Bảo mật - Bảo mật ứng dụng web
- Ẩn Sĩ Tóc Dài
- April 23, 2013
- Bảo mật - Bảo mật ứng dụng web
- 2,606 views
Mã nguồn wordpress bị hacker tấn công và cách khắc phục
Cách phòng vệ trước đợt tấn công
Cộng đồng sử dụng lớn nên WordPress thường xuyên trở thành tâm điểm của các đợt tấn công từ tin tặc - Ảnh minh họa: Internet
WordPress là phần mềm web rất dễ sử dụng, cài đặt và triển khai. Do tính chất mở và miễn phí, WordPress có cộng đồng sử dụng rất lớn, con số website/blog dùng WordPress lên đến hàng triệu, bao gồm cả những website tin tức lớn như Reuters hay các website công nghệ phổ biến như Engadget, Gizmodo cũng vận dụng WordPress cho blog.
(*) Máy tính ma, hay còn gọi zombie, là những máy tính của người dùng cá nhân hay công ty bị lây nhiễm mã độc và chịu sự quản lý từ xa của tin tặc. Nhiều "máy tính ma" hình thành nên mạng botnet. Số lượng trong mạng botnet quyết định quy mô và phạm vi của các đợt tấn công. Tin tặc thường sử dụng mạng botnet để tấn công từ chối dịch vụ (DDoS) nhằm làm nghẽn hệ thống đối tượng, hoặc phát tán thư rác để lừa đảo hay trục lợi. |
Trong đợt tấn công được ghi nhận từ ngày 13-4, thay vì nhằm mục đích triệt hạ các máy chủ, tin tặc đã huy động một lực lượng lên đến 90.000 "máy tính ma" (*) dưới sự điều khiển từ xa, tấn công vào các hệ thống WordPress với mục đích bẻ khóa thông tin quản trị WordPress qua hình thức brute-force (dò tìm mật khẩu với các cụm từ phổ biến).
Các công ty cung cấp dịch vụ lưu trữ web (web hosting) đã đồng loạt đưa ra báo cáo và cảnh báo đến khách hàng. Phạm vi của cuộc tấn công là trên toàn cầu.
Theo các nhà phân tích, cuộc tấn công hướng mục tiêu đến các hệ thống máy chủ (server) nhằm biến chúng thành các "máy tính ma đầu đàn" cho các đợt tấn công khác. Yếu tố thu hút tin tặc nằm ở băng thông của các máy chủ luôn lớn hơn gấp hàng trăm, thậm chí hàng ngàn lần so với các mạng "máy tính ma" (botnet) khởi nguồn từ những máy tính cá nhân hay hệ thống của doanh nghiệp nhỏ bị lây nhiễm.
Theo đó, mức độ tổn hại có thể gây ra từ các cuộc tấn công của đội quân mới gồm các máy chủ sẽ cao hơn rất nhiều lần, đặc biệt nguy hiểm trong các đợt tấn công từ chối dịch vụ (DDoS).
Trước đó vào tháng 10-2012, giới an ninh mạng cũng đã ghi nhận đợt tấn công DDoS dung lượng băng thông khổng lồ nhắm vào hệ thống mạng 6 ngân hàng lớn nhất của Mỹ từ một mạng "siêu botnet" được hình thành từ các hệ thống máy chủ web bị lây nhiễm mã độc.
Các máy chủ web dùng WordPress từ Công ty ResellerClub đã bị ảnh hưởng. Các tài khoản quản trị (admin) bị chiếm giữ, những kịch bản mã độc (script) dạng "cửa sau" (backdoor) được đưa lên máy chủ cho phép tin tặc vận dụng "con mồi" vào cuộc tấn công từ xa. Nhà cung cấp web hosting khác gồm HostGator, InMotion Hosting và Melbourne Server Hosting cũng chịu chung số phận.
Những biện pháp phòng vệ cho website WordPress
Tạo mật khẩu bảo mật cấp độ cao sẽ giúp tài khoản luôn an toàn - Ảnh minh họa: PCWorld
Các chủ nhân website hay công ty đang dùng WordPress có thể làm theo những bước sau để tránh trở thành nạn nhân của cuộc tấn công:
-
Trước tiên, hãy đăng nhập vào tài khoản quản trị WordPress và thay đổi mật khẩu (password) theo cấp độ "bảo mật cao", kết hợp ký tự số, ký tự văn bản và ký tự đặc biệt như "^%$#@*", viết hoa xen lẫn thường.
-
Thay đổi tên tài khoản quản trị: đợt tấn công này nhắm vào các hệ thống WordPress giữ nguyên tên tài khoản quản trị mặc định là "admin". Đăng nhập vào tài khoản "admin", tạo một tài khoản mới với quyền hạn quản trị cao cấp đi kèm với một địa chỉ email mới (không nên dùng chung email với tài khoản admin). Sau đó đăng nhập vào tài khoản vừa tạo, xóa tài khoản "admin" cũ, chỉ định tất cả những dữ liệu thuộc về tài khoản "admin" sang tài khoản mới.
-
Cập nhật phiên bản mới nhất của WordPress. Các phiên bản cũ thường chứa lỗ hổng bảo mật, blog của Reuters cũng bị hack vì lỗi cơ bản này.
-
Sử dụng tiện ích mở rộng (plug-in) bảo mật cho website WordPress của mình. Hai plug-in đề xuất gồm: Better WP Security và Limit Login Attempts (giới hạn số lần đăng nhập sai).
-
Tham khảo gói dịch vụ Miễn phí (Free) từ hệ thống tường lửa web của CloudFlare để chống tấn công "brute-force" hoặc thiết lập bảo mật cho phần mod security trên máy chủ Apache.
Đối với các website WordPress có nguy cơ đã bị chiếm giữ, dù có thực hiện những thao tác trên thì thông tin quản trị thay đổi vẫn có thể bị tin tặc nắm bắt, chưa kể "cửa sau" (backdoor) được tin tặc gài lại vào hệ thống cho đợt thâm nhập sau. Hãy liên hệ với nhà cung cấp dịch vụ để rà soát lại máy chủ, phối hợp rà soát các tập tin.
Cuối cùng, nếu website lưu trữ trên WordPress.com, bạn nên kích hoạt chế độ chứng thực hai lớp để tạo thêm vòng bảo vệ cho tài khoản quản trị (tham khảo tại đây).
Nguồn từ nhipsongso.tuoitre.vn
Công ty thiết kế website, lập trình phần mềm NEVICOM
Bài viết khác:
- Hướng dẫn cấu hình DNS để có thể yên tâm lướt web an toàn
23/04/2013
- Bảo mật gmail, tạo mật khẩu 2 cho gmail như thế nào?
02/11/2012
- Cách bảo vệ tài khoản Gmail của bạn tốt nhất.
02/11/2012
- Bảo mật email, những điều cần làm
01/11/2012
- Bảo mật webite: cần tuân theo quy tắc như thế nào?
01/11/2012
- Bảo mật dữ liệu theo tiêu chuẩn quân đội Mỹ - mã hóa dữ liệu chống hacker
31/08/2012
- Ebook hack iPhone, iPad không chính thức - món đồ nghề dành cho hacker
07/08/2012
- Những điều cần lưu ý khi đặt mật khẩu cho tài khoản email của bạn
07/08/2012
- Cách kiểm tra mật khẩu Yahoo, Gmail có bị lộ hay không
07/08/2012
- Website 5giay.vn bị hacker làm thịt rồi - bị chèn virus?!
04/06/2012
- Bảo mật dữ liệu cho website PHP sử dụng Share host linux
12/05/2012
- Bảo mật ứng dụng Web: kiểm tra sự thâm nhập của hacker vào mã nguồn website 1 cách tự động
20/04/2012
- Bảo mật cho ứng dụng web, làm website, thiết kế website phải bảo mật từ đâu?
20/04/2012
- Nhận diện link an toàn trước khi nhấn chuột! Một cách bảo vệ máy tính của bạn tránh virus
20/04/2012
- Những cách phát hiện email lừa đảo của hacker, spamer. Cách bảo vệ tài khoản email của bạn
19/04/2012
Bình luận