VietNetwork.Vn

Các trang web WordPress thường bị xâm nhập bởi các tin tặc thông qua khai thác lỗ hổng. Trên thực tế, có khoảng 90.000 cuộc tấn công vào các trang web WordPress mỗi phút.


Nếu họ thành công, họ có thể sử dụng trang web để chạy tất cả các loại hoạt động phá hoại - đánh cắp dữ liệu khách hàng, bán sản phẩm bất hợp pháp, gửi email spam, lừa khách hàng tải xuống phần mềm độc hại, sử dụng các kỹ thuật SEO mũ đen để xếp hạng sản phẩm của riêng họ, chèn Backdoor...

Đối với chủ sở hữu trang web, việc bị hack không chỉ là tin xấu, đó là một cơn ác mộng. Và nó có thể xảy ra với bất kỳ trang web nào - lớn hay nhỏ. Thật thú vị khi lưu ý rằng các trang web nhỏ hơn nghĩ rằng tin tặc sẽ không tấn cônh chúng. Nhưng trong thực tế, các trang web như vậy là mục tiêu dễ dàng và được tin tặc ưa thích.

Nếu trang web của bạn bị hack, bạn có nhiều thứ để mất. Khách hàng của bạn sẽ không tin tưởng trang web của bạn nữa, doanh số và doanh thu của bạn sẽ bị ảnh hưởng và thậm chí bạn có thể bị Google đưa vào danh sách đen và cả máy chủ lưu trữ Web Shared Hosting của bạn.

Nếu tất cả điều này làm bạn lo lắng về bảo mật trang web của bạn, chúng tôi sẽ bảo vệ bạn. Trong bài viết này, chúng ta sẽ hiểu được tâm lý của tin tặc và hiểu cách mà chúng hack các trang web. Sau đó, chúng ta sẽ đề cập đến các cách để vô hiệu hóa chúng.Trước khi chúng tôi bắt đầu chỉ cho bạn cách thức và lý do tin tặc hack các trang web, bạn cần hiểu cấu trúc của trang web WordPress của mình. Nó được tạo thành từ các tập tin và cơ sở dữ liệu. Các tập tin WordPress chủ yếu chứa tất cả các cài đặt và cấu hình, trong khi cơ sở dữ liệu lưu trữ tất cả dữ liệu của bài đăng, nhận xét, người dùng và một loạt các thứ khác.Tin tặc có một loạt các phương pháp hack theo ý của chúng bằng cách thử và giành quyền truy cập vào trang web của bạn. Sử dụng Plugin MalCare Hack để ngăn chặn tin tặc. MalCare sẽ chủ động bảo vệ trang web của bạn chống lại tin tặc, cảnh báo bạn về bất kỳ sự xâm nhập nào và giúp bạn loại bỏ bất kỳ loại mã độc nào.

Trước khi chúng tôi bắt đầu chỉ cho bạn cách thức và lý do tin tặc hack các trang web, bạn cần hiểu cấu trúc của trang web WordPress của chính mình. Nó được tạo thành từ các tập tin và cơ sở dữ liệu. Các tập tin WordPress chủ yếu chứa tất cả các cài đặt và cấu hình, trong khi cơ sở dữ liệu lưu trữ tất cả dữ liệu của bài viết, bình luận, người dùng và một loạt các thứ khác. Cả hai yếu tố được yêu cầu để tạo Frontend của trang web của bạn. Nhưng cả hai cũng có thể bị khai thác bởi tin tặc. Trước tiên, hãy xem cách tin tặc xâm nhập vào các trang web WordPress.

Lưu ý: Đây không phải là hướng dẫn về cách hack trang web WordPress. Đây là một bài viết giáo dục để cho bạn thấy làm thế nào tin tặc có thể khai thác lỗ hổng để hack trang web của bạn.

I. 6 lỗ hổng phổ biến cho phép tin tặc tấn công các trang web WordPress.

Để hack một trang web, nó phải có một điểm dễ bị tổn thương. Chúng tôi đã liệt kê ra các lỗ hổng phổ biến được tìm thấy trong các trang web WordPress.

1. WordPress lỗi thời.

Khoảng 44% các trang web WordPress bị tấn công đang chạy trên các bản cài đặt lỗi thời theo báo cáo năm 2018. Là chủ sở hữu trang web, bạn sẽ thấy các bản cập nhật thường xuyên có sẵn cho cài đặt WordPress, như vậy:


Thông thường, các bản cập nhật mang các tính năng mới, sửa lỗi hoặc giải quyết các vấn đề không tương thích. Đôi khi, họ cũng mang theo các bản vá bảo mật WordPress. Điều này có nghĩa là nếu tìm thấy lỗ hổng bảo mật trong phần mềm, các nhà phát triển sẽ nhanh chóng sửa nó và phát hành bản cập nhật sẽ loại bỏ lỗ hổng.

Sau khi phát hành, sự hiện diện của lỗ hổng bảo mật WordPress được công chúng biết đến. Các tin tặc sau đó tìm kiếm các trang web chưa được cập nhật, tìm ra lỗ hổng và sử dụng nó để hack vào trang web.

Vì vậy, nếu bạn chọn không cập nhật cài đặt WordPress của mình, thì bạn đã không cài đặt các tính năng bảo mật mới và bạn đã cung cấp cho trang web của mình một lỗ hổng cho các tin tặc.

Chú ý: Hãy luôn cập nhật trang web WordPress của bạn. Bản vá bảo mật được tung ra dưới dạng cập nhật nhỏ. Bạn có thể biết đó là bản cập nhật lớn nếu đó là V5.2 hay V5.3. Một bản cập nhật nhỏ sẽ là V5.2.1. Theo mặc định, các cập nhật nhỏ là tự động, nhưng bạn có thể tắt nó. Chúng tôi khuyên bạn nên bật tùy chọn cập nhật tự động cho các cập nhật nhỏ.

Bên cạnh việc giữ cho các plugin, giao diện và WordPress Cord của bạn được cập nhật, chúng tôi đặc biệt khuyên bạn nên cập nhật WordPress Salts and Security Keys.

2. Sử dụng thông tin quản trị yếu

Một điểm chung khác của các tin tặc là thông tin quản trị yếu yếu. Tin tặc sử dụng một phương pháp gọi là Brute Force trong đó chúng lập trình các bot để chúng quét các trang web WordPress trên internet và thử các kết hợp khác nhau của tên người dùng và mật khẩu để xâm nhập vào trang web.

Nếu bạn đã để lại tên đăng nhập của mình với tên là 'admin', họ đã tiến một bước gần hơn để có quyền truy cập vào trang web của bạn. Tuy nhiên, nếu bạn đã sử dụng các mật khẩu phổ biến như 'password123', thì thật dễ để họ đoán nó. Những bot này có thể tạo ra hàng ngàn, nếu không phải là hàng triệu lần hack chỉ trong một giây.

Chúng tôi khuyên bạn nên thay đổi mật khẩu thành cụm mật khẩu kết hợp với số và ký hiệu để làm cho mật khẩu của bạn mạnh mẽ hơn bao giờ hết.


3. Cài đặt giao diện vi phạm bản quyền

Các giao diện cao cấp rất hấp dẫn và tất cả chúng ta đều muốn có một giao diện tuyệt vời cho trang web của mình để làm cho nó trở nên độc đáo. Nhiều lần chủ sở hữu trang web rơi vào các phiên bản miễn phí, bẻ khóa hoặc vi phạm bản quyền của các giao diện này. Các giao diện như vậy từ các nguồn không đáng tin cậy có thể mang phần mềm độc hại được cài đặt sẵn. Bằng cách cài đặt nó trên trang web WordPress của bạn, bạn cũng cài đặt phần mềm độc hại. Điều này mở ra cánh cửa cho tin tặc. Chúng ta sẽ nói chi tiết làm thế nào điều này xảy ra sau đây.

Luôn chỉ tải xuống các giao diện từ các nguồn có uy tín như kho lưu trữ hoặc thị trường WordPress như ThemeForest và ThemeTrust.

4. Sử dụng các plugin dễ bị tổn thương

Các tin tặc liên tục rình mò để tìm ra những lỗ hổng trong bảo mật của các plugin. Nếu họ tìm thấy, họ sẽ quét internet để tìm các trang web WordPress có cài đặt plugin. Điều này cho phép họ hack vào hàng ngàn trang web trong vài phút.

Nhiều lần, đặc biệt là với các plugin miễn phí, các nhà phát triển có thể thấy rằng họ không thể duy trì nó nữa và từ bỏ plugin. Điều này cũng có thể xảy ra với các giao diện. Trong những trường hợp này, bảo mật của plugin sẽ mất hiệu lực và việc cài đặt nó trên trang web của bạn gây ra mối đe dọa.

Chỉ tải xuống các plugin từ các nguồn đáng tin cậy như kho lưu trữ WordPress hoặc CodeCanyon. Thường xuyên xóa các plugin và gia diện WordPress mà bạn không sử dụng nữa. Kiểm tra trạng thái của các plugin bạn sử dụng để xem chúng có được nhà phát triển cập nhật và duy trì hay không.

5. Sử dụng hệ thống nội bộ không an toàn

Đôi khi, có thể chính máy tính của bạn không an toàn. Nếu ai đó xâm nhập vào hệ thống của bạn, họ có thể dễ dàng truy cập trang web WordPress của bạn vì trong hầu hết các trường hợp, tải khoản wp-admin đã đăng nhập và mở.

Điều này có thể xảy ra nếu bạn không cài đặt tường lửa hoặc công cụ chống phần mềm độc hại trên hệ thống của mình. Bạn không bao giờ nên sử dụng máy tính công cộng hoặc kết nối wifi không bảo mật công khai trên hệ thống nội bộ mà bạn sử dụng để chạy trang web WordPress của mình. Luôn luôn giữ các công cụ phát hiện phần mềm độc hại hoạt động trên trang web của bạn.

6. Sử dụng dịch vụ lưu trữ web kém

Trong khi chọn một gói lưu trữ, chúng ta có xu hướng tìm kiếm một cái rẻ nhất. Nhưng rẻ nhất không phải lúc nào cũng đảm bảo các biện pháp an ninh tốt.
Máy chủ lưu trữ web có thể rẻ hơn nhưng chúng cũng khiến trang web của bạn gặp rủi ro. Bạn không thể biết trang web nào cùng bạn chia sẻ máy chủ web và liệu họ đã triển khai các giao thức bảo mật. Nếu họ bị hack, có khả năng nhiễm phần mềm độc hại cũng có thể lây lan sang trang web của bạn.

Cũng có những lúc máy chủ trang web bị xâm nhập, điều đó có nghĩa là tất cả các trang web trên nền tảng lưu trữ chia sẻ đều bị lộ để tin tặc khai thác.
Trước khi chọn một nhà cung cấp máy chủ lưu trữ web, hãy đọc những gì họ cung cấp và những gì khách hàng nói về họ. Điều này sẽ giúp bạn có được một ý tưởng tốt về việc chọn máy chủ web nào.

Để tìm một trang web dễ bị tấn công, tin tặc tạo ra các bot của riêng chúng hoặc sử dụng các máy quét lỗ hổng miễn phí có sẵn trực tuyến để kết hợp thông qua internet. Khi họ tìm thấy một cái, họ sẽ khai thác lỗ hổng bảo mật mà nó có (như những cái được đề cập ở trên) để có quyền truy cập vào các tập tin hoặc cơ sở dữ liệu của trang web WordPress.

Sau đó, họ tiêm mã sẽ thực thi các hoạt động độc hại như gửi Email Spam, bán sản phẩm bất hợp pháp, v.v. Họ cũng tiêm mã để tạo tài khoản người dùng mới hoặc Backdoor WordPress sẽ giúp họ lấy lại quyền truy cập vào trang web của bạn bất cứ lúc nào họ muốn.

II. Làm thế nào để hack một trang web WordPress?

Có vô số cách để hack vào một trang web WordPress. Tại đây, chúng tôi sẽ thảo luận về hai trong số những cách phổ biến nhất mà tin tặc tiêm mã vào trang web của bạn để tạo thông tin đăng nhập người dùng mới.

1. Thông qua các tập tin (Phần mềm độc hại được cài đặt sẵn trong một giao diện lậu)

Như chúng ta đã thảo luận trước đó, nhiều chủ sở hữu trang web WordPress rơi vào giao diện lậu. Bạn nhận được tất cả các tính năng miễn phí. Nhưng phần mềm như vậy có thể có một tập lệnh để tạo ID đăng nhập mới. Khi bạn cài đặt giao diện, tài khoản người dùng mới sẽ được tạo và tin tặc có thể đăng nhập vào trang web của bạn từ tài khoản quản trị WordPress.

Chúng tôi sẽ chỉ cho bạn cách bạn có thể tạo tài khoản người dùng mới trên trang web WordPress của mình bằng tập tin giao diện. Điều này sẽ giúp bạn hiểu làm thế nào các giao diện lậu giúp tin tặc truy cập vào trang web của bạn.

Lưu ý: Điều này cũng có thể có ích nếu bạn bị khóa khỏi tài khoản quản trị wp-admin của bạn nhưng vẫn có quyền truy cập vào tài khoản lưu trữ web của bạn. Đi đằng sau hậu trường của một trang web WordPress là một vấn đề rủi ro. Tốt nhất là làm điều này trên một trang web thử nghiệm hoặc dàn dựng. Nếu bạn chọn làm điều đó trên trang web trực tiếp của mình, vui lòng đảm bảo bạn có một bản sao lưu đáng tin cậy. Trong trường hợp có sự cố, bạn có thể khôi phục bản sao lưu WordPress của mình.

Bước 1: Đăng nhập vào tài khoản lưu trữ WordPress của bạn. Truy cập cPanel và truy cập File Manager.


Bạn cũng có thể truy cập các tập tin thông qua ứng dụng khách FTP như FileZilla bằng thông tin đăng nhập FTP.

Bước 2: Các tập tin WordPress của bạn thường nằm trong một thư mục có tên là public_html. Trong đó, bạn có thể truy cập wp_content/Themes.


Bước 3:  Tại đây, bạn cần chọn giao diện đang hoạt động trên trang web của mình và chỉnh sửa các functions.php.


Bước 4: Sao chép và dán đoạn mã sau vào cuối tập tin.

$new_user_email = '[email protected]';
$new_user_password = 'password';
if(!username_exists($new_user_email)) {
$user_id = wp_create_user($new_user_email, $new_user_password, $new_user_email);
wp_update_user(array('ID' => $user_id, 'nickname' => $new_user_email));
$user = new WP_User($user_id);
$user->set_role('administrator');
}

Chỉnh sửa hai dòng đầu tiên thành email và mật khẩu bạn chọn. Khi bạn lưu tập tin và mở trang web của mình, mã sẽ chạy và bạn có thể đăng nhập bằng các thông tin đăng nhập mới này. Chúng tôi hy vọng bây giờ bạn hiểu rằng khi bạn cài đặt một giao diện lậu nếu nó có mã này, một tài khoản người dùng mới sẽ được tạo. Tất cả các tin tặc phải làm là nhập thông tin đăng nhập và đăng nhập.

2. Thông qua cơ sở dữ liệu - SQL Injection

Đây là một trong những lý do phổ biến nhất khiến các trang web WordPress bị hack. Để bắt đầu, bạn cần biết hai điều về việc SQL Injection

   
• WordPress sử dụng MySQL làm hệ thống cơ sở dữ liệu mặc định.
• Để tạo giao diện của trang web, WordPress sử dụng các truy vấn SQL để lấy dữ liệu từ cơ sở dữ liệu.

Chúng ta không phải lo lắng về điều này là gì hoặc các chi tiết của nó bây giờ. Điều bạn cần biết là cơ sở dữ liệu này chỉ có thể truy cập thông qua cPanel> phpMyAdmin. Nhưng tin tặc tìm mọi cách để truy cập nó mà không cần sử dụng cPanel. Một trong những cách phổ biến nhất mà tin tặc liên hệ với cơ sở dữ liệu của trang web là thông qua các hình thức dễ bị tấn công trên trang web.

Form là nơi có thể nhập văn bản như thanh đăng nhập WordPress, biểu mẫu liên hệ, bình luận blog WordPress, cửa sổ bật lên đăng ký, trang thanh toán và thanh tìm kiếm trang web.

Thay vì nhập các chi tiết được hỏi trong biểu mẫu, tin tặc sẽ nhập các lệnh SQL độc hại của chúng. Khi tất cả thông tin được nhập vào biểu mẫu được lưu trữ trong cơ sở dữ liệu của bạn, mã độc này sẽ tìm đường vào.

Để giải thích điều này xảy ra như thế nào, chúng tôi sẽ chỉ cho bạn cách tạo tài khoản người dùng mới bằng cơ sở dữ liệu của bạn.

Tạo tài khoản người dùng mới thông qua cơ sở dữ liệu

Bước 1:  Truy cập cPanel và mở phpMyAdmin> Databases.


Bước 2: Tại đây, bạn sẽ thấy một danh sách các cơ sở dữ liệu. Bạn cần chọn cơ sở dữ liệu của bạn. Nếu bạn không biết tên cơ sở dữ liệu của mình, bạn có thể tìm hiểu thông tin này trong wp-config của mình.


Chúng tôi đã chọn cơ sở dữ liệu theo tên trong tập tin wp-config.


Bước 3: Tiếp theo, từ các bảng nằm trên bảng bên phải, bạn cần tìm bảng kết thúc bằng _users. Rất có thể nó sẽ được đặt tên là wp_users.


Bước 4:  Tại đây, bạn có thể nhấp vào 'Insert'.


Bước 5:  Nó sẽ mở ra màn hình sau, nơi bạn có thể nhập tên đăng nhập, mật khẩu, email và tên hiển thị của người dùng.


Bước 6:  Tiếp theo, nhấp vào 'Go' và các thay đổi của bạn sẽ được lưu lại. Bây giờ bạn có thể đăng nhập vào WordPress bằng thông tin đăng nhập mới.

Điều tương tự có thể được thực hiện bằng cách chèn một mã SQL vào cơ sở dữ liệu. Tương tự như giao diện lậu, một khi mã vào cơ sở dữ liệu, nó sẽ chạy và một người dùng mới sẽ được tạo. Chúng ta có thể nghĩ về nó như một hacker chỉ đơn giản là tạo ra cánh cửa của riêng họ trong nhà của bạn và bước vào ngay.

III. Làm thế nào để ngăn chặn tin tặc hack trang web của bạn?

Có bốn bước chính bạn cần thực hiện để làm cho trang web của bạn đủ an toàn để ngăn chặn tin tặc.

1. Cài đặt Plugin bảo mật WordPress

Mỗi trang web WordPress đều cần một plugin bảo mật như MalCare. Bảo vệ trang web WordPress của bạn với một plugin như vậy sẽ quét trang web thường xuyên. Nó sẽ phát hiện ra bất kỳ hoạt động đáng ngờ nào, chặn lưu lượng độc hại và ngăn chặn tin tặc. Trong trường hợp tin tặc xâm nhập, bạn sẽ được cảnh báo ngay lập tức và bạn có thể làm sạch trang web của mình ngay lập tức trước khi chúng có thể gây ra bất kỳ thiệt hại nào.

2. Cài đặt chứng chỉ SSL

Chứng chỉ này sẽ cung cấp cho trang web của bạn mã hóa dữ liệu. Điều này có nghĩa là khi ai đó truy cập trang web của bạn, dữ liệu được truyền giữa máy tính của họ và máy chủ của trang web của bạn.

Nếu nó được chuyển bằng văn bản đơn giản, đôi khi các tin tặc đang ẩn nấp có thể lấy dữ liệu đó. Họ có thể đọc nó, đánh cắp nó hoặc sửa đổi nó theo ý thích của họ.


Nhưng nếu nó được mã hóa, ngay cả khi tin tặc nắm giữ nó, họ sẽ không thể giải mã được.
Bạn có thể nhận chứng chỉ SSL từ máy chủ web hoặc từ nhà cung cấp SSL. Nếu bạn lo lắng về việc chi quá nhiều cho một chứng chỉ, các nhà cung cấp như LetsEncrypt cung cấp SSL miễn phí.

3. Khắc phục các lỗ hổng đã biết

Như chúng tôi đã đề cập trước đó, có những lỗ hổng phổ biến trong WordPress. Chúng tôi khuyên bạn nên thực hiện các biện pháp sau để giảm thiểu lỗ hổng.

   
• Cập nhật WordPress và các giao diện và plugin của nó phải được ưu tiên hàng đầu.
• Đảm bảo bạn luôn sử dụng thông tin đăng nhập mạnh mẽ để tránh các cuộc tấn công Brute Force.
• Thường xuyên xóa các giao diện và plugin không sử dụng.
• Không bao giờ sử dụng các giao diện và plugin lậu. Luôn tải xuống phần mềm như vậy từ các nguồn đáng tin cậy như kho lưu trữ WordPress, CodeCanyon hoặc ThemeForest.
• Sử dụng một nhà cung cấp dịch vụ lưu trữ web đáng tin cậy.
• Giữ máy tính nội bộ của bạn được bảo vệ bằng cách cài đặt phần mềm chống phần mềm độc hại.

4. Làm cứng trang web WordPress của bạn

WordPress khuyên rằng mọi trang web trên nền tảng của họ đều thực hiện một số bước nhất định để làm cứng trang web của họ. Một số biện pháp này bao gồm:

   
• Giữ một tường lửa WordPress hoạt động. Điều này sẽ giúp chặn hạn chế số lần thử đăng nhập. Mỗi người dùng chỉ có ba cơ hội để nhập thông tin đăng nhập một cách chính xác, sau đó họ sẽ phải chọn 'Forgot password' hoặc liên hệ với người quản trị. Bạn có thể sử dụng cùng một plugin MalCare để thực hiện bước này.
• Vô hiệu hóa cài đặt plugin trong trường hợp bạn có nhiều người dùng làm việc trên trang web. Bạn sẽ muốn đảm bảo không ai cài đặt plugin một cách tự do mà không kiểm tra xem chúng có đáng tin cậy và đáng tin tưởng để có trang web của bạn không. Điều này có thể được thực hiện thủ công bằng cách chỉnh sửa một tập tin có tên wp-config.php trong cài đặt WordPress của bạn. Bạn cũng có thể sử dụng plugin MalCare cho việc này.

   
• Thực hiện xác thực 2 yếu tố để xác minh người đăng nhập. Điều này được thực hiện bằng cách gửi mật khẩu một lần đến điện thoại di động hoặc email đã đăng ký hoặc bằng cách sử dụng các ứng dụng như Google Authenticator tạo mật khẩu thời gian thực cứ sau 30 giây.

Có nhiều cách khác để bạn có thể làm cứng trang web của mình. Bạn nên thực hiện các bước này theo yêu cầu của trang web của bạn. Bên cạnh đó, bạn có thể thực hiện một vài biện pháp bảo mật hơn.

Tóm lại

Chúng tôi hy vọng bài viết này đã cho bạn hiểu rõ hơn về cách các lỗ hổng có thể xuất hiện trên trang web của bạn và cách tin tặc xâm nhập. Tin tặc không thiên vị và sẽ nhắm mục tiêu vào bất kỳ trang web nào. Nếu trang web của bạn dễ bị tấn công, rất có khả năng bạn sẽ bị hack.

Vì vậy, để tổng hợp, chúng tôi khuyên bạn nên giảm thiểu các lỗ hổng bảo mật, cài đặt plugin bảo mật và làm cứng trang web của bạn để tin tặc không có cơ hội xâm nhập vào trang web của bạn.