رفتن به مطلب

آموزش قدم به قدم امنیت وردپرس


عبدالماجد

پست های پیشنهاد شده

بهترین راه برای محافظت اینه که خودتون هکر بشید ! اگر راه های هک کردن سایت را بدایند و با آن آشنا باشید خب قائدتا میتونید جلوی نفوذ را بگیرید.

اگر تمام موارد امنیت وردپرس را رعایت کرده باشید و هاستینگ مناسبی را انتخاب نکرده باشید انگار هیچ کاری برای امنیت انجام ندادید !

یکی از روش های هکر ها برای خارج کردن از دور سایتی حملات ddos هست. موقعی این اتفاق می افتد که استفاده از منابع سرور و یا به نحوی پهنای باند و سخت افزار سرور در چند لحظه به اوج میرسد که در نتیجه هاست شما ساسپند و از دور خارج میشود. فرض کنید در یک لحظه 100 مشتری به یک مغازه حجوم آورند و مغازه دار دیگر قارد به پاسخگویی نیست ! این عیننا مثل حملات ddos به سایت است. برای جلوگیری از این حملات باید هاستینگ مناسبی را انتخاب کرده باید تا در موقع حملات ddos فایروال سرور اون آیپی که قصد استفاده زیاد از منابع را داره بلاک کنه.

اگر دوستان مایل بودند آموزش حمله از طریق ddos را هم بزارم ؟

شایع ترین روش برای نابود کردن سایت از طریق تزریق و نفوذ به پایگاه داده است که شما باید نام کاربر و نام دیتا بی مناسب و غیر قابل حدس را انتخاب کرده باشید و سطح دسترسی wp-config.php را تنظیم و برای خارج کردن از دسترسی اون را به مسیر روت هاست منتقل کنید و سعی کنید از افزونه های کمتری استفاده بشه چون معمولا از طریق باگ های موجود در قالب ها و یا افزونه ها تزریق انجام میشه

لینک به ارسال

پنهان کردن نام نمایشی مدیر:

در برخی از قالب ها ممکن است در پست منتشر شده, نام کاربری مدیر سایت نمایش داده شود! برای برطرف کردن این مشکل وارد پنل کاربری سایت شوید و به قسمت “ویرایش شناسه کاربری من” (بالای نوار وردپرس – سمت چپ) مراجعه کنید, سپس در قسمت “نمایش عمومی نام” میتوانید نام کاربری خود را تغییر دهید.

در صورتی که نام کاربری (User Name) شما ضیعف و قابل حدث است, از طریق آموزش زیر به تغییر آن اقدام کنید و از نام کاربری قوی استفاده کنید.

نام کاربری خود را از URL بایگانی نویسنده پنهان کنید:

راه دیگری که مهاجم به طور بالقوه می تواند نام کاربری شما را به دست آورد، از طریق صفحات آرشیو نویسنده در سایت شما است.

وردپرس به طور پیش فرض نام کاربری شما را در URL صفحه آرشیو نویسنده نمایش می دهد. به عنوان مثال، اگر نام کاربری شما “balyan” است، صفحه آرشیو نویسنده شما چیزی شبیه به “www.yoursite.com/author/balyan” خواهد بود.

به همان دلایلی که در بالا برای نام کاربری “admin” توضیح داده شد، این امر خیلی هم ایده آل نیست. بنابراین ایده ی خوبی است که با استفاده از تغییر ورودی user_nicename خود در پایگاه داده ها (phpMyAdmin)، که در اینجا شرح داده شده است، کلمه ی کاربری خود را مخفی کنید.

لینک به ارسال
  • 3 هفته بعد...

حالا اومدیم همه این کار هایی که دوستان گفتند رو انجام دادیم و مثلا قالبمون یه باگ داشت و هک شدیم ! حالا چکار کنیم ؟؟!؟

اقدامات بعد از هک شدن ، جهت دیفیس نشدن دوباره :

1- اول نام کاربری و پسورد پنل مدیریت وردپرستون را عوض کنید

2- ممکنه هکر با اولین هک در سایتتون شل آپلود کنه ، شما باید از هاستیگتون درخواست کنید هاستتون را اسکن کنند تا فایل آلوده را پیدا کنند.

3- نام دیتابیس ، نام کاربری دیتابیس و پسود دیتابیس را عوض کنید

4- وردپرس را یکبار آپرگیت کنید

5- تمام افزونه های فعلی را پاک و از نو دریافت و نصب کنید

6- به کد های قالبتون مخصوصا فایل functions.php دقت کنید که باگ نداشته باشد

7- به کد های فایل htaccess دقت کنید که مشکلی نداشته باشد

8- اقدامات امنیتی وردپرس را طبق توصیه دوستان رعایت کرده و از افراد با تجربه کمک بگیرید

لینک به ارسال
  • 1 ماه بعد...

دوستان عزیز به 3 لینک زیر توجه کنید:

http://api.wordpress...secret-key/1.0/

http://api.wordpress...secret-key/1.1/

http://api.wordpress...t-key/1.1/salt/

توی این لینک ها کد هایی به شما میده که در wp-config میزارید تا امنیت سایت شما رو بالا ببره...

لینک سوم جدیدترین لینک هست که توسط وردپرس منتشر شده. اما خیلی دوستان هنوز از لینک دوم استفاده میکنن!!!

لطفا دیگه از لینک دومی استفاده نکنید. چون لینک سوم خیلی بهتر و کاملتره

ویرایش شده توسط سیدرضا بازیار
لینک به ارسال
  • 7 ماه بعد...

در زمانی که سرور شما مورد حمله قرار میگیرد نیاز به دایرکتوری سایت شما خواهند داشت

یکی از راه های دیدن دایرکتوری سایت شما دیدن خطاهای درون لاگ میباشد

با قرار دادن کد زیر میتوانید جلوی لاگ ها بگیرید :


define('WP_DEBUG', false);
if (WP_DEBUG) {
define('WP_DEBUG_DISPLAY', false);
@ini_set('log_errors', 'off');
@ini_set('display_errors', 'off');
@ini_set('error_log', 'wp_error.log');
}

لینک به ارسال
  • 4 ماه بعد...

تجربه ورود امن و دومرحله‌ای و البته بسیار جالب به بخش مدیریت وردپرس!

داشتم تو نت در مورد امنیت وردپرس سرچ میکردم که به این مطلب بر خوردم گفتم در اختیار دوستان وردپرس بزارم شاید مفید باشه منبع این مطلب سایت شاهوار دات نت است.

تا به حال چند بار شده که کلمه عبور وبلاگ تان را فراموش کرده باشید ؟

آیا از اینکه دیگران با کشف کلمه عبور شما به بخش مدیریت وبلاگ‌تان دسترسی پیدا کرده و همه اطلاعات شما را حذف کنند نگران هستید ؟

آیا از اینکه در مکان‌های عمومی مثل کافی نت‌ها و یا رایانه‌های دوستان ، وارد بخش مدیریت وبلاگ‌تان شوید هراس دارید که نکند کلمه عبور شما توسط نرم افزارهای Keyloger ثبت شود ؟

آیا دوست دارید بدون اینکه نیاز به حفظ کردن کلمه عبور های طولانی داشته باشید ، ورود به بخش مدیریت وبلاگ وردپرسی خود را بسیار امن سازید؟ آن هم بدون وارد کردن نام کاربری و کلمه عبور؟

آیا دوست دارید وبلاگ‌تان را مجهز به ورود دومرحله‌ای بسیار پیشرفته و امن کنید ؟

بی اغراق بایدگفت که دیگر زمان استفاده از گذرواژه‌ها و کلمات عبور در حال سپری شدن است.

از طرفی به خاطر سپردن یک کلمه‌عبور یکسان برای ورود به تمامی وبسایت‌ها و حساب‌های کاربری به هیچ وجه امن و مورد قبول نیست و از طرف دیگر حفظ کردن تعداد زیادی کلمه عبور برای سایت‌های مختلف نیز کار دشواری است که گاها ممکن است کلمه عبور یک یا چند سرویس مختلف خود را فراموش کنید .

به همین دلیل بسیاری از شرکت‌ها امروزه به دنبال جایگزینی برای کلمه‌های عبور فعلی برای حفظ حریم شخصی افراد هستند که هم ورود برای کاربر راحت‌تر باشد و هم ورود برای سایرین دشوارتر و غیرممکن‌تر.

تصور کنید تنها با نزدیک کردن تلفن همراه هوشمند خود به مانیتور کامیپوترتان ، بتوانید وارد بخش مدیریت وبلاگ‌تان شوید. آن هم بدون نیاز به وارد کردن نام کاربری و کلمه عبور ! واقعا هیجان انگیز است .

ا استفاده از این تکنولوژی می توانید ورود به بخش مدیریت وب سایت‌تان را بسیار امن کنید و دیگر نگران تایپ کلمه عبور خودتان و لو رفتن آن نباشید. حتی دیگر نیازی به ، خاطر سپردن کلمه عبور و نام کاربری خود ندارید و از طرفی ورود به بخش مدیریت وبلاگ‌تان را بسیار ایمن‌ و غیرقابل نفوذ کنید.

شرکت Clefابداع کننده روشی است که از یک موج نمایش داده شده بر روی تلفن همراه‌تان ، برای تشخیص هویت کاربر استفاده می‌کند.

از آنجایی که در این روش خبری از کاراکترهای عددی و حروف وجود ندارد ، استقبال فراوانی به جهت امنیت بالای این روش از این تکنولوژی شده است و این دلیلی است که شرکت Clef را در ادامه‌ی روش خود مصمم تر می‌کند. حتما برایتان جالب خواهد بود که بدانید از این فناوری هم اکنون بیش از ۸۱۰۰۰ وبسایت و شرکت بزرگ و بیش از ۴۰۰۰۰۰ وبلاگ وردپرسی استفاده می‌کنند.

اما خبر خوب اینکه شما هم می‌توانید به راحتی این تکنولوژی جالب را به وبلاگ وردپرسی خودتان اضافه کنید !

برای شروع لازم است تا پلاگین Clef را در وردپرس خود نصب کنید . کافی است به بخش افزونه‌ها در وردپرس مراجعه و با جستجوی نام Clef ، افزونه Clef Two-Factor Authentication را مستقیما از مخزن افزونه های وردپرس نصب کنید .

clef-wordpress-plugin.gif

سپس می‌بایست اپلیکیشن Clef را برای تلفن همراه خود دریافت کنید .

Clef برای اندروید و iOS اپلیکیشن اختصاصی دارد که با توجه به سیستم عامل خود می‌توانید نسبت به دانلود اپلیکیشن مورد نظر اقدام کنید

دریافت اپلیکیشن Clef برای اندروید از گوگل پلی

دریافت اپلیکیشن Clef برای iOS

پس از ثبت نام بسیار ساده در اپلیکیشن نوبت به پیکربندی افزونه در وردپرس می‌رسد .

برای اولین بار که به صفحه افزونه در بخش مدیریت وارد شوید ، توضیحاتی در رابطه با افزونه را مشاهده خواهید کرد. اما برای ورود به صفحه پیکربندی افزونه و ارتباط بین افزونه و تلفن هوشمند یا تبلت خودتان لازم است تا بر روی دکمه آبی رنگ Get Started کلیک کنید .

clef-wordpress-plugin-config.gif

از آنجایی که قبلا اقدام به دریافت نرم افزار در گوشی خود کرده ایم می‌بایست بر روی دکمه I already have the app کلیک کنید :

clef-wordpress-plugin-config-52.gif

سپس یک کد موجی شکل آبی رنگ به شما نمایش داده خواهد شد و از شما درخواست میگردد تا اپلیکیشن Clef موجود در تلفن همراه و یا تبلت خود را اجرا نموده و آن را در نزدیکی کدموجی شکل قرار دهید تا کد اسکن شود.

کار تمام است ! حالا می‌توانید اقدام به تست این تکنولوژی در وبلاگ خودتان کنید.

شایان ذکر است : در صفحه پیکربندی افزونه ، تنظیمات مختلفی وجود دارد که می‌توانید بنا به دلخواه خود آنها را فعال یا غیرفعال کنید .

که از جمله آن میتوان به موارد زیر اشاره کرد:

  • فعال یا غیر فعال سازی قابلیت ورود با تکنولوژی Clef + ورود به صورت معمول (ورود دومرحله‌ای به وبلاگ)
  • فعال یا غیر فعال سازی ورود به داشبورد وبلاگ تنها از طریق تکنولوژی Clef
  • امکان تعریف دسترسی های مختلف برای کاربران مختلف وبلاگ
  • فعال یا غیر فعال سازی قابلیت ثبت نام کاربران جدید در وبلاگ با استفاده از تکنولوژی Clef

همچنین در بخشی که با عنوان Override URL مشخص شده است میتوانید یک لینک دلخواه و مخفی تهیه کنید که اگر بنابه دلایلی به گوشی خود دسترسی نداشتید و یا مثلا گوشی شما به سرقت رفته بود و قابلیت ورود با کلمه عبور را نیز غیر فعال کرده بودید ، با وارد کردن این لینک مخفی قابلیت ورود با تکنولوژی Clef غیرفعال شده و دوباره می توانید به وسیله نام کاربری و کلمه عبور وارد مدیریت وبلاگ شوید.

clef-wordpress-plugin-config-1.gif

البته اپلیکیشن Clef نصب شده در تلفن همراه خود مجهز به یک کلمه عبور ۴ رقمی برای ورود است و علاوه بر این در صورت سرقت گوشی می‌توانید با مراجعه به آدرس https://getclef.com/lost نسبت به غیرفعال سازی Clef اقدام کنید. بنابراین خیالتان بابت دسترسی غیرمجاز به مدیریت وبلاگ تان کاملا تخت باشد چرا که Clef فکر همه جا را کرده است!

clef19.jpg

رای ورود به بخش مدیریت وبلاگ ، اپلیکیشن Clef را در تلفن همراه تان اجرا کرده و همانند ویدئویی که در ابتدای مطلب نمایش داده شد، تلفن تان را در صفحه ورود وردپرس روبه‌روی موج‌های آبی رنگ حال حرکت روی صفحه نمایش قرار دهید تا Clef کد موجی شکل را اسکن کرده و سپس به صورت اتوماتیک شما را وارد بخش مدیریت وبلاگ‌تان کند.

حتی می‌توانید از طریق اپلیکیشن از بخش مدیریت وبلاگ نیز Log Out کنید که برای این کار نیازی به نزدیک کردن گوشی به مانیتور و اسکن کد موجی شکل نیست.

این قابلیت خصوصا وقتی فراموش کرده‌ای تا از بخش مدیریت وبلاگ در یکی از رایانه‌های کافی نت و یا لپ تاپ دوست‌تان خارج شوید کاربرد فراوانی خواهد داشت و از راه دور و کیلومترهای آن‌طرف‌تر می‌توانید این کار را انجام دهید !

clef-login-time-e1393879054689.png

ضمن اینکه اپلیکیشن بعد از زمان مشخصی به صورت اتوماتیک شما را از بخش مدیریت Log Out میکند که این زمان همواره بر روی تلفن همراه شما نمایش داده میشود و همچنین میتوان زمان آن را تغییر دهید . ضمن اینکه ۵ دقیقه مانده به اتمام زمان Clef شما را به صورت صوتی از این کار باخبر می سازد

منبع : شاهوار دات نت

تجربه ورود امن و دومرحله‌ای و البته بسیار جالب به بخش مدیریت وردپرس!

داشتم تو نت در مورد امنیت وردپرس سرچ میکردم که به این مطلب بر خوردم گفتم در اختیار دوستان وردپرس بزارم شاید مفید باشه منبع این مطلب سایت شاهوار دات نت است.

تا به حال چند بار شده که کلمه عبور وبلاگ تان را فراموش کرده باشید ؟

آیا از اینکه دیگران با کشف کلمه عبور شما به بخش مدیریت وبلاگ‌تان دسترسی پیدا کرده و همه اطلاعات شما را حذف کنند نگران هستید ؟

آیا از اینکه در مکان‌های عمومی مثل کافی نت‌ها و یا رایانه‌های دوستان ، وارد بخش مدیریت وبلاگ‌تان شوید هراس دارید که نکند کلمه عبور شما توسط نرم افزارهای Keyloger ثبت شود ؟

آیا دوست دارید بدون اینکه نیاز به حفظ کردن کلمه عبور های طولانی داشته باشید ، ورود به بخش مدیریت وبلاگ وردپرسی خود را بسیار امن سازید؟ آن هم بدون وارد کردن نام کاربری و کلمه عبور؟

آیا دوست دارید وبلاگ‌تان را مجهز به ورود دومرحله‌ای بسیار پیشرفته و امن کنید ؟

بی اغراق بایدگفت که دیگر زمان استفاده از گذرواژه‌ها و کلمات عبور در حال سپری شدن است.

از طرفی به خاطر سپردن یک کلمه‌عبور یکسان برای ورود به تمامی وبسایت‌ها و حساب‌های کاربری به هیچ وجه امن و مورد قبول نیست و از طرف دیگر حفظ کردن تعداد زیادی کلمه عبور برای سایت‌های مختلف نیز کار دشواری است که گاها ممکن است کلمه عبور یک یا چند سرویس مختلف خود را فراموش کنید .

به همین دلیل بسیاری از شرکت‌ها امروزه به دنبال جایگزینی برای کلمه‌های عبور فعلی برای حفظ حریم شخصی افراد هستند که هم ورود برای کاربر راحت‌تر باشد و هم ورود برای سایرین دشوارتر و غیرممکن‌تر.

تصور کنید تنها با نزدیک کردن تلفن همراه هوشمند خود به مانیتور کامیپوترتان ، بتوانید وارد بخش مدیریت وبلاگ‌تان شوید. آن هم بدون نیاز به وارد کردن نام کاربری و کلمه عبور ! واقعا هیجان انگیز است .

ا استفاده از این تکنولوژی می توانید ورود به بخش مدیریت وب سایت‌تان را بسیار امن کنید و دیگر نگران تایپ کلمه عبور خودتان و لو رفتن آن نباشید. حتی دیگر نیازی به ، خاطر سپردن کلمه عبور و نام کاربری خود ندارید و از طرفی ورود به بخش مدیریت وبلاگ‌تان را بسیار ایمن‌ و غیرقابل نفوذ کنید.

شرکت Clef ابداع کننده روشی است که از یک موج نمایش داده شده بر روی تلفن همراه‌تان ، برای تشخیص هویت کاربر استفاده می‌کند.

از آنجایی که در این روش خبری از کاراکترهای عددی و حروف وجود ندارد ، استقبال فراوانی به جهت امنیت بالای این روش از این تکنولوژی شده است و این دلیلی است که شرکت Clef را در ادامه‌ی روش خود مصمم تر می‌کند. حتما برایتان جالب خواهد بود که بدانید از این فناوری هم اکنون بیش از ۸۱۰۰۰ وبسایت و شرکت بزرگ و بیش از ۴۰۰۰۰۰ وبلاگ وردپرسی استفاده می‌کنند.

اما خبر خوب اینکه شما هم می‌توانید به راحتی این تکنولوژی جالب را به وبلاگ وردپرسی خودتان اضافه کنید !

برای شروع لازم است تا پلاگین Clef را در وردپرس خود نصب کنید . کافی است به بخش افزونه‌ها در وردپرس مراجعه و با جستجوی نام Clef ، افزونه Clef Two-Factor Authentication را مستقیما از مخزن افزونه های وردپرس نصب کنید .

clef-wordpress-plugin.gif

سپس می‌بایست اپلیکیشن Clef را برای تلفن همراه خود دریافت کنید .

Clef برای اندروید و iOS اپلیکیشن اختصاصی دارد که با توجه به سیستم عامل خود می‌توانید نسبت به دانلود اپلیکیشن مورد نظر اقدام کنید

دریافت اپلیکیشن Clef برای اندروید از گوگل پلی

دریافت اپلیکیشن Clef برای iOS

پس از ثبت نام بسیار ساده در اپلیکیشن نوبت به پیکربندی افزونه در وردپرس می‌رسد .

برای اولین بار که به صفحه افزونه در بخش مدیریت وارد شوید ، توضیحاتی در رابطه با افزونه را مشاهده خواهید کرد. اما برای ورود به صفحه پیکربندی افزونه و ارتباط بین افزونه و تلفن هوشمند یا تبلت خودتان لازم است تا بر روی دکمه آبی رنگ Get Started کلیک کنید .

clef-wordpress-plugin-config.gif

از آنجایی که قبلا اقدام به دریافت نرم افزار در گوشی خود کرده ایم می‌بایست بر روی دکمه I already have the app کلیک کنید :

clef-wordpress-plugin-config-52.gif

سپس یک کد موجی شکل آبی رنگ به شما نمایش داده خواهد شد و از شما درخواست میگردد تا اپلیکیشن Clef موجود در تلفن همراه و یا تبلت خود را اجرا نموده و آن را در نزدیکی کدموجی شکل قرار دهید تا کد اسکن شود.

کار تمام است ! حالا می‌توانید اقدام به تست این تکنولوژی در وبلاگ خودتان کنید.

شایان ذکر است : در صفحه پیکربندی افزونه ، تنظیمات مختلفی وجود دارد که می‌توانید بنا به دلخواه خود آنها را فعال یا غیرفعال کنید .

که از جمله آن میتوان به موارد زیر اشاره کرد:

  • فعال یا غیر فعال سازی قابلیت ورود با تکنولوژی Clef + ورود به صورت معمول (ورود دومرحله‌ای به وبلاگ)
  • فعال یا غیر فعال سازی ورود به داشبورد وبلاگ تنها از طریق تکنولوژی Clef
  • امکان تعریف دسترسی های مختلف برای کاربران مختلف وبلاگ
  • فعال یا غیر فعال سازی قابلیت ثبت نام کاربران جدید در وبلاگ با استفاده از تکنولوژی Clef

همچنین در بخشی که با عنوان Override URL مشخص شده است میتوانید یک لینک دلخواه و مخفی تهیه کنید که اگر بنابه دلایلی به گوشی خود دسترسی نداشتید و یا مثلا گوشی شما به سرقت رفته بود و قابلیت ورود با کلمه عبور را نیز غیر فعال کرده بودید ، با وارد کردن این لینک مخفی قابلیت ورود با تکنولوژی Clef غیرفعال شده و دوباره می توانید به وسیله نام کاربری و کلمه عبور وارد مدیریت وبلاگ شوید.

clef-wordpress-plugin-config-1.gif

البته اپلیکیشن Clef نصب شده در تلفن همراه خود مجهز به یک کلمه عبور ۴ رقمی برای ورود است و علاوه بر این در صورت سرقت گوشی می‌توانید با مراجعه به آدرس https://getclef.com/lost نسبت به غیرفعال سازی Clef اقدام کنید. بنابراین خیالتان بابت دسترسی غیرمجاز به مدیریت وبلاگ تان کاملا تخت باشد چرا که Clef فکر همه جا را کرده است!

clef19.jpg

رای ورود به بخش مدیریت وبلاگ ، اپلیکیشن Clef را در تلفن همراه تان اجرا کرده و همانند ویدئویی که در ابتدای مطلب نمایش داده شد، تلفن تان را در صفحه ورود وردپرس روبه‌روی موج‌های آبی رنگ حال حرکت روی صفحه نمایش قرار دهید تا Clef کد موجی شکل را اسکن کرده و سپس به صورت اتوماتیک شما را وارد بخش مدیریت وبلاگ‌تان کند.

حتی می‌توانید از طریق اپلیکیشن از بخش مدیریت وبلاگ نیز Log Out کنید که برای این کار نیازی به نزدیک کردن گوشی به مانیتور و اسکن کد موجی شکل نیست.

این قابلیت خصوصا وقتی فراموش کرده‌ای تا از بخش مدیریت وبلاگ در یکی از رایانه‌های کافی نت و یا لپ تاپ دوست‌تان خارج شوید کاربرد فراوانی خواهد داشت و از راه دور و کیلومترهای آن‌طرف‌تر می‌توانید این کار را انجام دهید !

clef-login-time-e1393879054689.pngضمن اینکه اپلیکیشن بعد از زمان مشخصی به صورت اتوماتیک شما را از بخش مدیریت Log Out میکند که این زمان همواره بر روی تلفن همراه شما نمایش داده میشود و همچنین میتوان زمان آن را تغییر دهید . ضمن اینکه ۵ دقیقه مانده به اتمام زمان Clef شما را به صور

ویرایش شده توسط graphicno
لینک به ارسال
  • 1 ماه بعد...

پست ها منتقل شدند

تاپیک فقط آموزشی هست و سوالات در تاپیک زیر پرسیده شود :

لینک به ارسال
  • 4 ماه بعد...

با سلام

با توجه به درج مطالب دوستان در مورد سطوح دسترسی یکسری تغییرات رخ داده که خود وردپرس، طبق آخرین بروزرسانی مستندات، سطوح دسترسی فایل ها باید به ترتیب زیر باشد :

به هیچ وجه نباید هیچ پوشه و فایلی ۷۷۷ باشه. حتی پوشه upload ! بله درسته. اگر سرور شما به درستی تنظیم شده باشه با سطح دسترسی ۷۷۵ مشکل شما حل می شه. این هم به خاطر خاصیت Group Ownership در *nix هست.

پوشه ها : ۷۷۵ یا ۷۵۰ (بسته به نوع سرور شما)

فایل ها : همه فایل ها به غیر از wp-config باید ۶۴۴ یا ۶۴۰ باشند.

فایل wp-config : این فایل باید روی ۴۴۰ یا ۴۰۰ باشد.

برای پیاده سازی موارد بالا اگر سرور شما به این سبک نیست استفاده از موارد زیر توصیه می گردد :

  • mod_ruid2, یک ماژول suexec می باشد که برای Apache نوشته شده است که ساده ولی بسیار کاربردی می باشد.
  • mpm-itk, یک ماژول Multi-Processing می باشد که برای Apache نوشته شده است که علاوه بر امکانات موجود قابلیت سطوح دسترسی استاندارد را به ما میدهد.
  • mod_fcgid, یک ماژول Apache و FastCGI می باشد که تنظیمات گسترده ای در اختیار ما می گذارد.
  • PHP-FPM, یک ماژول جایگزین برای FastCGI می باشد که عملکرد بهتری دارد و برای Apache و NginX استفاده می گردد. (طبق تجربه شخصی از Performance بسیار بالایی برخوردار است).

منبع : مستندات وردپرس در مورد سطح دسترسی ها

 

لینک به ارسال
  • 5 ماه بعد...

سلام

سوالی داشتم ؟؟؟

چه طوری میشه کاری کرد که فایل index.php  هک دیفیس نشه ؟

سایت بنده چند بار تا حالا اینجوری هک شده

آیا راهی هست که دسترسی به این فایل محدود بشه یا مخفی یا ... هر چیزی که جلوگیری از این هک بکنه ؟

بنده همه امنیت ها را نیز رعایت کردم بازم این اتفاق می افته

ممنون میشم

راهنمایی نمایید .

با تشکر

لینک به ارسال
  • 3 ماه بعد...

درود

دوستان برای امنیت سایت های وردپرسی چه کار هایی ضروری هستش و باید انجام بدیم

ممنون میشم راهنماییم کنید

 

 

ببخشید اگر میشه انتقال بدید به تاپیک زیر

 

 

ویرایش شده توسط M a H D i
لینک به ارسال
  • 1 سال بعد...
  • 8 ماه بعد...
در در 4/24/2012 at 12:25، Morteza گفته است :

با تشکر از عبدالماجد عزیز

برای شروع چند مبحث کاربردی رو اینجا مطرح میکنم:

1- همیشه بروز باشید!

یکی از اصلی ترین نکات، بروزرسانی هسته وردپرس است. همیشه وردپرس خود را بروز نگهدارید.

2- نام کاربری مدیر را "admin" انتخاب نکنید!

سعی کنید نام کاربری مدیر را چیزی انتخاب کنید که براحتی قابل حدس زدن نباشد. مواردی مثل admin - modir - administrator و... را انتخاب نکنید.

3- رمز عبور مناسب انتخاب کنید

سعی کنید در رمز عبور خود از حروف نامتعارف و کاراکترهای جانبی استفاده کنید. حدالامکان از password generator های قدرتمند برای اینکار استفاده ببرید.

4- سطح دسترسی پوشه های زیر را روی 755 (user account) قرار دهید :

 

 

/wp-admin/
/wp-includes/
/wp-content/
/wp-content/themes/
/wp-content/plugins/

 

و سطح دسترسی فایلهای داخل آنها بر روی 644 قرار گیرد.

5- امنیت پوشه wp-includes را بکمک قرار دادن کدهای زیر (در .htaccess) بالاتر ببرید:

 

 

# Block the include-only files.
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]

 

6- امنیت فایل wp-config.php را بکمک قرار دادن کدهای زیر (در .htaccess) بالاتر ببرید:

 

 

<files wp-config.php>
order allow,deny
deny from all
</files>

 

7- در پایگاه داده، پیشوند (_prefix) پیشفرض (wp_) را تغییر دهید.

8- بصورت مرتب از پایگاه داده خود پشتیبان بگیرید.

منبع اصلی

با سلام و خسته نباشید , با انجام این پروسه مشکلی توی پیشخان پیش نمیاد ؟ مثلا میشه از پیشخوان قالب و ... نصب کرد ؟

لینک به ارسال
  • 3 هفته بعد...

در تاپیک های قبلی دوستان به تغییر آدرس صفحه ورود اشاره کردن 

در بخشی زیر ویدیوی کوتاه و سریعی در این باره رو می تونید مشاهده کنید 

https://www.aparat.com/v/O3jBX

ویرایش شده توسط resanehwp
لینک به ارسال
  • 5 ماه بعد...
در در 4/24/2012 at 12:25، Morteza گفته است :

با تشکر از عبدالماجد عزیز

برای شروع چند مبحث کاربردی رو اینجا مطرح میکنم:

1- همیشه بروز باشید!

یکی از اصلی ترین نکات، بروزرسانی هسته وردپرس است. همیشه وردپرس خود را بروز نگهدارید.

2- نام کاربری مدیر را "admin" انتخاب نکنید!

سعی کنید نام کاربری مدیر را چیزی انتخاب کنید که براحتی قابل حدس زدن نباشد. مواردی مثل admin - modir - administrator و... را انتخاب نکنید.

3- رمز عبور مناسب انتخاب کنید

سعی کنید در رمز عبور خود از حروف نامتعارف و کاراکترهای جانبی استفاده کنید. حدالامکان از password generator های قدرتمند برای اینکار استفاده ببرید.

4- سطح دسترسی پوشه های زیر را روی 755 (user account) قرار دهید :

 

 

/wp-admin/
/wp-includes/
/wp-content/
/wp-content/themes/
/wp-content/plugins/

 

و سطح دسترسی فایلهای داخل آنها بر روی 644 قرار گیرد.

5- امنیت پوشه wp-includes را بکمک قرار دادن کدهای زیر (در .htaccess) بالاتر ببرید:

 

 

# Block the include-only files.
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]

 

6- امنیت فایل wp-config.php را بکمک قرار دادن کدهای زیر (در .htaccess) بالاتر ببرید:

 

 

<files wp-config.php>
order allow,deny
deny from all
</files>

 

7- در پایگاه داده، پیشوند (_prefix) پیشفرض (wp_) را تغییر دهید.

8- بصورت مرتب از پایگاه داده خود پشتیبان بگیرید.

منبع اصلی

سلام ببخشید این کدها رو که قرار دادید میشه یه توضیح بدید که چه کاری ازش میاد ؟ حداقل مشخص بشه برای کجا امنیت رو برقرار میکنه جلوی چه چیزی رو میگیره این کدها ممنون میشم کامل توضیح بدید

لینک به ارسال
  • 11 ماه بعد...
در 13 ساعت قبل، nerkhedollar گفته است :

درود بر شما من سایتم را با دامنه فارسی به این صورت راه اندازی کردم https://xn----zmchvl1hrae82j.com آیا از لحاظ امنیتی با وردپرس مشکلی داره ؟ 

خیر امنیت ربطی به دامنه نداره و این مدل دامنه که شما انتخاب کردید حالت یونیکد میباشد و خودکار تبدیل میشه و حالت استاندارد بین المللی هست و از لحاظ سئو فقط امتیاز داره و از لحاظ برندینگ یکم به مشکل برمیخورید چون تایپ کردن دامنه برای کاربران مشکله

 

لینک به ارسال

به گفتگو بپیوندید

هم اکنون می توانید مطلب خود را ارسال نمایید و بعداً ثبت نام کنید. اگر حساب کاربری دارید، برای ارسال با حساب کاربری خود اکنون وارد شوید .

مهمان
ارسال پاسخ به این موضوع ...

×   شما در حال چسباندن محتوایی با قالب بندی هستید.   حذف قالب بندی

  تنها استفاده از 75 اموجی مجاز می باشد.

×   لینک شما به صورت اتوماتیک جای گذاری شد.   نمایش به صورت لینک

×   محتوای قبلی شما بازگردانی شد.   پاک کردن محتوای ویرایشگر

×   شما مستقیما نمی توانید تصویر خود را قرار دهید. یا آن را اینجا بارگذاری کنید یا از یک URL قرار دهید.

×
×
  • اضافه کردن...