برای امنیت سایت چه کنیم؟

امنیت در ورپرس
یکی نکاتی که اکثر مدیران سایت‌های وردپرسی توجهی بهش ندارند گزینه امنیت است, در واقع خیلی ساده از این مورد عبور می‌کنند طراحی سایت در مشهد  و در لیست کارهایی که می بایست انجام بگیره نیست. احتمالا شماهم بارها شنیده و خوانده که وردپرس بصورت پیش‌فرض یک سیستم امن و قابل اعتماد هست, این آیتم کاملا درسته اما تا زمانی که شما از افزونه‌ها و پوسته‌های متفاوتی به کار گیری نکرده باشید. برای ادامه به این ضرب المثل دقت فرمایید:
هرکه بامش بیش, برفش بیش‌تر
خب نتیجه می‌گیریم هرچی وبسایت شما پهناور‌تر باشه (از افزونه‌های بیشتر و قالب پیشرفته‌تری به کار گیری کند) آسیب‌پذیرتر میباشد. این زخم‌پذیری به این مضمون‌ نیست که شما از امکانات کامل وردپرس به کار گیری نکنید بلکه بایستی در هنگام توسعه تارنما به نکات امنیتی وب سایت خود توجه نمایید. یکی‌از شایع‌ترین زخم‌پذیری‌های وردپرس درب‌پشتی یا همون BackDoor هست که سایت شما به یک سری دلیل میتونه دچار این آسیب‌پذیری بشه.
درب‌پشتی یا Backdoor چه چیزی است؟

درب‌پشتی یک آسیب‌پذیری برای وب‌وب سایت می باشد که قادر است کنترل و مدیر بعضا پوشه‌ها در هاست (سرور) را از خط مش به دور به‌دست بگیرد و تمامی این روند بصورت ناشناس انجام می‌گیرد. درب‌پشتی یا Backdoor می‌تواند بصورت یک اسکریپت (نرم‌افزار‌های کوچک) در افزونه و یا قالب وردپرس قرار بگیرد و حتی بعداز پاک کردن افزونه و یا قالب مورد نظر همچنان به هاست شما دسترسی داشته باشد. اگر وب سایت شما مبتلا این آسیب‌پذیری شده می بایست فایل‌های حامل این آسیب‌پذیری را از در بین ببرید تا بصورت امن به عمل وب سایت خود ادامه دهید. آسیب‌پذیری درب‌پشتی یا Backdoor قادر است دسترسی‌های تحت را به مهاجم ارائه کند:
ساخت و ساز حساب مدیریت کل در ورپرس بصورت پنهان.
اجرای کدهای php توسط مهاجم یا هکر.
ارسال ایمیل از طریق هاست و یا سرور شما.
ارسال و دریافت اطلاعات از طریق پایگاه‌داده یا همان Database سایت شما.
و هر کاری که میشه با داشتن یک هاست انجام داد.
فکرمی‌کنم تا اینجا تونستم بگم این درب‌پشتی چیه و از پس چه کارهایی بر میاد! اما ناگفته نمونه که مبتلاشدن هر سایتی به درب پشتی (BackDoor) میتونه صدمات شدیدی بر روی جایگاه‌های سئویی یک وب سایت و جریمه‌های سنگینی از سمت گوگل رو درپی داشته باشه. این یعنی اگه شما به این مورد دقت نکنید خیلی شل و ول کل زحماتی که برای مرتبه‌های تارنما خود در حیث گرفتید از فی مابین خواهد رفت (به همین ترسناکی).
برای امنیت وبسایت چه کنیم؟
خب سوال خوب و بجایی می‌باشد, هم اکنون که متوجه شدیم یه اسکریپت عادی به اسم درب‌پشتی (BackDoor) میتونه زحمت حتی تعدادی ساله‌ی ماروهم از بین ببره باید راه‌حل دچار نشدن و یا پاک سازی وبسایت وردپرسی از این اسکریپت رو هم بدونیم. فرض می کنیم سایت شما مبتلا این اسکریپت مخرب شده و نیاز فوری به پاکسازی دارید. خب برای ادامه کار یه نفس عمیق بکشید و نگران هیچ موضوعی نباشید, تمامی چیز ساده و در عین فعلا لذت بخش می باشد.
همیشه اولی قدم شناسایی فایل‌های آلوده می باشد.
پاکسازی فولدر‌های آلوده شناسایی شده.
تحلیل مجدد و تطهیر آخری.
بروزرسانی پوشه‌های هسته وردپرس.
ایمن سازی سایت برای عدم تکرار این آسیب.
شناسایی پوشه‌های کثیف
به طبع با خودتون فکر می‌کنید چطوری باید شروع کرد, خب میریم سراغ فایل‌های تارنما خودمون (پوشه‌ها در روت هاست موجود میباشند, که بسته به نوع کنترل پنل مورد هاست میتونه سی‌پنل و یا دایرکت ادمین و یا شایدم پلسک باشه دسترسی بهشون هم متفاوته). فرض ما اینه که در روت هاست خودمون قرار داریم و پوشه‌ها (Directory) و پوشه‌های وردپرس رو مشاهده میکنیم. اما در پی چی باشیم؟فایل‌های آلوده و مشکوک رو چجوری میشه شناخت؟ برای هر مشکل یه چاره هم میباشد, ابتدا سراغ دایرکتوری‌ها و فایل‌هایی که معمولا در گیر این آلودگی میشن میریم:
wp-config.php
یکی از مهم ترین فایل‌های وردپرس بی‌شک فایل wp-config.php می باشد و از همین رو هدف تمام تهاجم ها هکری هم واقع میشه, پس اگه بررسی کردید و نکته مشکوکی رو مشاهده کردید لابه لای کدهای این فایل مسلما اقدام به تجدید بنا این فایل فرمایید.(معمولا اسکریپت‌ها در اولیهِ فایل‌ها قرار می‌گیرند و بصورت کد شده و نامعلوم قابل مشاهده هستند)
wp-Includes
یک کدام از پوشه‌هایی که نسبتاً خموشی و دور از تغییرات بکار خود در وردپرس ادامه می دهد و یک جای دنج برای آپلود کردن اسکریپت مخرب درب‌پشتی است, معمولا به دلیل وجود پوشه‌های جاوا اسکریپت در‌این فولدر هکرها اقدام به تزریق فولدر‌های مخرب داخل این دایرکتوری می‌کنند.
wp-content/Themes
پوسته‌های نال غیر ایمن میتونن به راحتی خودشون حمل کننده این اسکریپت باشن, پس همیشه پوسته‌هارو از وبسایت‌های معتبر دانلود نمایید, همینطور یادتون نره که وقتی از یک پوسته وردپرس به کار گیری نمیکنید و عملا غیرفعال است مسلما از درون تارنما حذفش فرمایید.
wp-content/Plugins
تمام موردها پوسته‌های وردپرس در خصوص افزونه‌های وردپرسی هم صدق می‌کنه, پس اگه از افزونه‌ای استفاده نمی‌کنیم با یک دکمه حذف کردن یه امتیاز به امنیت وب سایت خودمون اضافه کنیم, پوسته‌ها و افزونه‌های غیرفعال محل مناسبی برای قرارگیری اسکریپت‌مخرب درب‌پشتی میباشند.
wp-content/Uploads
به‌به چه جای خیر برای آپلود کردن فولدر‌های آلوده به درب‌پشتی (BackDoor)؛ جایی که نسبتاً صدها و یا هزاران تصویر با اندازه‌های مختلف و درون فایل‌های منظمی از تاریخ‌ها وجود داره و نسبتاً هیچ‌کس بررسیش نمیکنه بنظرتون محل خیر برای آپلود کردن این اسکریپت نیست؟شک نکنید این پوشه از دست هیچ هکری در نمیره و مطلقا پوشه‌هایی داخلش برای استعمال ‌درب‌پشتی هستند. در هر هم اکنون این تمام ماجرا نیست و ممکنه فایل‌های دیگه‌ای هم وجود داشته باشه و مبتلا آلودگی درب‌پشتی (BackDoor) شده باشند, افراد فن‌ای و با تجربه معمولا خیلی وا رفته این پوشه‌هارو شناسایی می‌کنند و کار چندان مشقت براشون نیست, البته عده ای که هنوز به این تجربه نرسیدن می بایست چیکار کنن؟؟
خب میتونم بگم که می بایست از چند ابزار استفاده فرمایید, ابتدا از پشتیبان هاست خودتون درخواست اسکن فرمایید و بگید فایده رو بهتون ارائه کنند.