Comment protéger WordPress des attaques d’injection de site (3 façons)

Les thèmes et plugins WordPress sont connus pour rendre votre site plus vulnérable aux attaques. Cependant, les bibliothèques tierces peuvent également rendre votre site vulnérable au piratage. Heureusement, vous pouvez prendre quelques mesures pour protéger votre installation WordPress, même si la vulnérabilité de sécurité provient d’un Code tiers. Cela n’a jamais été aussi important, car une vulnérabilité grave a été récemment découverte dans la Bibliothèque WordPress utilisée pour envoyer des courriels. Dans cet article, nous discuterons de ce qu’est cette nouvelle vulnérabilité d’injection d’objet et pourquoi elle pourrait causer un désastre à votre site Web. Ensuite, nous partagerons trois façons simples de protéger votre site contre les vulnérabilités PHP Mailer et d’autres attaques d’injection de site. Allons – y!
Introduction aux attaques par injection de site l’équipe centrale de WordPress jouit d’une grande réputation pour s’attaquer aux vulnérabilités de sa plateforme. Toutefois, ce système populaire de gestion du contenu (SGC) n’existe pas dans le vide. Il est largement admis que certains thèmes et plugins WordPress rendent votre site plus vulnérable aux attaques. Cependant, les bibliothèques tierces peuvent également mettre votre site en danger. Récemment, une vulnérabilité d’injection d’objet a été découverte dans les versions 3.7 à 5.7.1 de WordPress, en raison de la Bibliothèque PHP Mailer. Cette bibliothèque open source est la façon dont WordPress envoie des e – mails sans avoir besoin d’une configuration supplémentaire.
Une vulnérabilité d’injection d’objet se produit lorsque l’entrée de l’utilisateur n’est pas correctement désinfectée avant d’être passée à la fonction PHP unserialize (). Comme PHP permet la sérialisation des objets, un attaquant peut passer une chaîne de sérialisation spéciale à un appel unserialize (). Cela peut impliquer l’insertion de n’importe quel objet PHP dans AMB
Application. Il est à noter que wordpress ne permet pas l’accès direct à phpmail. Toutes ces interactions sont réalisées via l’interface de programmation d’application (API) de WordPress, qui dispose de divers mécanismes de défense intégrés.
Pour permettre aux hackers d’exploiter la Bibliothèque PHP Mailer, votre site devrait avoir au moins une vulnérabilité supplémentaire. En fait, cela rend difficile l’exploitation des vulnérabilités en matière de sécurité. Cependant, si les pirates informatiques ont déjà accès à votre site, ils peuvent exploiter cette vulnérabilité pour augmenter leurs permissions et causer plus de dommages. Les pirates informatiques peuvent également exploiter cette vulnérabilité pour lancer plusieurs attaques graves. Cela comprend l’injection de code et SQL, le déni de service de l’application et l’intersection des chemins. Si l’une de ces attaques réussit, des tiers malveillants peuvent endommager votre site Web, supprimer votre compte ou voler des informations de visiteurs privés. Dans une situation aussi dangereuse, des mesures doivent être prises pour combler toutes les lacunes connues en matière de sécurité, y compris celles qui sont difficiles à exploiter.
Comment protéger WordPress contre les attaques d’injection de site (3 façons) selon les experts en sécurité de patchtack, cette vulnérabilité de PHP Mailer est proche du niveau de risque le plus élevé. Patchtack a évalué phpmailer à 9,8 sur une échelle de 1 à 10 à l’aide du système général de notation de la vulnérabilité (cvss). C’est une cote inquiétante pour tout propriétaire de site, alors regardons comment protéger l’installation WordPress. Gardez votre noyau WordPress à jour quand il s’agit de protéger votre site WordPress, le premier Conseil est toujours le même: gardez votre site à jour. Après avoir découvert la vulnérabilité d’injection de cet objet, l’équipe WordPress a rapidement publié une mise à jour qui résout ce problème de sécurité. Si la version 5.7.2 ou s n’est pas déjà utilisée
Généralement d’accord avec votre site. Cela donne à wordfence l’occasion d’apprendre vos modèles et votre comportement régulier. Il permet ensuite toutes ces opérations et protège votre site contre les opérations illégales. Pour mettre wordfence en mode apprentissage, allez à wordfence > Firewall:
Ensuite, ouvrez le menu déroulant État du pare – feu de l’application Web et sélectionnez le mode d’apprentissage. Wordfence surveille maintenant toutes les actions de votre site. Pour de meilleurs résultats, nous vous recommandons de garder wordfence dans ce mode pendant au moins une semaine. Une fois que vous avez déterminé que wordface a recueilli suffisamment de données, allez à wordface > Firewall pour activer votre pare – feu. Ensuite, ouvrez le menu déroulant et sélectionnez activer et protéger. Dans le cadre de l’attaque phpmailer, le hacker utilisera la fonction unserialize () qui récupère la chaîne représentant la valeur sérialisée et la convertit en valeur PHP. Dans une attaque par injection d’objet, un tiers malveillant peut utiliser cette fonction unserialize () pour exécuter des données et sélectionner les propriétés de ces objets. Par exemple, un attaquant peut construire une charge utile qui lui permet de lire vos fichiers, y compris le contenu du Répertoire de mot de passe du site.
Contrairement au transfert direct de contenu généré par l’utilisateur à unserialize (), il est important de valider et de désinfecter ces données. Cela vous aide à vous assurer que toutes les données que vous recevez sont propres, correctes et exemptes de code malveillant. Vous pouvez désinfecter les données en utilisant la famille de fonctions de support sanitize _ u * (). WordPress Codex fournit un exemple simple de la façon de désinfecter l’entrée de l’utilisateur. Fournit un exemple de module contenant une chaîne: Dans ce cas, vous pouvez effacer ces données en utilisant santize _ text field ():
$title = clean _ text field ($u post [‘title]); Mise à jour _ post Meta ($post – > ID, ‘t
Titre \