چرا سایت های وردپرس هک میشوند؟؟
این یکی از سوالاتی است که ممکن است برای شما نیز پیش آمده باشد.
خیلی ناامید کننده است که متوجه بشوید سایت وردپرس‌تان هک شده است. در این مطلب ما مهم ترین دلایل هک شدن سایتهای وردپرس را به اشتراک می‌گذاریم، بنابراین میتوانید از این عوامل جلوگیری کنید و از سایت خود حفاظت کنید.
چرا هکرها وردپرس را نشانه گیری میکنند؟
اول از همه باید بدانید که این موضوع مختص سایت های وردپرس نیست. همه ی وب سایت های اینترنتی در برابر هک شدن آسیب پذیر هستند.
وردپرس محبوب ترین سیستم مدیریت محتوا (سایت ساز) جهان می باشد که بیش از 31 درصد از سایت های دنیا از آن قدرت گرفته اند به همین دلیل معمولا مورد توجه هکرها قرار میگیرد.
این محبوبیت گسترده به هکرها این اجازه را میدهد که از طریق راه ساده ای وبسایت هایی که امنیت کمی دارند را پیدا کنند، بنابراین میتوانند از آن بهره‌برداری کنند.
هکرها انگیزه های متفاوتی برای هک کردن یک سایت دارند. مبتدیان آنها فقط در حال یادگیری بهره برداری از سایت های ناایمن می باشند.
برخی از آنها دارای قصد و نیت بدی هستند مثل پخش کردن بدافزار، استفاده از یک سایت برای حمله به دیگر وب سایت‌ها و یا ایجاد اسپم در اینترنت.
با توجه به آنچه گفتیم، در ادامه مهم‌ترین دلایل هک شدن وردپرس و هم چنین نحوه ی جلوگیری از هک شدن آن را مطالعه می‌کنید.
1- نا امن بودن سرویس میزبانی وب
مثل همه‌ی وبسایت ها، سایتهای وردپرس هم میزبانی شده روی وب سرورها هستند. برخی از شرکت های هاستینگ امنیت پلتفرم های میزبانی خود را به درستی ایجاد نمی کنند. در این صورت همه‌ی وب سایتهایی که روی سرورهای آنها میزبانی شده اند بسیار آسیب پذیرتر هستند.
با انتخاب بهترین ارائه کننده هاستینگ وردپرس برای سایت خود به راحتی میتوانید از این امر جلوگیری کنید. با این کار شما مطمئن میشوید که سایتتان روی پلتفرم ایمنی میزبانی شده است. امنیت کامل سرورها میتواند از حمله های معمول در سایت های وردپرس جلوگیری کند.
اگر بخواهید احتیاط های پیشین را در نظر بگیرید، ما به شما استفاده از هاست ویژه وردپرس را توصیه میکنیم.
2- استفاده از رمز عبور ضعیف
متاسفانه بارها با سایتهایی مواجه می‌شویم که به علت عدم توجه مدیر سایت و استفاده از رمزعبور ضعیف هک شده‌اند. پسووردها کلید سایت شما میباشند. باید مطمئن شوید که از یک رمز عبور یکتا برای هر حساب کاربری که دارید استفاده می کنید در غیر این صورت آنها می توانند دسترسی کامل یک هکر به وب سایت شما را فراهم کنند.
- حساب کاربری ادمین وردپرس تان
- حساب کاربری کنترل پنل میزبانی وب
- حساب FTP
- پایگاه داده MYSQL استفاده شده در وب سایت تان
- حساب ایمیلی که برای ادمین وردپرس استفاده شده یا حساب هاستینگ
همه ی این حساب ها توسط رمز عبور محافظت می شوند. استفاده از رمز عبورهای ضعیف راه را برای هکرهایی که ابزار اصلی آنها شکستن پسووردها می باشد ساده تر میکند.
شما با استفاده از رمز عبورهای یکتا و قوی برای هر حساب کاربری‌تان میتوانید به راحتی از این خطر جلوگیری کنید.
3- دسترسی غیر مجاز به بخش ادمین وردپرس(دایرکتوری wp-admin )
محیط ادمین وردپرس دسترسی کاربر به انجام اقدامات مختلف در سایت شما را فراهم میکند. همچنین این ناحیه از سایت وردپرس بیشتر مورد حمله هکرها قرار می گیرد.
رها کردن بخش ادمین بدون تمهیدات امنیتی، به هکرها اجازه میدهد تا روش های مختلف برای رخنه به وبسایت شما را امتحان کنند. شما میتوانید با افزودن لایه احراز هویت به دایرکتوری مدیریت وردپرس خود این کار را برای آنها دشوار کنید.
ابتدا باید از دایرکتوری wp-admin بوسیله پسورد محافظت کنید. به عبارت بهتر یک لایه امنیتی اضافی را اضافه کنید، در این صورت هر کسی که بخواهد به پنل مدیریت وردپرس دسترسی داشته باشد، باید رمز عبور اضافی را ارائه دهد.
اگر شما یک سایت با چند نویسنده یا چند کاربره را مدیریت می کنید، می توانید به کاربرانتان تاکید کنید از پسووردهای قوی استفاده کنند. همچنین می توانید با افزودن دو فاکتور برای تایید اعتبار، ورود هکرها به منطقه مدیریت وردپرس را سخت تر کنید.
4- صحیح نبودن سطح دسترسی فایل
مجوزهای فایل مجموعه‌ای از قوانین استفاده شده توسط وب‌سرور میباشند. این مجوزها امکان دسترسی به فایلهای سایت شما را کنترل میکنند. سطح دسترسی اشتباه میتواند به دسترسی هکرها به نوشتن و تغییر این فایلها کمک کند.
تمام فایلهای وردپرس شما باید دارای مجوز 664 باشند همچنین تمام پوشه ها در سایت وردپرس شما باید 755 را به عنوان مجوز فایل خود داشته باشند.
برای یادگیری اعمال این مجوزهای فایل، چگونگی رفع مشکل آپلود تصویر در وردپرس را مشاهده کنید.
5- عدم به روز رسانی وردپرس
برخی از کاربران وردپرس از به روزرسانی سایت خود میترسند. ترس آنها از این است که با این کار سایتشان از بین برود.
هر نسخه جدید وردپرس با رفع اشکالات و آسیب پذیری های امنیتی همراه است. باید بدانید به روز رسانی نکردن وردپرس به معنای آسیب پذیر کردن آن می باشد.
اما اگر میترسید که این به روز رسانی، سایت شما را از بین ببرد، می توانید قبل از اینکه به روز رسانی را انجام دهید یک بکاپ کامل از وردپرس خود بگیرید. اگر گاهی اوقات بروزرسانی با مشکل مواجه شود، شما میتوانید سایت خود را به ورژن قبلی اش بازگردانید.
6- عدم به روزرسانی افزونه ها و پوسته ها
درست مانند به روز رسانی هسته ی نرم افزار وردپرس، به روزرسانی پوسته ها و افزونه ها نیز به همان اندازه مهم می باشد.استفاده از نسخه های قدیمی پوسته ها و افزونه ها نیز میتواند باعث آسیب پذیری سایت شما شود.
نقص‌های امنیتی و اشکالات اغلب در پوسته‌ها و افزونه‌های وردپرس کشف شده اند. معمولا نویسندگان پوسته‌ها و افزونه‌ها به سرعت آنها را برطرف میکنند. با این حال، اگر یک کاربر تم یا افزونه خود را به روز نکرده باشد، هیچ تضمینی در مورد آن وجود ندارد.
از به روز بودن پوسته ها و افزونه های وردپرس خود مطمئن شوید.
7- استفاده از FTP به جای SFTP/SSH
اکانتهای FTP برای آپلود فایل به سرور و هاست شما با استفاده از یک FTP Client به کار می‌روند. بیشتر سرویس‌دهندگان هاست برای اتصال به FTP از پروتوکل‌های مختلفی پشتیبانی میکنند. شما میتوانید از یک از این پروتوکل‌ها استفاده کنید: FTP, SFTP, or SSH.
هنگامی که به FTP خود متصل می شوید، رمز عبور شما به سرور رمزنگاری نشده ارسال می شود و به راحتی میتوان آن را به سرقت برد. بنابراین به جای استفاده از FTP همیشه باید از SFTP یا SSH استفاده کنید.
برای وصل شدن به SFTP یا SSH نیاز به تغییر FTP کلاینت خود ندارید. بیشتر نرم افزارهای FTP کلاینت میتوانند به SFTP و یا SSH وبسایت شما متصل شوند. فقط باید پروتکل SFTP-SSH را هنگام اتصال به وب سایت خود تغییر دهید.
8- استفاده از کلمه ی “Admin“ در نام کاربری وردپرس
استفاده از “admin” به عنوان نام کاربری وردپرس توصیه نمیشود. اگر نام کاربری شما “Admin ” می باشد هر چه سریعتر آن را به نام کاربری متفاوت تغییر دهید.
برای راهنمایی های بیشتر به آموزش تغییر نام کاربری وردپرس مراجعه کنید.
9- پوسته ها و افزونه های نال شده
وب سایتهای زیادی در اینترنت موجود می باشند که پوسته‌ها و افزونه های پرداخت شده ی وردپرس را به صورت رایگان توزیع می کنند. گاهی اوقات ممکن است دچار وسوسه بشوید که از این پوسته ها و افزونه های نال برای سایتتان استفاده کنید.
دانلود قالب‌ها و افزونه های وردپرس از منبع های نامعتبر کار بسیار خطرناکی می‌باشد. آنها نه تنها می توانند امنیت وب سایت شما را به خطر بیاندازند بلکه میتوانند اطلاعات حساس شما را نیز سرقت کنند.
شما باید همیشه از منابع معتبر مانند وبسایت توسعه دهنده قالب/افزونه و یا سایت وردپرس رسمی برای دانلود پوسته ها و افزونه ها استفاده کنید.
اگر نمی خواهید پوسته ها یا افزونه های هزینه دار را خریداری کنید، همیشه جایگزین رایگان برای این محصولات وجود دارد. این افزونه های رایگان ممکن است به خوبی همتایان هزینه دارشان نباشند اما کار شما را انجام خواهند داد و مهم تر از همه وب سایت شما را ایمن نگه می دارند.
10- نا امن بودن فایل کانفیگ wp-config.php وردپرس
فایل پیکربندی وردپرس wp-config.php شامل پایگاه داده ورود به سیستم وردپرس شما می باشد. اگر آن در معرض خطر قرار گیرد اطلاعات شما را آشکار میکند و به هکرها اجازه دسترسی کامل به وب سایت تان را میدهد.
شما میتوانید در سطح بالاتری امنیت را با مسدود کردن wp-config.php و با استفاده از .htaccess ایجاد کنید، تنها کافی است دستورات زیر را به فایل .htaccess اضافه کنید.
<files wp-config.php> order allow,deny deny from all </files>
11- عدم تغییر پیشوندهای پیشفرض جدول دیتابیس وردپرس
بسیاری از کارشناسان توصیه میکنند که پیشوند جداول دیتابیس وردپرس که به صورت پیشفرض تنظیم شده است را تغییر دهید.
وردپرس برای تشکیل جدول های پایگاه داده به صورت پیشفرض از wp_ به عنوان پیشوند استفاده میکند. شما میتوانید آن را در طول نصب تغییر دهید.
به شما توصیه می کنیم از یک پیشوند کوچک و در عین حال پیچیده استفاده کنید. حدس زدن نام جدول پایگاه داده برای هکرها سخت می باشد.
برای دستورالعمل های بیشتر، آموزش ما درباره چگونگی تغییر پیشوند جداول پایگاه داده وردپرس برای بهبود امنیت را ببینید.
تعمیر یک سایت وردپرس هک شده
تعمیر کردن یک سایت وردپرس هک شده می تواند بسیار پر زحمت باشد. با این حال، این کار امکان پذیر است.
در اینجا منابعی وجود دارد که شما میتوانید وردپرس هک شده خود را تعمیر کنید:
- نحوه اسکن سایت وردپرس برای کدهای مخرب بالقوه
- نحوه یافتن backdoor در یک سایت وردپرس هک شده و رفع آن
- اگر ادمین وردپرس(wp-admin) به رویتان قفل شد چه باید کرد؟
ما امیدواریم که این مطلب به شما کند تا دلایل اصلی هک شدن سایت های وردپرس را متوجه شده باشید. همچنین در صورت نیاز می توانید راهنمای جامع امنیت وردپرس را برای محافظت از سایت وردپرسی خود ببینید.
