولیه، رمز عبور را بشکنند.

با استفاده از رمزهای عبور منحصر به فرد و قوی برای هر حساب می توانید به راحتی از این امر جلوگیری کنید. راهنمای ما در مورد بهترین راه برای مدیریت رمزهای عبور برای مبتدیان وردپرس را ببینید تا یاد بگیرند که چگونه همه آن رمزهای عبور قوی را مدیریت کنند.

هک وردپرس باعث می شود که تمام وب سایت ها در خطر باشند

3. دسترسی محافظت نشده به مدیر وردپرس (wp-admin)

قسمت مدیریت وردپرس به کاربر امکان می دهد تا اقدامات مختلفی را در سایت وردپرس شما انجام دهد. همچنین رایج ترین منطقه مورد حمله یک سایت وردپرس است.

محافظت نشدن آن به هکرها اجازه می دهد تا روش های مختلفی را برای کرک کردن وب سایت شما امتحان کنند. می‌توانید با افزودن لایه‌های احراز هویت به فهرست مدیریت خود، کار را برای آنها دشوار کنید.

ابتدا باید از ناحیه مدیریت وردپرس خود با رمز عبور محافظت کنید. این یک لایه امنیتی اضافی اضافه می کند و هر کسی که سعی می کند به مدیر وردپرس دسترسی پیدا کند باید یک رمز عبور اضافی ارائه دهد.

اگر یک سایت وردپرس چند نویسنده یا چند کاربره را اجرا می کنید، می توانید رمزهای عبور قوی را برای همه کاربران سایت خود اعمال کنید. همچنین می توانید احراز هویت دو مرحله ای (2FA) را اضافه کنید تا ورود هکرها به بخش مدیریت وردپرس شما دشوارتر شود.

4. مجوزهای فایل نادرست

مجوزهای فایل مجموعه ای از قوانینی هستند که توسط وب سرور شما استفاده می شود. این مجوزها به وب سرور شما کمک می کند تا دسترسی به فایل های سایت شما را کنترل کند. مجوزهای نادرست فایل می تواند به هکرها امکان دسترسی به نوشتن و تغییر این فایل ها را بدهد. تمام فایل های وردپرس شما باید دارای مقدار 644 به عنوان مجوز فایل باشند. همه پوشه‌ها در سایت وردپرس شما باید 755 را به عنوان مجوز فایل خود داشته باشند.

راهنمای ما در مورد نحوه رفع مشکل آپلود تصویر در وردپرس را ببینید تا نحوه اعمال این مجوزهای فایل را بیاموزید.

بیشتر بخوانید📘📘📘📘👈👈👈👈: هاست ایمن

5. به روز نگه نداشتن وردپرس

برخی از کاربران وردپرس از به روز رسانی وب سایت های وردپرس خود می ترسند. آنها می ترسند که انجام این کار باعث خرابی وب سایت آنها شود. هر نسخه جدید وردپرس باگ ها و آسیب پذیری های امنیتی را برطرف می کند. اگر وردپرس را به روز نمی کنید، عمداً سایت خود را آسیب پذیر می کنید.

اگر می ترسید که به روز رسانی وب سایت شما را خراب کند، می توانید قبل از اجرای به روز رسانی یک نسخه پشتیبان کامل از وردپرس ایجاد کنید. به این ترتیب، اگر چیزی کار نکرد، می توانید به راحتی به نسخه قبلی برگردید. شما می توانید در راهنمای مبتدیان ما در مورد نحوه به روز رسانی ایمن وردپرس اطلاعات بیشتری کسب کنید.

6. عدم به روز رسانی پلاگین ها یا تم

درست مانند نرم افزار اصلی وردپرس، به روز رسانی قالب و افزونه های شما به همان اندازه مهم است. استفاده از یک پلاگین یا تم قدیمی می تواند سایت شما را آسیب پذیر کند. نقص ها و باگ های امنیتی اغلب در افزونه ها و تم های وردپرس کشف می شوند. معمولا، نویسندگان تم و افزونه ها به سرعت آنها را برطرف می کنند. با این حال، اگر کاربری تم یا پلاگین خود را به روز نکند پس هیچ کاری نمی توانند در مورد آن انجام دهند. مطمئن شوید که قالب و افزونه های وردپرس خود را به روز نگه دارید. می‌توانید نحوه به‌روزرسانی صحیح وردپرس، افزونه‌ها و تم‌ها را در راهنمای ما بیاموزید.

7. استفاده از FTP ساده به جای SFTP/SSH

حساب های FTP برای آپلود فایل ها به سرور وب شما با استفاده از یک سرویس گیرنده FTP استفاده می شود. اکثر ارائه دهندگان هاست از اتصالات FTP با استفاده از پروتکل های مختلف پشتیبانی می کنند. می توانید با استفاده از FTP ساده، SFTP یا SSH متصل شوید. هنگامی که با استفاده از FTP ساده به سایت خود متصل می شوید، رمز عبور شما بدون رمز به سرور ارسال می شود. یعنی می توان از آن جاسوسی کرد و به راحتی دزدید. به جای استفاده از FTP، همیشه باید از SFTP یا SSH استفاده کنید.

شما نیازی به تغییر کلاینت FTP خود ندارید. اکثر مشتریان FTP می توانند به وب سایت شما در SFTP و همچنین SSH متصل شوند. شما فقط باید هنگام اتصال به وب سایت خود پروتکل را به “SFTP – SSH” تغییر دهید

8. استفاده از Admin به عنوان نام کاربری وردپرس

استفاده از “admin” به عنوان نام کاربری وردپرس توصیه نمی شود. اگر نام کاربری سرپرست شما “admin” است، باید فورا آن را به نام کاربری دیگری تغییر دهید. برای دستورالعمل های دقیق، آموزش ما در مورد نحوه تغییر نام کاربری وردپرس خود را بررسی کنید.

9. تم ها و پلاگین های نال شده

وب سایت های زیادی در اینترنت وجود دارند که افزونه ها و تم های وردپرس پولی را به صورت رایگان توزیع می کنند. ممکن است وسوسه شوید که از آن پلاگین ها و تم های نال شده در سایت خود استفاده کنید. دانلود قالب ها و افزونه های وردپرس از منابع نامعتبر بسیار خطرناک است. آنها نه تنها می توانند امنیت وب سایت شما را به خطر بیندازند، بلکه می توانند برای سرقت اطلاعات حساس نیز استفاده شوند.

همیشه باید پلاگین ها و تم های وردپرس را از منابع قابل اعتمادی مانند وب سایت توسعه دهنده یا مخازن رسمی وردپرس دانلود کنید. اگر توانایی خرید یک پلاگین یا تم ممتاز را ندارید، همیشه جایگزین های رایگانی برای آن محصولات موجود است. این افزونه های رایگان ممکن است به خوبی همتایان پولی خود نباشند، اما کار را انجام می دهند و مهمتر از همه، امنیت وب سایت شما را حفظ می کنند. همچنین می توانید برای بسیاری از محصولات محبوب وردپرس در بخش معاملات وب سایت ما تخفیف پیدا کنید.

10. عدم امنیت فایل پیکربندی وردپرس wp-config.php

فایل پیکربندی وردپرس wp-config.php حاوی اعتبار ورود به پایگاه داده وردپرس شما است. اگر به خطر بیفتد، اطلاعاتی را نشان می دهد که می تواند به یک هکر دسترسی کامل به وب سایت شما بدهد. می‌توانید با رد کردن دسترسی به فایل wp-config با استفاده از htaccess، یک لایه حفاظتی اضافی اضافه کنید. به سادگی این کد را به فایل .htaccess خود اضافه کنید:

11. عدم تغییر پیشوند جدول وردپرس

بسیاری از کارشناسان توصیه می کنند که باید پیشوند جدول پیش فرض وردپرس را تغییر دهید. به طور پیش فرض، وردپرس از wp_ به عنوان پیشوند جداولی که در پایگاه داده شما ایجاد می کند استفاده می کند. شما یک گزینه برای تغییر آن در طول نصب دریافت می کنید. توصیه می شود از پیشوند پیچیده تری استفاده کنید. این کار را برای هکرها سخت تر می کند تا نام جدول پایگاه داده شما را حدس بزنند. برای دستورالعمل های دقیق، راهنمای ما در مورد نحوه تغییر پیشوند پایگاه داده وردپرس برای بهبود امنیت را ببینید.

پاکسازی سایت وردپرس هک شده

پاک کردن سایت وردپرس هک شده می تواند دردناک باشد. با این حال، می توان آن را انجام داد.

در اینجا چند منبع برای شروع پاکسازی سایت وردپرس هک شده وجود دارد:

نشانه هایی که سایت وردپرس شما هک شده است (و نحوه رفع آن)
چگونه سایت وردپرس خود را برای کدهای مخرب بالقوه اسکن کنیم
چگونه یک درب پشتی را در یک سایت وردپرس هک شده پیدا کنیم و آن را تعمیر کنیم
وقتی دسترسی به مدیریت وردپرس قفل شده اید (wp-admin) چه کاری باید انجام دهید
راهنمای مبتدیان در مورد نحوه بازیابی وردپرس از پشتیبان

بیشتر بخوانید📘📘📘📘👈👈👈👈: امن سازی وردپرس

حملات سایبری به وردپرس

1. حملات XSS

در حمله اسکریپت نویسی متقابل وردپرس (XSS)، یک بازیگر بد ضعفی در یک وب سایت پیدا می کند تا به جاوا اسکریپت مضر نفوذ کند. این اسکریپت ها در کمین هستند تا زمانی که یک کاربر ناآگاه با وب سایت تعامل داشته باشد، اغلب فرمی را پر می کند یا روی یک پیوند کلیک می کند. پس از راه اندازی، این اسکریپت ها می توانند اطلاعات کاربر را بدزدند، آنها را به وب سایت های خطرناک تغییر مسیر دهند، یا حتی ظاهر و احساس وب سایت اصلی را تغییر دهند. اساساً، حملات XSS به بازیگر بد اجازه می دهد تا از مرورگر کاربر علیه آنها استفاده کند، به گونه ای که می تواند منجر به آسیب جدی شود.

در می 2023، یک آسیب پذیری XSS در افزونه Advanced Custom Fields بیش از 2 میلیون سایت را در معرض خطر قرار داد. برای سوء استفاده از این آسیب‌پذیری، یک مهاجم باید کاربر را با استفاده از تاکتیک‌های مهندسی اجتماعی فریب دهد و او را متقاعد کند که از یک URL مخرب بازدید کند. متعاقباً، مهاجم می تواند اطلاعات محرمانه را بدزدد و امتیازات کاربر را در یک سایت وردپرس در معرض خطر افزایش دهد.

علائم این هک: یک حمله موفق XSS می تواند به معنای هر چیزی در سایت شما باشد. ممکن است در وب سایت ها به شکل رفتارهای مخرب مانند اقدامات غیرمجاز یا حساب های کاربری مشکوک نشان داده شود. هدف هر حمله کنترل یک سایت برای اهداف مخرب است، بنابراین علائمی که باید به دنبال آنها باشید.

چگونه از سایت خود در برابر حملات XSS محافظت کنیم؟

از آسیب پذیری های گزارش شده مطلع باشید و به طور منظم همه افزونه ها، تم ها و هسته وردپرس را به روز کنید تا در اسرع وقت آنها را اصلاح کنید.
یک افزونه فایروال معتبر وردپرس مانند MalCare را برای محافظت در برابر چنین حملاتی نصب کنید.
هدرهای خط مشی امنیت محتوا (CSP) را اجرا کنید تا مشخص کنید کدام اشکال محتوا در سایت شما قابل اعتماد هستند.
به کاربران در مورد خطرات تاکتیک های مهندسی اجتماعی آموزش دهید.

هک وردپرس نیاز به توانایی بالایی دارد و هکر های با سطح بالا این کار را انجام می دهند

2. حملات تزریق SQL

تزریق SQL یک حمله جدی است که می تواند یکپارچگی و محرمانه بودن پایگاه داده یک وب سایت را به خطر بیندازد. زمانی اتفاق می افتد که هکرها کد SQL مخرب را در فیلدهای ورودی ناامن یک وب سایت وارد می کنند. هنگامی که محتویات فیلدهای ورودی ارسال می شود، این کد اجرا می شود و پایگاه داده را دستکاری می کند، که به طور بالقوه منجر به دسترسی غیرمجاز، سرقت داده یا حتی حذف اطلاعات حیاتی می شود.

در ژانویه 2023، Paid Membership Pro، Easy Digital Downloads و Survey Maker کشف شدند که دارای آسیب‌پذیری‌های تزریق SQL هستند که به هکرها اجازه می‌دهد حملات تزریقی را انجام دهند. آنها با هم بیش از 150000 سایت را در معرض خطر قرار دادند. تنها چند روز قبل از آن، پایگاه ملی آسیب‌پذیری دولت ایالات متحده به کاربران درباره آسیب‌پذیری مشابه در افزونه Popup Maker هشدار داد که بیش از 700000 سایت را در معرض خطر قرار می‌دهد.

علائم این هک: حملات تزریق SQL علائمی مانند:

تغییرات غیرمنتظره در محتوا یا ساختار پایگاه داده سایت؛
دسترسی غیرمجاز به داده ها یا مناطق حساس وب سایت؛
پرس و جوهای غیرعادی یا مشکوک پایگاه داده در گزارش های سرور و غیره

چگونه از سایت خود در برابر حملات تزریق SQL محافظت کنیم؟

از فایروال مخصوص وردپرس مانند MalCare برای شناسایی و جلوگیری از حملات استفاده کنید.
پلاگین های امنیتی مانند MalCare را نصب کنید که می توانند بدافزار وارد شده از طریق حملات SQL injection را اسکن کنند.
از پلاگین ها و مضامین نال شده ای که می توانند دارای درهای پشتی باشند که می توان از آنها سوء استفاده کرد دوری کنید.
هسته، تم ها و افزونه های وردپرس خود را به روز نگه دارید.

3. حملات تزریق لینک اسپم

همانطور که از نام آن پیداست، حملات تزریق لینک هرزنامه به هکرها اجازه می دهد تا لینک های اسپم را به محتوا یا کد سایت تزریق کنند. این پیوندها اغلب به وب‌سایت‌های غیرمرتبط، خاکستری یا غیرقانونی منجر می‌شوند. هکر سعی می کند سئو و رتبه سایت شما را عقب نشینی کند و در نهایت به سئو و تجربه کاربری سایت شما آسیب وارد کند.
سئو هرزنامه

در اکتبر 2023، کمپین Balada Injector از نقص‌های افزونه tagDiv Composer استفاده کرد و بیش از 17000 سایت وردپرس را هک کرد. بازدیدکنندگان از این وب سایت های هک شده به صفحات پشتیبانی فنی جعلی، برنده های تقلبی بخت آزمایی و سایر کلاهبرداری ها هدایت می شوند.

علائم این هک: حملات تزریق لینک هرزنامه به صورت ظاهر شدن ناگهانی و غیرمجاز لینک های نامربوط یا مشکوک در محتوا یا کد، کاهش رتبه بندی موتورهای جستجو، افزایش ترافیک به وب سایت های نامرتبط از طریق پیوندهای تزریقی و غیره نشان داده می شود.

چگونه از سایت خود در برابر حملات تزریق لینک اسپم محافظت کنیم؟

از هیچ پلاگین یا تم نال شده در سایت وردپرس خود استفاده نکنید.
در پلاگین ها و تم های نصب شده در سایت وردپرس خود، درب های پشتی را بررسی کنید.
به طور منظم همه رمزهای عبور مانند رمزهای عبور دسترسی، رمزهای عبور پایگاه داده و غیره را تغییر دهید.
اطمینان حاصل کنید که هسته، قالب‌ها و افزونه‌های وردپرس شما به‌روز هستند.
پلاگین های امنیتی مانند MalCare را نصب کنید که برای شناسایی و جلوگیری از حملات تزریق لینک های اسپم طراحی شده اند.

4. حملات اجرای کد از راه دور

حملات اجرای کد از راه دور (RCE) زمانی رخ می دهد که یک عامل مخرب به سرور وب سایت دسترسی غیرمجاز پیدا کند و کد را از راه دور اجرا کند. این به مهاجم اجازه می دهد تا جنبه های مختلف وب سایت را کنترل کند، که به طور بالقوه منجر به سرقت داده، تخریب یا حتی به خطر افتادن کامل سرور می شود.

5. حملات Brute-Force

هدف حملات Brute-force دسترسی غیرمجاز به وب‌سایت وردپرس با استفاده مکرر از ترکیب‌های مختلف نام‌های کاربری و رمز عبور تا زمانی که اعتبار صحیح کشف شود، است. این حمله به جای آسیب‌پذیری‌های خاص، از اعتبارنامه‌های لاگین ضعیف یا به راحتی قابل حدس زدن استفاده می‌کند. هکرها همچنین می‌توانند از ربات‌های خودکار برای حدس زدن این اعتبارنامه‌ها از طریق فایل xmlrpc.php وردپرس استفاده کنند و حمله‌ی brute-force را برای آنها آسان‌تر کند.

در سال 2015، Dunkin’ Donuts متحمل یک حمله خشونت آمیز شد که در آن هکرها تنها در پنج روز مبالغ هنگفتی از کارت هدیه 19715 کاربر را از بین بردند. پس از یک شکایت، Dunkin’ Donuts مجبور شد 650000 دلار به مشتریان خود بپردازد.

علائم این هک: افزایش محسوس تلاش‌های ناموفق برای ورود، اغلب از آدرس‌های IP متعدد، اولین نشانه حملات brute force است. این می تواند به دلیل بارگذاری بیش از حد در صفحه ورود و همچنین قفل شدن چندین حساب کاربری به دلیل چنین تلاش هایی منجر به عملکرد کندتر وب سایت شود.

چگونه از سایت خود در برابر حملات brute force محافظت کنیم؟

کاربران را تشویق کنید تا رمزهای عبور پیچیده و منحصر به فردی ایجاد کنند که به راحتی قابل حدس زدن نیستند.
یک ویژگی محدود کننده ورود به سیستم را برای محدود کردن و قفل کردن موقت کاربرانی که بیش از حد مجاز هستند، اجرا کنید.
هنگام ورود به سیستم، 2FA را برای یک لایه امنیتی اضافی اعمال کنید.
XML RPC را در سایت وردپرس خود غیرفعال کنید.

از فایروال مانند وردپرس اختصاصی MalCare برای شناسایی و مسدود کردن تلاش‌ها از آدرس‌های IP مخرب استفاده کنید.
یک فایروال با محافظ داخلی ربات را انتخاب کنید، که از موارد بدی مانند ربات‌های brute force و خراش‌ها برای اندازه‌گیری خوب جلوگیری می‌کند، در حالی که به موارد خوبی مانند Googlebot اجازه ورود به سایت را می‌دهد.
در صورتی که سایت شما به آن نیاز ندارد، ثبت نام و ورود کاربر را غیرفعال کنید.