Vdor v WordPress je ena najbolj neprijetnih stvari, ki se lahko zgodi lastniku spletne strani. Posledice niso samo spremenjena naslovna stran ali nedelujo\u010d WordPress. Napadalec lahko vstavi zlonamerno kodo, preusmerja obiskovalce na druge strani, po\u0161ilja ne\u017eeleno po\u0161to, ustvarja skrite administratorske ra\u010dune, krade podatke ali pusti stranska vrata, skozi katera se vrne tudi po navideznem \u010di\u0161\u010denju.<\/p>\n
Dobra novica je, da je veliko vdorov mogo\u010de prepre\u010diti z razmeroma osnovnimi ukrepi. \u010ce do vdora vseeno pride, pa je najpomembneje ukrepati sistemati\u010dno. Naklju\u010dno brisanje sumljivih datotek pogosto odstrani samo vidni del oku\u017ebe, ne pa tudi vzroka.<\/p>\n
WordPress sam po sebi ni \u00bbnevaren\u00ab sistem. Te\u017eava je, da spletna stran ni sestavljena samo iz jedra WordPressa. Ve\u010dina strani uporablja ve\u010d vti\u010dnikov, temo, razli\u010dne zunanje integracije in uporabni\u0161ke ra\u010dune. Vsak tak del lahko predstavlja dodatno vstopno to\u010dko.<\/p>\n
Med najpogostej\u0161e vzroke sodijo zastareli WordPress, vti\u010dniki ali teme, ranljiv vti\u010dnik, ukradeno geslo, pre\u0161ibko geslo, oku\u017een ra\u010dunalnik skrbnika, nepreverjena oziroma piratska \u00bbnulled\u00ab tema ali vti\u010dnik ter slabo za\u0161\u010diteno stre\u017eni\u0161ko okolje.<\/p>\n
Pomembno je tudi razumeti, da vdor ni vedno takoj opazen. Napadalec lahko v spletno stran vstavi skrito kodo in jo uporablja ve\u010d dni ali tednov, preden lastnik sploh opazi te\u017eavo. Prav zato so poleg za\u0161\u010dite pomembni tudi dnevniki, nadzor sprememb in dovolj dolga zgodovina varnostnih kopij.<\/p>\n
Najpomembnej\u0161i varnostni ukrep je zelo preprost: uporabljajte podprte in posodobljene razli\u010dice WordPressa, vti\u010dnikov in tem. Ko je ranljivost javno objavljena in je zanjo \u017ee na voljo popravek, napadalci pogosto avtomatizirano i\u0161\u010dejo spletne strani, ki popravka \u0161e niso namestile.<\/p>\n
Neuporabljene vti\u010dnike in teme je bolje odstraniti, ne samo deaktivirati. \u010ce kode ne potrebujete, ni razloga, da ostaja na stre\u017eniku in pove\u010duje napadalno povr\u0161ino.<\/p>\n
Pri pomembnih spletnih trgovinah in poslovnih straneh posodobitev ni treba izvajati brezglavo. Smiselno je imeti varnostno kopijo, posodobiti najprej manj tvegane komponente, nato preveriti delovanje strani in \u0161ele potem nadaljevati.<\/p>\n
Velik varnostni problem so piratske oziroma \u00bbnulled\u00ab premium teme in vti\u010dniki. Pri tak\u0161ni datoteki uporabnik ne more vedeti, ali je bila izvorna koda spremenjena in ali vsebuje backdoor, skriti administratorski dostop ali kodo za krajo podatkov.<\/p>\n
Vti\u010dnike in teme name\u0161\u010dajte iz uradnega WordPress repozitorija ali neposredno od preverjenega razvijalca. Pred namestitvijo preverite, ali se projekt \u0161e aktivno razvija, kdaj je bil nazadnje posodobljen in ali je zdru\u017eljiv z aktualno razli\u010dico WordPressa.<\/p>\n
Geslo za WordPress ne sme biti enako geslu za e-po\u0161to, cPanel, DirectAdmin, FTP ali druge storitve. \u010ce isto geslo uporabljate na ve\u010d mestih, lahko \u017ee en sam uhaj podatkov napadalcu odpre ve\u010d razli\u010dnih poti do spletne strani.<\/p>\n
Za administratorske ra\u010dune uporabite dolgo in unikatno geslo ter vklju\u010dite dvostopenjsko avtentikacijo. O tem smo \u017ee podrobneje pisali v \u010dlanku Zakaj je dvostopenjska avtentikacija (2FA) pametna izbira za varnost va\u0161ih ra\u010dunov?<\/a><\/p>\n Vsak uporabnik naj ima samo pravice, ki jih dejansko potrebuje. Oseba, ki samo ureja vsebino, praviloma ne potrebuje administratorskega dostopa.<\/p>\n \u010ce ponudnik gostovanja omogo\u010da SFTP, ga uporabljajte namesto navadnega FTP. Pri SFTP so prijavni podatki in promet med va\u0161im ra\u010dunalnikom in stre\u017enikom \u0161ifrirani.<\/p>\n Na ra\u010dunalnikih, s katerih se prijavljate v WordPress ali na gostovanje, redno posodabljajte operacijski sistem in brskalnik ter uporabljajte za\u0161\u010dito pred zlonamerno programsko opremo. V\u010dasih je spletna stran tehni\u010dno dobro za\u0161\u010ditena, napadalec pa dostop pridobi prek ukradenega gesla na oku\u017eenem ra\u010dunalniku.<\/p>\n \u010ce na strani ne uporabljate vgrajenega urejevalnika datotek za teme in vti\u010dnike, ga lahko izklopite z nastavitvijo v datoteki To ni za\u0161\u010dita pred vsemi napadi, lahko pa omeji eno od poti, po kateri bi nekdo z ukradenim administratorskim ra\u010dunom spreminjal PHP datoteke neposredno iz WordPress nadzorne plo\u0161\u010de.<\/p>\n Preverite tudi pravice datotek in map. Na tipi\u010dnem Linux gostovanju so pogosto primerne pravice 644 za datoteke in 755 za mape, vendar je kon\u010dna nastavitev odvisna od stre\u017eni\u0161kega okolja. Nastavljanje vsega na 777 zaradi \u00bbte\u017eav z dovoljenji\u00ab je zelo slaba praksa.<\/p>\n Varnostni vti\u010dnik lahko pomaga pri omejevanju prijav, 2FA, opozarjanju na spremembe datotek in odkrivanju znanih zlonamernih vzorcev. Vendar WordPress vti\u010dnik deluje znotraj samega WordPress okolja. \u010ce je stre\u017enik ali spletna stran \u017ee mo\u010dno kompromitirana, ne smemo pri\u010dakovati, da bo en vti\u010dnik sam re\u0161il vse.<\/p>\n Bolj\u0161a za\u0161\u010dita je ve\u010dplastna: varen stre\u017enik, spletni po\u017earni zid, pravilno nastavljene pravice, posodobljen WordPress, varni uporabni\u0161ki ra\u010duni, nadzor zlonamerne kode in dobre varnostne kopije.<\/p>\n Pri izbiri WordPress gostovanja<\/a> ni pomembna samo koli\u010dina prostora in cena. Ponudnik lahko na stre\u017eni\u0161kem nivoju prepre\u010di ali omeji veliko napadov, \u0161e preden pridejo do WordPressa.<\/p>\n Koristne so re\u0161itve, kot so spletni aplikacijski po\u017earni zid (WAF), ModSecurity, stre\u017eni\u0161ko preverjanje zlonamerne kode, omejevanje brute-force napadov, izolacija uporabni\u0161kih ra\u010dunov in redno posodabljanje stre\u017eni\u0161ke programske opreme.<\/p>\n Pomembna je tudi tehni\u010dna podpora. Ko je stran oku\u017eena, je velika razlika, ali ponudnik lahko preveri dnevnike, pomaga dolo\u010diti pribli\u017een \u010das oku\u017ebe, preveri sumljive procese in uporabniku omogo\u010di obnovo varnostne kopije.<\/p>\n \u010ce bi morali izbrati en ukrep, ki najbolj zmanj\u0161a posledice uspe\u0161nega vdora, so to kakovostne varnostne kopije. WordPress stran je sestavljena iz dveh klju\u010dnih delov: datotek in podatkovne baze. Za popolno obnovo potrebujete oboje.<\/p>\n Dobro je, da ponudnik spletnega gostovanja izdeluje lastne samodejne varnostne kopije in omogo\u010da ve\u010d obnovitvenih to\u010dk. \u0160e bolje je, \u010de imate poleg kopij ponudnika tudi svojo neodvisno kopijo na drugi lokaciji.<\/p>\n Pri ponudniku preverite:<\/p>\n – kako pogosto se izdelujejo varnostne kopije,<\/p>\n – koliko dni oziroma obnovitvenih to\u010dk se hrani,<\/p>\n – ali varnostna kopija vklju\u010duje datoteke in podatkovne baze,<\/p>\n – ali lahko obnovo izvedete sami,<\/p>\n – ali ponudnik kopije hrani lo\u010deno od produkcijskega stre\u017enika,<\/p>\n – ali je obnova vklju\u010dena v ceno ali se dodatno zara\u010duna.<\/p>\n Zakaj je zgodovina tako pomembna? \u010ce je bil vdor izveden pred desetimi dnevi, vi pa ga opazite \u0161ele danes, vam samo v\u010deraj\u0161nja varnostna kopija ne pomaga veliko, saj lahko vsebuje isto zlonamerno kodo. Ve\u010d razli\u010dnih obnovitvenih to\u010dk mo\u010dno pove\u010da mo\u017enost, da boste na\u0161li \u010disto stanje pred oku\u017ebo.<\/p>\n Znaki niso vedno o\u010ditni. Pozorni bodite na nenadne preusmeritve na neznane strani, pojav oglasov ali vsebine, ki je niste objavili, neznane administratorske uporabnike, nenadno po\u0161iljanje velike koli\u010dine e-po\u0161te, opozorila brskalnika ali Googla, nenavadno visoko porabo procesorja, spremenjene datoteke ter PHP datoteke v mapah, kjer jih ne pri\u010dakujete.<\/p>\n Sumljiv je tudi primer, ko se po odstranitvi zlonamerne datoteke ista ali podobna datoteka \u010dez nekaj minut ponovno pojavi. To obi\u010dajno pomeni, da je v sistemu ostal \u0161e drug mehanizem za ponovno oku\u017ebo.<\/p>\n \u010ce stran obiskovalce preusmerja na zlonamerne strani, ponuja oku\u017eene datoteke ali aktivno po\u0161ilja spam, jo je smiselno za\u010dasno dati v vzdr\u017eevalni na\u010din oziroma omejiti javni dostop. Pri spletni trgovini je treba ukrep prilagoditi tako, da se ohrani \u010dim ve\u010d podatkov o naro\u010dilih in transakcijah.<\/p>\n Tudi oku\u017eena kopija je lahko koristna. Ne uporabljate je kot \u010disto obnovitveno to\u010dko, lahko pa kasneje pomaga ugotoviti, katere datoteke so bile spremenjene, kdaj se je napad zgodil in kako je napadalec vzdr\u017eeval dostop.<\/p>\n WordPress tudi v uradni dokumentaciji priporo\u010da, da se pred ve\u010djimi posegi v oku\u017eeno stran shrani posnetek trenutnega stanja.<\/p>\n \u010ce imate varnostno kopijo iz \u010dasa pred vdorom, je obnova pogosto najhitrej\u0161a in najvarnej\u0161a mo\u017enost. Toda samo povrnitev stare kopije ni dovolj. Pred ponovno objavo je treba odpraviti ranljivost, zaradi katere je do vdora pri\u0161lo, sicer se lahko stran ponovno oku\u017ei.<\/p>\n Pri WooCommerce trgovini ali drugem sistemu, kjer se podatki pogosto spreminjajo, previdno z obnovo stare baze. \u010ce obnovite bazo izpred treh dni, lahko izgubite nova naro\u010dila, uporabnike ali druge poslovne podatke. V tak\u0161nem primeru je pogosto potreben selektiven prenos podatkov ali pomo\u010d strokovnjaka.<\/p>\n V WordPressu odprite seznam uporabnikov in preverite vse ra\u010dune z administratorskimi pravicami. Neznanega administratorskega ra\u010duna ne ignorirajte. Zabele\u017eite podatke za analizo in ga odstranite oziroma mu odvzemite dostop.<\/p>\n Pri resnem vdoru je varneje zamenjati jedrne WordPress datoteke s sve\u017eo kopijo iz uradnega vira kot iskati vsako posamezno spremenjeno datoteko.<\/p>\n Posebej preverite mapi Samo klik na \u00bbUpdate\u00ab ni vedno dovolj. Napadalec lahko v mapo vti\u010dnika doda novo datoteko z drugim imenom, ki je obi\u010dajna posodobitev ne odstrani.<\/p>\n \u010ce sumite na kompromitiran vti\u010dnik ali temo, je varnej\u0161i postopek odstranitev njegove obstoje\u010de mape in ponovna namestitev sve\u017ee kopije iz uradnega oziroma preverjenega vira. Pri prilagojenih temah pred tem shranite lastne spremembe in jih preglejte.<\/p>\n Napadalci se pogosto skrivajo tam, kjer obi\u010dajno \u010di\u0161\u010denje ne pogleda. Preglejte mapo Ne bri\u0161ite datoteke samo zato, ker je ne poznate. Nekatere od teh datotek so lahko povsem legitimne in pripadajo predpomnilniku, varnostnemu vti\u010dniku ali drugi funkcionalnosti. Primerjajte jih z znanim \u010distim stanjem oziroma preverite, kdo jih uporablja.<\/p>\n Vztrajna oku\u017eba se lahko obnavlja prek cron opravila ali kode, shranjene v podatkovni bazi. Preverite WordPress cron, sistemske cron naloge, sumljive vrednosti v tabeli z nastavitvami, neznane uporabnike ter nenavadne skripte, vstavljene v vsebino ali gradnike.<\/p>\n Ko je stran izolirana in ste odstranili o\u010ditne mehanizme za ponovni dostop, zamenjajte:<\/p>\n – gesla vseh WordPress administratorjev,<\/p>\n – geslo nadzorne plo\u0161\u010de gostovanja,<\/p>\n – FTP\/SFTP in SSH gesla oziroma klju\u010de,<\/p>\n – geslo podatkovne baze, \u010de obstaja mo\u017enost, da je bilo razkrito,<\/p>\n – API klju\u010de in druge skrivnosti, ki so bile shranjene na strani.<\/p>\n \u010ce spremenite geslo podatkovne baze, morate novo geslo vpisati tudi v Zamenjajte tudi WordPress varnostne klju\u010de in soli v \u010ce je bilo geslo ukradeno z oku\u017eenega ra\u010dunalnika, samo \u010di\u0161\u010denje stre\u017enika ne bo re\u0161ilo te\u017eave. Pred ponovno uporabo novih gesel preverite tudi ra\u010dunalnike in druge naprave, s katerih se prijavljate.<\/p>\n Po \u010di\u0161\u010denju posodobite WordPress, teme in vti\u010dnike, odstranite vse, \u010desar ne uporabljate, ponovno preverite pravice datotek in vklju\u010dite dodatno za\u0161\u010dito prijav.<\/p>\n Naslednje dni spremljajte spremembe datotek, porabo procesorja, po\u0161iljanje e-po\u0161te, nove uporabnike in dnevnike dostopov. \u010ce se oku\u017eba vrne, prvotni vzrok najverjetneje ni bil odstranjen.<\/p>\n \u010ce je oku\u017eena stran gostila spam vsebino, preusmeritve ali zlonamerno kodo, jo lahko iskalniki za\u010dasno ozna\u010dijo kot nevarno. Po uspe\u0161nem \u010di\u0161\u010denju preverite Google Search Console in morebitna varnostna opozorila. \u010ce je potrebno, po odstranitvi te\u017eave zahtevajte ponovni pregled.<\/p>\n Preverite tudi, ali so se v Googlov indeks uvrstile ne\u017eelene spam podstrani. \u010ci\u0161\u010denje stre\u017enika je \u0161ele prvi korak; v\u010dasih je treba sanirati \u0161e posledice v iskalnikih.<\/p>\n Popolne za\u0161\u010dite pred vdorom ne more zagotoviti nih\u010de. Ponudnik gostovanja ne more prepre\u010diti vsake ranljivosti v WordPress vti\u010dniku ali slabega gesla uporabnika. Lahko pa bistveno zmanj\u0161a tveganje in predvsem posledice incidenta.<\/p>\n Pri izbiri gostovanja preverite, ali ponudnik omogo\u010da:<\/p>\n – redne stre\u017eni\u0161ke varnostne kopije z ve\u010d obnovitvenimi to\u010dkami,<\/p>\n – mo\u017enost hitre obnove datotek in podatkovne baze,<\/p>\n – spletni aplikacijski po\u017earni zid in stre\u017eni\u0161ko za\u0161\u010dito,<\/p>\n – pregledovanje zlonamerne kode,<\/p>\n – za\u0161\u010dito pred brute-force napadi,<\/p>\n – izolacijo uporabni\u0161kih ra\u010dunov,<\/p>\n – dostop do dnevnikov in odzivno tehni\u010dno podporo.<\/p>\n \u0160e tako dober backup na istem stre\u017eniku ali znotraj istega uporabni\u0161kega ra\u010duna ni idealna edina varnostna kopija. Pomembne spletne strani naj imajo vsaj eno neodvisno kopijo izven produkcijskega okolja.<\/p>\n Pri WordPress varnosti ni ene nastavitve ali enega vti\u010dnika, ki bi re\u0161il vse. Najbolj\u0161a za\u0161\u010dita je kombinacija rednega posodabljanja, kakovostnih vti\u010dnikov, mo\u010dnih gesel, 2FA, varnega gostovanja, stre\u017eni\u0161ke za\u0161\u010dite, nadzora in dobrih varnostnih kopij.<\/p>\n \u010ce pa do vdora \u017ee pride, je glavno pravilo: ne odstranite samo tistega, kar je videti oku\u017eeno. Ugotoviti je treba tudi, kako je napadalec pri\u0161el v sistem in ali je za seboj pustil \u0161e kak\u0161en mehanizem za ponovni dostop.<\/p>\n Za dodatna splo\u0161na navodila lahko preberete tudi na\u0161 starej\u0161i \u010dlanek Kako ravnati po vdoru v spletno stran<\/a>, za tehni\u010dne smernice pa je koristen tudi uradni WordPress vodi\u010d Hardening WordPress<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":" Vdor v WordPress lahko povzro\u010di preusmeritve, zlonamerno kodo, spam in krajo podatkov. Preverite, kako zmanj\u0161ati mo\u017enost vdora, zakaj so varnostne kopije klju\u010dne in kaj storiti, \u010de je WordPress stran \u017ee oku\u017eena.<\/p>\n","protected":false},"author":2,"featured_media":973,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[15,53,18],"tags":[],"class_list":["post-1789","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-gostovanje","category-navodila","category-varnost"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/posts\/1789","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/comments?post=1789"}],"version-history":[{"count":1,"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/posts\/1789\/revisions"}],"predecessor-version":[{"id":1790,"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/posts\/1789\/revisions\/1790"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/media\/973"}],"wp:attachment":[{"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/media?parent=1789"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/categories?post=1789"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.spletnogostovanje.biz\/index.php\/wp-json\/wp\/v2\/tags?post=1789"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}4. Za prenos datotek uporabljajte SFTP<\/h2>\n
5. Omejite, kaj lahko napadalec naredi po prijavi<\/h2>\n
wp-config.php<\/code>:<\/p>\ndefine('DISALLOW_FILE_EDIT', true);<\/code><\/pre>\n6. Uporabite varnostni vti\u010dnik, vendar mu ne zaupajte kot edini za\u0161\u010diti<\/h2>\n
7. Izberite ponudnika gostovanja, ki skrbi tudi za varnost stre\u017enika<\/h2>\n
8. Varnostne kopije so zadnja obrambna linija<\/h2>\n
Kako prepoznati, da je WordPress morda vdrl?<\/h2>\n
Kaj storiti takoj, ko ugotovite vdor v WordPress?<\/h2>\n
1. \u010ce stran ogro\u017ea obiskovalce, omejite dostop<\/h3>\n
2. Pred \u010di\u0161\u010denjem naredite kopijo trenutnega stanja<\/h3>\n
3. Preverite, ali imate dokazano \u010disto varnostno kopijo<\/h3>\n
4. Preverite administratorske uporabnike<\/h3>\n
5. Zamenjajte WordPress jedro s \u010distimi datotekami<\/h3>\n
wp-admin<\/code> in wp-includes<\/code>. Pri zamenjavi pazite na wp-content<\/code> in wp-config.php<\/code>, ker vsebujeta podatke in nastavitve va\u0161e strani.<\/p>\n6. Vti\u010dnike in teme namestite na novo iz \u010distih virov<\/h3>\n
7. Preverite wp-content, uploads, mu-plugins in posebne datoteke<\/h3>\n
wp-content\/uploads<\/code> za nepri\u010dakovane PHP datoteke, mapo mu-plugins<\/code>, datoteke advanced-cache.php<\/code>, db.php<\/code>, object-cache.php<\/code>, datoteki .htaccess<\/code> in wp-config.php<\/code> ter druge nenavadne datoteke v korenu spletne strani.<\/p>\n8. Preverite cron opravila in podatkovno bazo<\/h3>\n
9. Zamenjajte vsa pomembna gesla in skrivnosti<\/h3>\n
wp-config.php<\/code>.<\/p>\nwp-config.php<\/code>. S tem razveljavite obstoje\u010de prijavne seje, zato se morajo uporabniki ponovno prijaviti.<\/p>\n10. Preglejte naprave skrbnikov<\/h3>\n
11. Posodobite vse in spremljajte stran \u0161e nekaj dni<\/h3>\n
Kaj pa Google opozorila in SEO posledice?<\/h2>\n
Kaj mora dober ponudnik gostovanja omogo\u010dati?<\/h2>\n
Najbolj\u0161a obramba je kombinacija ve\u010d ukrepov<\/h2>\n