Jak wzmocnić swoją witrynę WordPress przed atakami typu Fingerprinting?

WordPress pozostaje popularnym celem dla atakujących w stale ewoluującym krajobrazie cyberbezpieczeństwa. Biorąc pod uwagę jego powszechne zastosowanie, zrozumienie luk w zabezpieczeniach związanych z WordPressem jest korzystne i niezbędne dla każdego, kto jest odpowiedzialny za utrzymanie takich stron internetowych. Jedną z kluczowych technik wykorzystywanych przez atakujących do zbierania informacji o witrynie WordPress jest „fingerprinting”. Fingerprinting pozwala atakującym zidentyfikować wersję WordPressa, aktywne wtyczki, motywy i informacje o użytkowniku. Uzbrojeni w te dane mogą skuteczniej dostosowywać swoje ataki. W tym kompleksowym przewodniku zagłębimy się w różne techniki fingerprintingu, których używają atakujący i jak można się przed nimi bronić.

Identyfikacja witryn WordPress

Simple Discovery (RSD)

Atakujący często zaczynają od sprawdzenia, czy docelowa witryna działa na WordPressie. Jedną z prostych metod jest Really Simple Discovery (RSD), format XML, który udostępnia usługi świadczone przez blog lub oprogramowanie internetowe. Przeglądając kod źródłowy strony głównej witryny, atakujący mogą znaleźć łącze RSD wskazujące na punkt końcowy XML-RPC w witrynie. Ten plik XML zawiera informacje o interfejsie API witryny i usługach dostępnych dla aplikacji zewnętrznych.

Środek zaradczy:
Aby złagodzić ten problem, można wyłączyć XML-RPC, jeśli witryna tego nie wymaga. Można to zrobić za pomocą różnych wtyczek bezpieczeństwa lub dodając określone fragmenty kodu do pliku .htaccess witryny.

Określanie wersji WordPress

Generator tagów i kanałów RSS

WordPress często nadaje swój numer wersji w różnych miejscach, w tym w znacznikach generatora w kodzie źródłowym HTML i kanałach RSS. Są one łatwo dostępne i dostarczają atakującym cennych informacji.

Przeciwdziałanie
Numer wersji można usunąć, dodając kilka linijek kodu do pliku functions.php motywu. Zapobiegnie to wyświetlaniu przez WordPress numeru wersji w metatagu generatora i kanałach RSS.

Odkrywanie motywów i wtyczek

Informacje o motywie w CSS

Atakujący mogą łatwo znaleźć motyw witryny, szukając /wp-content/themes// w kodzie źródłowym. Plik style.css w tym katalogu często zawiera komentarze nagłówka, które ujawniają nazwę i wersję motywu.

Informacje o wtyczce w plikach Readme

Podobnie, wtyczki często mają pliki readme.txt, które zawierają metadane, w tym numer wersji. Atakujący mogą je znaleźć, szukając /wp-content/plugins// w kodzie źródłowym.

Przeciwdziałanie
Możesz użyć wtyczek bezpieczeństwa, które zasłaniają lub usuwają numery wersji motywów i wtyczek. Ponadto regularne aktualizowanie motywów i wtyczek może uchronić Cię przed znanymi lukami w zabezpieczeniach.

Wyliczanie użytkowników

Archiwa autorów i WP-JSON API

Atakujący mogą wyliczyć użytkowników, żądając/wp-json/wp/v2/users/1, zwiększając identyfikator użytkownika, aby uzyskać listę użytkowników. Inna metoda polega na żądaniu/?author=1 i zwiększaniu liczby w celu wyliczenia wszystkich aktywnych użytkowników.

Przeciwdziałanie
Aby zapobiec wyliczaniu użytkowników za pomocą tych metod, można użyć wtyczek bezpieczeństwa, które blokują takie żądania lub dodać reguły do pliku .htaccess.

Zaawansowane techniki pobierania odcisków palców

Sumy kontrolne MD5

Niektóre zaawansowane techniki fingerprintingu obejmują obliczanie sumy kontrolnej MD5 zawartości statycznej, takiej jak pliki CSS i JavaScript. Narzędzia takie jak WPScan używają tej metody do odgadnięcia wersji WordPressa, gdy nie jest ona wyraźnie wymieniona.

Przeciwdziałanie
Chociaż bezpośrednie przeciwdziałanie tej metodzie jest trudne, utrzymywanie aktualnej wersji WordPressa może chronić przed znanymi lukami, które mogą wykorzystać atakujący.

Ataki socjotechniczne

Oprócz technicznych odcisków palców, atakujący mogą również uciekać się do taktyk socjotechnicznych. Mogą oni wykorzystywać informacje zebrane za pomocą odcisków palców do tworzenia przekonujących e-maili lub wiadomości phishingowych.

Przeciwdziałanie
Poinformuj swój zespół i użytkowników o zagrożeniach związanych z atakami phishingowymi i sposobach ich rozpoznawania. Użyj uwierzytelniania wieloskładnikowego, aby dodać dodatkową warstwę zabezpieczeń.

Wnioski

Zrozumienie technik fingerprintingu stosowanych przez atakujących może znacznie zwiększyć bezpieczeństwo witryny WordPress. Podejmowanie proaktywnych działań, takich jak wyłączanie niepotrzebnych funkcji, usuwanie numerów wersji i edukowanie użytkowników, może znacznie utrudnić atakującym uzyskanie informacji potrzebnych do przeprowadzenia ataku.

W Elementrica specjalizujemy się w różnych ofensywnych usługach bezpieczeństwa, w tym testach penetracyjnych aplikacji internetowych, bezpieczeństwie API i nie tylko. Nasz zespół ekspertów postępuje zgodnie z najlepszymi praktykami branżowymi opisanymi w OWASP Testing Guide, Penetration Testing Execution Standard i NIST SP 800-115, aby zapewnić kompleksowe podejście do testowania.

Bądź czujny, bądź bezpieczny.