強化 WordPress，怎麼安全的管理網站 (下集)
資訊安全

強化 WordPress，怎麼安全的管理網站 (下集)

接著 強化 WordPress，怎麼安全管理網站 (上集) 之後，再來輪到主角 WordPress 了，WordPress 有哪些管理、安全概念要知道的：

  1. 不要秀出 WordPress 是什麼版本：

    從檢視網頁原始碼可看到 (meta name=”generator” content=”WordPress 3.5″)，因為有心人士會針對此版本的弱點進行已知攻擊，隱藏了最起麻降低被攻破的機會、拉長被攻破的時間。

  2. WordPress 要保持最新：

    會有新版本就是有東西被修正了 (漏洞等等)，不過要注意新版本可能暫時會讓現在的外掛無法使用，或其它問題等，所以要升級前建議先建立一個測試環境 (同資料內容、同 WordPress 版本、同 OS、同 PHP、同 MySQL 等等)。正式升級前最好有作備份 (WordPress及資料庫)，以預防有問題時還可以還原到最新原始的狀態。

  3. 使用 .htaccess 阻擋常見的攻擊，上網找一下都應該可以搜尋的到。
  4. 關閉可以從 WordPress 後台上編輯 PHP 等檔案：

    通常是外掛或佈景主題，因為可能會被值入惡意程式，但前提是攻擊者能成功登入後台，我想是在多人編輯文章時，某人的帳密被猜到了吧，所以編輯權限也是要很小心控管。

  5. 限制 wp-config.php 檔權限：

    它是 WordPress 很重要的檔案，內容包含資料庫帳號、密碼等等，所以會把它的權限讓 apache user (web user) 無法存取 (chmod 644、chown root.root 或在 .htaccess 加上 deny)，還有 .htaccess 這個檔也是需要限制的。

  6. WordPress 有個 Authentication Unique Keys 功能：

    它可以增加被截取到帳號資訊的困難度，及防字典、暴力破解攻擊。

  7. 換個管理者帳號：

    你應該是用 admin 登入後台吧，它是預設的最高管理者，建議換個名字，管理用一組，PO 文章用另一組(權限低一點)，及隨時改密碼 (英文+數字+特殊符號+長度大於14等等)，如果用了太複雜的密碼，且記不得了，可以用 KeePass 這類的輔助工具。

  8. 資料庫的 Table 名稱的前置字元：

    一般是 wp_，我們可以改變它，讓被攻擊時暫時猜不到。

  9. 安全掃描 ：

    如果擔心網站是否有問題，Sucuri SiteCheck 有一免費的，提供基本的掃描資訊 (有沒有被列入黑名單、惡意程式、掛馬等等)。

除了以上，我們也可以用 WordPress 的外掛，就比較簡單處理了，都有人寫好了怎麼可以不用一下呢：

  • Limit Login Attempts
  1. 4 次以上嘗試失敗就鎖20分鐘，會在登入頁面顯示 “嘗試次數剩1次. “、 “嘗試過多次失敗登入 請在20分鐘後再重試。” 的訊息
  2. 它是鎖 ip，所以連正確的帳號密碼也不能成功登入，只能等限制時間過後才能再試著登入。
  3. 還可定義當被鎖 4 次以上時，會把封鎖的時間拉長到24小時(可自定)
  4. 會記錄 IP、登入名、被鎖幾次
  5. 可 Email 給管理者
  • Login Security Solution
  1. 類似 Limit Login Attempts
  2. 120分鐘內會根據來源 IP、帳號、密碼作限制。
  3. 它每次失敗後，下一次再嘗試登入，會比上次較慢回應你是不是正確的，來讓攻擊者誤以為失敗了。
  4. 密碼強弱限制，會要求密碼一定要 10 個字元等等。
  5. 登入後限制 timeout 時間。
  • Hide Login
  1. 假如今天帳號密碼被知道了，我們可以用另一方式防止，就是把後台的登入連結改變
  2. Hide Login 會幫我們產生自已自訂的連結 ( 產出 rewrite 設定寫入 .htaccess)，讓人暫時猜不到正確連結。
  3. 但要小心使用，因為設定錯誤或不熟的時後，就可能連自已都被擋了。
  • Better WP Security
  1. 它會給一些安全建議 (密碼太簡單、你的 WordPress 秀出版本了等等)，可以照著它的說明修正。
  2. 啟用它後，會有一些指示要你作，它建議先備份，我會跳過它，因為我早會在這之前就已備份了。
  3. 也會要求可不可以讓它可以寫入 wp-config.php 或 .htaccess 設定，我是否決的，等熟悉它後再作修改即可。
  4. 也會問你要不要直接有一些基本的防護，我也是 no，還是等熟悉了再作修改。
  • TAC (Theme Authenticity Checker)
  1. 我們可以用它來掃描佈景主題有沒有問題。
  2. 可疑的程式碼、經編譯過 (人看不懂的) 的程式碼等等。
  • Sucuri Security
  1. 跟前面提到 Sucuri SiteCheck 同一家，它也有出 WordPress 的外掛。
  • Wordfence Security
  1. 可以隱藏 WordPress 的版本、admin 登入錯誤訊息。
  2. 掃描留言有沒有惡意、釣魚連結。
  3. 檢查密碼強弱。
  4. 也有類似 Limit Login Attempts 與 Login Security Solution 嘗試登入並失敗的功能。
  5. 也有針對頁面可以被瀏覽幾次、被要求幾次、重複瀏覽沒有這頁面的幾次來作阻擋。
  • WP-DBManager
  1. 除了常用的 phpMyAdmin，用這個也可以管理資料庫。
  2. 查看 MySQL 版本、Table 資料用量
  3. 備份資料庫。
  4. 最佳化資料庫。
  5. 修復資料庫。
  6. 查詢 SQL。
  • WordPress Firewall
  1. 阻擋常見的攻擊 (directory traversals 等等)
  2. 如果誤擋，可以設白名單。

最後
說了那麼多，其實還是有很多安全性作法，這裡只能說到皮毛了，有興趣者可以自行發掘會比較有收獲。
但你千萬別有個想法，就是有沒有更簡單的方式啊，我只能說沒有 100 % 的、且一勞永逸的安全作法，只能盡力減少、降低風險，
或許只有把網路線拔掉就不受網路的迫害了 :)

這就是網路世界有趣的地方啊，你說是吧 !

若你想了解 WordPress 應用，也可以參考 Cloudamx WordPress 服務介紹：

https://www.cloudmax.com.tw/product/wordpress-hosting

 

作者：Cross Fang

發表迴響