Kā tīmekļa vietnes tiek uzlauztas

7. modulis: Drošība · Lasīšanas laiks: 8 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet reālistiski izskaidrot, kā WordPress vietnes parasti tiek uzlauztas, kāpēc arī mazas vietnes ir mērķis un ko uzlauzēji ar tām grib panākt.

Galvenie jēdzieni: ievainojamība, caurums spraudnī vai tēmā, automātiskie skenējumi, credential stuffing, brute force, nulled (zagta) programmatūra, inficēts dators, sekas (surogātpasts, pāradresācija, phishing, ļaunprogrammatūra), uzbrukuma virsma

"Mana vietne ir pārāk maza, lai būtu interesanta"

Tas ir visbiežāk dzirdētais maldīgais priekšstats. Gandrīz neviens WordPress uzlaušanas gadījums nav vērsts uz vienu konkrētu vietni. Uzlauzēji izmanto programmas, kas automātiski pārbauda tūkstošiem vietņu stundā un meklē vienu lietu: zināmu vājo vietu. Ja programma to atrod, tā ielaužas neatkarīgi no tā, vai vietne pieder lielai starptautiskai kompānijai vai vietējam futbola klubam.

Viņi grib nevis Jūsu vietni, bet to, ko Jūsu vietne var darīt:

• Surogātpasts un meklētājprogrammu ļaunprātīga izmantošana: tūkstošiem slēptu lapu vai saišu uz medikamentiem, azartspēlēm vai viltus veikaliem, kas izmanto Jūsu domēna labo reputāciju Google acīs.
• Pāradresācija: apmeklētāji (bieži vien tikai no Google vai telefona) tiek novirzīti uz viltus vietni vai krāpniecības lapu. Jūs neko neredzat, jo Jūs ieejat, izmantojot grāmatzīmi.
• Phishing: viltota bankas vai piegādes dienesta pieteikšanās lapa, paslēpta Jūsu uploads mapē, ar Jūsu domēna nosaukumu saitē.
• Ļaunprogrammatūras izplatīšana apmeklētājiem.
• E-pastu sūtīšana: Jūsu serveris sūta surogātpastu, un pēc tam Jūsu paša e-pasts vairs nenonāk adresātos.
• Skaitļošanas jauda: Jūsu pakotne tiek izmantota uzbrukumiem citām vietnēm vai kriptovalūtu iegūšanai.
• Dati: interneta veikala vai dalībnieku vietnes gadījumā, Jūsu klientu dati.

1. ieeja: caurums spraudnī vai tēmā

Šī ir līdz šim nozīmīgākā ieeja. Saskaņā ar Patchstack, uzņēmuma, kas seko līdzi WordPress drošības caurumiem, gada pārskatu, 2024. gadā WordPress ekosistēmā tika atklāti 7966 jauni ievainojamības gadījumi. 96% no tiem bija spraudņos, 4% tēmās, un pašā WordPress tikai septiņi. Lielāko daļu caurumu nevar vienkārši izmantot, bet daļu gan var, un tie tiek masveidā skenēti dažu stundu vai dienu laikā pēc atklāšanas.

Modelis gandrīz vienmēr ir vienāds:

1. Populāra spraudņa versijā 3.2 tiek atklāts caurums.
2. Izstrādātājs izlaiž versiju 3.2.1 ar labojumu. Caurums kļūst publiski zināms.
3. Īsā laikā programmas pārmeklē internetu, meklējot vietnes ar versiju 3.2 vai vecāku.
4. Kas vēl nav atjauninājis, tiek uzlauzts.

Tātad bīstamība nav slēptā caurumā, par kuru neviens nezina, bet gan zināmā caurumā, kuram jau ir pieejams atjauninājums, bet kurš nav uzstādīts. Tāpēc atjauninājumi (4.2. nodarbība) ir vissvarīgākais pasākums, un Jums ir jāaizvāc viss, ko Jūs neizmantojat (5.4. nodarbība): katrs esošais spraudnis, pat deaktivizēts, palielina Jūsu uzbrukuma virsmu.

Īpašs gadījums ir pamestie spraudņi: izstrādātājs ir beidzis darbu, labojumi vairs netiek izlaisti. Un nulled programmatūra (5.3. nodarbība): nozagta maksas spraudņa kopija, bieži ar iebūvētu slēpto ieeju.

2. ieeja: paroles

Otrā lielākā ieeja ir pieteikšanās ar derīgu paroli:

• Credential stuffing: citā pakalpojumā notikušā datu noplūdē ir atklāti miljoniem e-pasta adrešu un paroļu kombināciju. Programmas izmēģina šīs kombinācijas dažādās vietnēs, tostarp WordPress pieteikšanās lapās. Ja Jūs izmantojat to pašu paroli, kas tika izmantota tajā noplūdušajā pakalpojumā, uzlauzēji tiek iekšā.
• Brute force: programma vienkārši izmēģina ļoti daudz paroļu, bieži vien ar bieži izmantotiem lietotājvārdiem, piemēram, admin. Ar garu, unikālu paroli tam nav izredžu, bet tas tomēr patērē Jūsu servera skaitļošanas jaudu.
• Phishing: viltus e-pasts "Jūsu WordPress ir jāatjaunina, piesakieties šeit" ar saiti uz viltotu pieteikšanās lapu.

7.3. nodarbība ir par aizsardzību: paroļu pārvaldnieks, divu faktoru autentifikācija un pieteikšanās mēģinājumu ierobežošana.

3. ieeja: viss ap WordPress

Ne katra uzlaušana sākas WordPress:

• Inficēts dators, kas pieder Jums vai Jūsu vietnes izstrādātājam, ar programmu, kas zog paroles, piemēram, tās, kas saglabātas FTP programmā.
• Parasts FTP bez šifrēšanas, publiskā tīklā.
• Cita vietne tajā pašā pakotnē: aizmirsta veca testa instalācija, veca Joomla apakšmapē. Visas vienā pakotnē esošās vietnes parasti izmanto vienu un to pašu lietotāju serverī. Ja vecā vietne tiek uzlauzta, uzlauzējs var piekļūt arī Jūsu WordPress.
• Noplūdusi datubāzes parole, piemēram, caur wp-config.php kopiju tīmekļa mapē (1.3. nodarbība).
• Formas bez pārbaudes, kuras tiek ļaunprātīgi izmantotas surogātpasta sūtīšanai.

Pie laba mitināšanas pakalpojumu sniedzēja Jūsu pakotne ir nodalīta no citu klientu pakotnēm tajā pašā serverī (piemēram, DirectAdmin serveros ar CloudLinux, izmantojot CageFS). Tas, kas notiek Jūsu pašu pakotnē, tomēr paliek Jūsu atbildība.

Ko Jūs pamanāt (un ko ne)

Labu uzlaušanu sākumā Jūs nepamanāt. Uzlauzēji grib izmantot Jūsu vietni pēc iespējas ilgāk. Pazīmes (par to vairāk 7.5. nodarbībā):

• Google paziņo "Šī vietne, iespējams, ir uzlauzta", vai Jūs meklēšanas rezultātos redzat dīvainas lapas no Jūsu domēna (pamēģiniet meklēt site:example.com);
• apmeklētāji ziņo, ka nonāk kaut kur citur;
• ir administratori vai faili, kurus Jūs nepazīstat;
• Jūsu mitināšanas pakalpojumu sniedzējs vai ļaunprogrammatūras skeneris par kaut ko ziņo;
• Jūsu e-pasts pēkšņi vairs nenonāk adresātos, vai Jūsu pakotne ir pilna vai lēna.

Daudzlīmeņu aizsardzība

Neviens atsevišķs pasākums nav absolūti drošs. Drošība ir vairāku līmeņu uzkrājums, lai kļūda vienā līmenī uzreiz neatver visu:

1. Atjaunināšana (7.2. nodarbība): aizslēdz zināmos caurumus. Līdz šim svarīgākais.
2. Maz komponentu (5.3. un 5.4. nodarbība): mazāk, ko atjaunināt, mazāk caurumu.
3. Pieteikšanās aizsardzība (7.3. nodarbība): garas unikālas paroles, divu faktoru autentifikācija, minimālo tiesību princips (3.3. nodarbība).
4. Nocietināšana (hardening) (7.4. nodarbība): tiesības, iestatījumi un galvenes, kas ierobežo iespējamo kaitējumu.
5. Rezerves kopijas (8.1. nodarbība): ja tomēr kaut kas noiet greizi, Jūs varat atgriezties atpakaļ.
6. Zināt, ko darīt, ja kaut kas noiet greizi (7.5. nodarbība).

Kopsavilkums

• Gandrīz visi uzlaušanas gadījumi ir automātiski un nav mērķēti; mazas vietnes ir tikpat labs mērķis.
• Uzlauzēji grib to, ko Jūsu vietne var darīt: surogātpastu, pāradresāciju, phishing, e-pastus, skaitļošanas jaudu, datus.
• Lielākā ieeja ir zināms caurums spraudnī vai tēmā, kuram jau bija pieejams atjauninājums (2024. gadā 96% no jaunajām ievainojamībām bija spraudņos).
• Otrā ieeja ir paroles: atkārtoti izmantotas, uzminētas vai izkrāptas.
• Arī inficēts dators, parasts FTP vai aizmirsta veca vietne tajā pašā pakotnē var būt ieeja. Aizsargājieties vairākos līmeņos.

Tests (quiz)

Uzdevums

Uzdevums D7.1: Jūsu pašu risku saraksts. Izveidojiet sarakstu ar visu, kas Jūsu mitināšanas pakotnē var būt ieeja: katru WordPress instalāciju (arī testa un vecas vietnes), katru spraudni un katru tēmu (arī neaktīvu), katru kontu ar administratora tiesībām (WordPress, FTP, mitināšanas paneli), un datorus, no kuriem notiek pieteikšanās. Pie katra elementa atzīmējiet: kad pēdējo reizi atjaunināts, vai joprojām nepieciešams (jā/nē), un kas ir atbildīgs. Atzīmējiet trīs lietas, kuras šonedēļ sakārtosiet vai atjaunināsiet, un pierakstiet, kāpēc tieši tās.

Papildu lasāmviela

Šie raksti apraksta soļus WebOké paneļos; citos paneļos tie darbojas līdzīgi.

• Palīdzība! Mana vietne ir uzlauzta. Kā to novērst un kā no tā izvairīties?
• DirectAdmin rokasgrāmata 18.2: Mana vietne ir uzlauzta: rīcības plāns
• State of WordPress Security in 2025 (Patchstack, angļu valodā): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• WordPress drošība (developer.wordpress.org, angļu valodā): https://developer.wordpress.org/advanced-administration/security/hardening/