Ngăn brute force bằng cách chặn author scans WordPress

4 giờ ago, Hướng dẫn WordPress, 1 Views

Giới thiệu về Brute Force và Author Scans trong WordPress

WordPress, mặc dù là một nền tảng quản lý nội dung (CMS) mạnh mẽ và phổ biến, cũng dễ bị tấn công brute force (tấn công dò mật khẩu) và author scans (quét thông tin tác giả). Các cuộc tấn công này có thể dẫn đến truy cập trái phép vào trang web của bạn, làm tổn hại danh tiếng, đánh cắp dữ liệu và thậm chí là vô hiệu hóa toàn bộ trang web. Hiểu rõ về các mối đe dọa này là bước đầu tiên để bảo vệ trang web WordPress của bạn.

Tấn công brute force là một phương pháp thử và sai, trong đó kẻ tấn công sử dụng một danh sách lớn các mật khẩu tiềm năng để cố gắng truy cập vào tài khoản người dùng. Họ có thể sử dụng phần mềm tự động để thử hàng ngàn, thậm chí hàng triệu mật khẩu cho đến khi tìm được mật khẩu đúng.

Author scans, ngược lại, khai thác các URL cấu hình mặc định của WordPress liên quan đến tác giả. Ví dụ: URL như `/?author=1` hoặc `/author/username` có thể tiết lộ tên người dùng và ID người dùng của tác giả. Thông tin này sau đó có thể được sử dụng trong các cuộc tấn công brute force hoặc các cuộc tấn công khác.

Tại sao Author Scans lại nguy hiểm?

Author scans cho phép kẻ tấn công thu thập thông tin quan trọng về trang web của bạn. Dưới đây là một số lý do tại sao chúng nguy hiểm:

Tiết lộ tên người dùng: Mặc dù bạn có thể đã cố gắng sử dụng tên người dùng khác với “admin,” author scans có thể tiết lộ tên người dùng thực tế được liên kết với tài khoản quản trị viên hoặc tài khoản khác.
Hỗ trợ tấn công Brute Force: Khi đã có tên người dùng, kẻ tấn công có thể tập trung các cuộc tấn công brute force của họ vào các tài khoản cụ thể, tăng đáng kể khả năng thành công.
Thu thập thông tin hồ sơ: Đôi khi, trang tác giả có thể chứa thông tin bổ sung về tác giả, chẳng hạn như tiểu sử hoặc liên kết mạng xã hội. Thông tin này có thể được sử dụng để spear phishing (tấn công lừa đảo mục tiêu) hoặc các cuộc tấn công kỹ thuật xã hội khác.

Các Phương pháp Chặn Author Scans trong WordPress

Có nhiều phương pháp để ngăn chặn author scans và giảm thiểu rủi ro liên quan. Dưới đây là một số cách tiếp cận hiệu quả:

1. Chuyển hướng Author Scans

Một cách đơn giản và hiệu quả để ngăn chặn author scans là chuyển hướng bất kỳ ai cố gắng truy cập trang tác giả đến trang chủ hoặc trang 404. Điều này có thể được thực hiện bằng cách sử dụng các plugin hoặc thêm code vào file `functions.php` của chủ đề của bạn.

Sử dụng plugin:

Nhiều plugin bảo mật WordPress cung cấp chức năng để tự động chuyển hướng author scans. Một số plugin phổ biến bao gồm:

Wordfence Security: Cung cấp nhiều tính năng bảo mật, bao gồm khả năng chặn author scans.
All in One WP Security & Firewall: Một plugin toàn diện cung cấp nhiều tính năng bảo mật, bao gồm bảo vệ chống lại brute force và author scans.
iThemes Security: Một plugin bảo mật khác cung cấp các tính năng bảo mật mạnh mẽ, bao gồm chặn author scans.

Thêm code vào `functions.php`:

Bạn cũng có thể thêm code trực tiếp vào file `functions.php` của chủ đề để chuyển hướng author scans. Hãy cẩn thận khi chỉnh sửa file `functions.php`, vì một lỗi nhỏ có thể làm hỏng trang web của bạn. Hãy sao lưu file trước khi thực hiện bất kỳ thay đổi nào. Đây là một ví dụ về code bạn có thể sử dụng:


function redirect_author_scan() {
    if ( is_author() ) {
        wp_redirect( home_url() );
        exit;
    }
}
add_action( 'template_redirect', 'redirect_author_scan' );

Code này kiểm tra xem trang hiện tại có phải là trang tác giả hay không. Nếu có, nó sẽ chuyển hướng người dùng đến trang chủ.

2. Sử dụng Robots.txt để ngăn chặn Indexing

File `robots.txt` cho phép bạn hướng dẫn các công cụ tìm kiếm cách thu thập dữ liệu trang web của bạn. Bạn có thể sử dụng nó để ngăn chặn các công cụ tìm kiếm lập chỉ mục các trang tác giả, làm cho chúng khó tìm thấy hơn đối với kẻ tấn công. Tuy nhiên, cần lưu ý rằng `robots.txt` chỉ là một đề xuất và một số bot độc hại có thể bỏ qua nó.

Để ngăn chặn indexing các trang tác giả, hãy thêm các dòng sau vào file `robots.txt` của bạn:


User-agent: *
Disallow: /?author=*
Disallow: /author/*

File `robots.txt` thường nằm ở thư mục gốc của trang web của bạn.

3. Thay đổi cấu trúc URL tác giả

Một số plugin bảo mật cho phép bạn thay đổi cấu trúc URL mặc định cho các trang tác giả. Điều này có thể làm cho chúng khó dự đoán hơn đối với kẻ tấn công. Ví dụ: bạn có thể thay đổi URL từ `/author/username` thành một cái gì đó ngẫu nhiên và khó đoán hơn.

4. Sử dụng tường lửa Web Application (WAF)

Tường lửa Web Application (WAF) là một lớp bảo mật bổ sung bảo vệ trang web của bạn khỏi nhiều loại tấn công, bao gồm cả brute force và author scans. WAF hoạt động bằng cách kiểm tra lưu lượng truy cập đến trang web của bạn và chặn bất kỳ lưu lượng truy cập độc hại nào.

Có nhiều WAF khác nhau có sẵn, cả dưới dạng plugin WordPress và giải pháp dựa trên đám mây.

5. Giới hạn số lần đăng nhập thất bại

Giới hạn số lần đăng nhập thất bại là một biện pháp phòng ngừa hiệu quả chống lại tấn công brute force. Bằng cách giới hạn số lần một người có thể cố gắng đăng nhập trong một khoảng thời gian nhất định, bạn có thể ngăn chặn kẻ tấn công thử hàng ngàn mật khẩu khác nhau. Nhiều plugin bảo mật cung cấp tính năng này.

6. Sử dụng Mật khẩu Mạnh và Xác thực Hai yếu tố (2FA)

Sử dụng mật khẩu mạnh và bật xác thực hai yếu tố (2FA) là những bước quan trọng để bảo vệ tài khoản WordPress của bạn. Mật khẩu mạnh nên dài, phức tạp và bao gồm sự kết hợp của chữ hoa, chữ thường, số và ký hiệu. 2FA thêm một lớp bảo mật bổ sung bằng cách yêu cầu người dùng nhập mã từ thiết bị khác, chẳng hạn như điện thoại của họ, ngoài mật khẩu của họ.

Kiểm tra và Giám sát

Sau khi thực hiện các biện pháp phòng ngừa này, điều quan trọng là phải thường xuyên kiểm tra và giám sát trang web của bạn để đảm bảo rằng chúng hoạt động hiệu quả. Bạn có thể sử dụng các công cụ bảo mật WordPress để quét trang web của bạn để tìm các lỗ hổng và giám sát nhật ký để tìm các dấu hiệu của hoạt động đáng ngờ.

Kết luận

Ngăn chặn brute force và author scans là rất quan trọng để bảo vệ trang web WordPress của bạn. Bằng cách thực hiện các biện pháp được mô tả trong bài viết này, bạn có thể giảm đáng kể rủi ro bị tấn công và giữ cho trang web của bạn an toàn và bảo mật. Hãy nhớ rằng bảo mật là một quá trình liên tục và bạn nên thường xuyên xem xét và cập nhật các biện pháp bảo mật của mình để đối phó với các mối đe dọa mới.

Sử dụng các plugin bảo mật WordPress.
Chuyển hướng hoặc chặn truy cập vào các trang tác giả.
Thường xuyên cập nhật WordPress, chủ đề và plugin.

#ezw_tco-2 .ez-toc-widget-container ul.ez-toc-list li.active::before { background-color: #ededed; } aa