Kaip nulaužiamos svetainės

7 modulis: Saugumas · Skaitymo trukmė: 8 min.

Mokymosi tikslas: Po šios pamokos galėsite realistiškai paaiškinti, kaip dažniausiai nulaužiamos WordPress svetainės, kodėl taikiniu tampa ir mažos svetainės, ir ko įsilaužėliai iš jų nori.

Pagrindinės sąvokos: pažeidžiamumas, spraga įskiepyje ar temoje, automatinis skenavimas, credential stuffing, brute force (brutalios jėgos atakos), nulled programinė įranga, užkrėstas kompiuteris, pasekmės (šlamštas, peradresavimas, phishing, kenkėjiška programinė įranga), atakos paviršius

„Mano svetainė per maža, kad kam nors būtų įdomi“

Tai dažniausiai girdimas klaidingas įsitikinimas. Beveik nė viena WordPress įsilaužimo ataka nėra nukreipta į konkrečią svetainę. Įsilaužėliai naudoja programas, kurios automatiškai per valandą patikrina tūkstančius svetainių ir ieško vieno dalyko: žinomos silpnosios vietos. Jei programa ją randa, ji įsilaužia, nesvarbu, ar tai tarptautinės bendrovės, ar vietos futbolo klubo svetainė.

Jiems rūpi ne pati Jūsų svetainė, o tai, ką ji gali:

• Šlamštas ir paieškos sistemų piktnaudžiavimas: tūkstančiai paslėptų puslapių ar nuorodų apie vaistus, lošimus ar netikras parduotuves, kurios naudojasi gera Jūsų domeno reputacija „Google“ paieškoje.
• Peradresavimas: lankytojai (dažnai tik tie, kurie ateina iš „Google“ arba naudojasi telefonu) nukreipiami į netikrą svetainę ar sukčių puslapį. Jūs nieko nepastebite, nes patenkate per žymę (bookmark).
• Phishing (sukčiavimas): suklastotas banko ar pristatymo paslaugos prisijungimo puslapis, paslėptas Jūsų uploads aplanke, su Jūsų domeno pavadinimu nuorodoje.
• Kenkėjiškos programinės įrangos platinimas lankytojams.
• Laiškų siuntimas: Jūsų serveris siunčia šlamštą, o vėliau Jūsų paties laiškai nebepasiekia adresatų.
• Skaičiavimo galia: Jūsų paslaugų paketas naudojamas atakoms prieš kitas svetaines arba kriptovaliutų kasimui.
• Duomenys: interneto parduotuvės ar narystės svetainės atveju, Jūsų klientų duomenys.

1 įėjimo būdas: spraga įskiepyje ar temoje

Tai, be abejo, svarbiausias būdas. Pagal „Patchstack“, bendrovės, kuri seka WordPress spragas, metinę ataskaitą, 2024 m. WordPress ekosistemoje buvo rasta 7 966 naujos pažeidžiamumo vietos. 96% jų buvo įskiepiuose, 4% temose, o pačiame WordPress tik septynios. Daugumos spragų taip paprastai išnaudoti negalima, tačiau dalimi galima, ir jos masiškai skenuojamos per kelias valandas ar dienas po paskelbimo.

Modelis beveik visada tas pats:

1. Populiarios įskiepio versijoje 3.2 randama spraga.
2. Kūrėjas išleidžia versiją 3.2.1 su taisymu. Spraga tampa viešai žinoma.
3. Per trumpą laiką programos skenuoja internetą ieškodamos svetainių su versija 3.2 ar senesne.
4. Kas dar nespėjo atnaujinti, į tą įsilaužiama.

Pavojus slypi ne slaptoje spragoje, apie kurią niekas nežino, o žinomoje spragoje, kuriai jau yra atnaujinimas, tačiau jis nebuvo įdiegtas. Todėl atnaujinimai (pamoka 7.2) yra pati svarbiausia priemonė, o tai, ko nenaudojate, reikia pašalinti (pamoka 5.4): kiekvienas įskiepis, net išjungtas, didina Jūsų atakos paviršių.

Ypatingas atvejis yra apleisti įskiepiai: kūrėjas nebetaiso spragų. Taip pat nulled programinė įranga (pamoka 5.3): pavogta mokamo įskiepio kopija, dažnai su įmontuotomis spragomis.

2 įėjimo būdas: slaptažodžiai

Antras pagrindinis įėjimo būdas, tai prisijungimas naudojant galiojantį slaptažodį:

• Credential stuffing: kitos paslaugos duomenų nutekinimo metu nutekėjo milijonai el. pašto adreso ir slaptažodžio derinių. Programos bando šiuos derinius įvairiose svetainėse, taip pat WordPress prisijungimo puslapiuose. Jei naudojate tą patį slaptažodį, kaip ir nutekėjusioje paslaugoje, jie gali prisijungti.
• Brute force (brutalios jėgos ataka): programa tiesiog bando daug slaptažodžių, dažnai su dažnai naudojamais naudotojų vardais, pavyzdžiui, admin. Su ilgu, unikaliu slaptažodžiu tai neturi jokių šansų, tačiau tai vis tiek apkrauna Jūsų serverio skaičiavimo resursus.
• Phishing: netikras laiškas „Jūsų WordPress reikia atnaujinti, prisijunkite čia“ su nuoroda į suklastotą prisijungimo puslapį.

Pamoka 7.3 skirta gynybai: slaptažodžių tvarkyklė, dviejų veiksnių autentifikavimas ir prisijungimo bandymų ribojimas.

3 įėjimo būdas: viskas aplink WordPress

Ne kiekvienas įsilaužimas prasideda WordPress sistemoje:

• Užkrėstas kompiuteris, Jūsų ar Jūsų svetainės kūrėjo, su programa, kuri vagia slaptažodžius, pavyzdžiui, FTP programoje išsaugotus slaptažodžius.
• Įprastas FTP be šifravimo, viešame tinkle.
• Kita svetainė tame pačiame paslaugų pakete: pamiršta sena bandomoji diegtis, sena „Joomla“ poaplankyje. Visos tame pačiame pakete esančios svetainės dažniausiai naudoja tą patį naudotoją serveryje. Jei sena svetainė nulaužiama, įsilaužėlis gali pasiekti ir Jūsų WordPress.
• Nutekėjęs duomenų bazės slaptažodis, pavyzdžiui, per wp-config.php kopiją žiniatinklio aplanke (pamoka 1.3).
• Formos be patikros, kuriomis piktnaudžiaujama šlamšto siuntimui.

Pas gerą talpinimo paslaugų teikėją Jūsų paslaugų paketas yra atskirtas nuo kitų klientų paketų tame pačiame serveryje (pavyzdžiui, DirectAdmin serveriuose su CloudLinux, naudojant CageFS). Tačiau tai, kas vyksta Jūsų paties pakete, lieka Jūsų atsakomybė.

Ką pastebite (ir ko ne)

Gero įsilaužimo iš pradžių nepastebėsite. Įsilaužėliai nori kuo ilgiau naudoti Jūsų svetainę. Požymiai (pamoka 7.5 apie tai plačiau):

• „Google“ praneša „Ši svetainė galbūt nulaužta“, arba savo domeno paieškos rezultatuose matote keistus puslapius (pabandykite ieškoti site:example.com);
• lankytojai praneša, kad patenka kažkur kitur;
• yra administratorių ar failų, kurių nepažįstate;
• Jūsų talpinimo paslaugų teikėjas ar kenkėjiškų programų skeneris apie kažką praneša;
• Jūsų laiškai staiga nebepasiekia adresatų, arba Jūsų paslaugų paketas pilnas ar lėtas.

Gynyba sluoksniais

Nė viena priemonė nėra visiškai patikima. Saugumas, tai sluoksnių sankaupa, kad klaida viename sluoksnyje iškart neatvertų visko:

1. Atnaujinimas (pamoka 7.2): uždaro žinomas spragas. Be jokios abejonės, svarbiausia.
2. Mažiau komponentų (pamoka 5.3 ir 5.4): mažiau ką atnaujinti, mažiau spragų.
3. Prisijungimo apsauga (pamoka 7.3): ilgi unikalūs slaptažodžiai, dviejų veiksnių autentifikavimas, mažiausios reikiamos teisės (pamoka 3.3).
4. Sugriežtinimas (pamoka 7.4): teisės, nustatymai ir antraštės, mažinančios žalą.
5. Atsarginės kopijos (pamoka 8.1): jei vis dėlto įvyksta blogiausia, galite grįžti atgal.
6. Žinojimas, ką daryti, jei vis dėlto įvyksta blogiausia (pamoka 7.5).

Santrauka

• Beveik visi įsilaužimai yra automatiniai ir nenukreipti į konkretų taikinį; mažos svetainės yra taikinys lygiai taip pat.
• Įsilaužėliams rūpi tai, ką gali Jūsų svetainė: šlamštas, peradresavimas, phishing, laiškai, skaičiavimo galia, duomenys.
• Didžiausias įėjimo būdas, tai žinoma spraga įskiepyje ar temoje, kuriai jau buvo atnaujinimas (2024 m. 96% naujų pažeidžiamumų buvo įskiepiuose).
• Antras įėjimo būdas, tai slaptažodžiai: pakartotinai naudojami, atspėti ar išvilioti.
• Taip pat užkrėstas kompiuteris, įprastas FTP ar pamiršta sena svetainė tame pačiame pakete gali tapti įėjimo būdu. Gynykitės sluoksniais.

Testas

Užduotis

Užduotis D7.1: Jūsų pačių rizikos sąrašas. Sudarykite sąrašą visko, kas Jūsų talpinimo paslaugų pakete gali būti įėjimo būdas: kiekviena WordPress diegtis (taip pat bandomoji ir senos svetainės), kiekvienas įskiepis ir tema (taip pat neaktyvūs), kiekviena paskyra su administravimo teisėmis (WordPress, FTP, talpinimo valdymo skydelis), ir kompiuteriai, iš kurių prisijungiama. Prie kiekvieno elemento nurodykite: kada paskutinį kartą atnaujinta, ar vis dar reikalinga (taip/ne), ir kas už tai atsakingas. Pažymėkite, kuriuos tris dalykus sutvarkysite ar atnaujinsite šią savaitę, ir užrašykite, kodėl pasirinkote būtent juos.

Papildoma literatūra

Šiuose straipsniuose aprašomi veiksmai WebOké valdymo skydeliuose; kituose skydeliuose veikimo principas panašus.

• Pagalba! Mano svetainė nulaužta. Kaip tai išspręsti ir užkirsti kelią?
• DirectAdmin vadovas 18.2: Mano svetainė nulaužta: veiksmų planas
• State of WordPress Security in 2025 (Patchstack, anglų kalba): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• WordPress saugumas (developer.wordpress.org, anglų kalba): https://developer.wordpress.org/advanced-administration/security/hardening/