৫টি সাধারণ ওয়ার্ডপ্রেস আক্রমণ এবং আপনার সাইট রক্ষার উপায়

আপনি কি চিন্তিত যে হ্যাকাররা আপনার ওয়ার্ডপ্রেস ওয়েবসাইটে আক্রমণ করবে? আমরা চেয়েছিলাম আপনাকে বলতে পারি যে চিন্তার কোনো কারণ নেই, কিন্তু সত্য হলো ওয়ার্ডপ্রেস ওয়েবসাইটগুলো হ্যাকারদের 의해 liên tục লক্ষ্য করা হয়। এর প্রধান কারণ হলো এর জনপ্রিয়তা—ইন্টারনেটের তৃতীয়াংশ ওয়েবসাইট ওয়ার্ডপ্রেস দিয়ে তৈরি।

যদিও ওয়ার্ডপ্রেস নিজে একটি নিরাপদ ওয়েবসাইট নির্মাণ প্ল্যাটফর্ম, এটি একা কাজ করে না। একটি ওয়ার্ডপ্রেস সাইট চালাতে প্লাগইন এবং থিম প্রয়োজন। প্লাগইন এবং থিমের মধ্যে প্রায়ই দুর্বলতা তৈরি হয়, যা হ্যাকাররা আক্রমণের সুযোগ হিসেবে ব্যবহার করে।

একবার আপনার সাইটে প্রবেশ পেলে, হ্যাকাররা নানা দুর্ভাবনামূলক কার্যক্রম চালাতে পারে—যেমন সংবেদনশীল তথ্য চুরি, গ্রাহকদের প্রতারণা, এবং অবৈধ কন্টেন্ট প্রদর্শন। একই সাথে, আপনার সাইট সার্চ রেজাল্টে সতর্কীকরণ পেতে পারে, গুগল দ্বারা ব্ল্যাকলিস্টেড হতে পারে, বা আপনার ওয়েব হোস্ট দ্বারা নিলंबিত হতে পারে। এতে দর্শক এবং রাজস্বের ক্ষতি হয়।

ওয়ার্ডপ্রেস ডেভেলপাররা প্ল্যাটফর্মকে যতটা সম্ভব নিরাপদ রাখেন, তবুও সাইট মালিকদের নিজেরা কিছু ব্যবস্থা নিতে হয়। এই নিবন্ধে আমরা ওয়ার্ডপ্রেস সাইটের উপর সবচেয়ে সাধারণ ৫টি আক্রমণ এবং সেগুলোর প্রতিরোধের উপায় আলোচনা করব।

হ্যাকাররা কেন ওয়ার্ডপ্রেসকে লক্ষ্য করে?

ওয়ার্ডপ্রেস একটি ওয়েবসাইট নির্মাণ প্ল্যাটফর্ম যা কোডিং জানা না থাকলেও কারোও ওয়েবসাইট তৈরি করতে দেয়। এর পাশাপাশি এটি সম্পূর্ণ বিনামূল্যে। ফলস্বরূপ, আজ ১.৩ বিলিয়নেরও বেশি সক্রিয় সাইট ওয়ার্ডপ্রেস দিয়ে চালিত হচ্ছে।

এই জনপ্রিয়তাই হ্যাকারদের কাছে এটি সবচেয়ে আকর্ষণীয় লক্ষ্য করে তুলেছে। হ্যাকাররা আপনার সাইটে প্রবেশের জন্য নানা পদ্ধতি ব্যবহার করে। নিচে আমরা ৫টি সবচেয়ে সাধারণ আক্রমণের পদ্ধতি এবং প্রতিরোধের উপায় ব্যাখ্যা করছি।

ওয়ার্ডপ্রেস ওয়েবসাইটের 上 ৫টি সাধারণ আক্রমণ

১. দুর্বল প্লাগইন এবং থিম

একটি ওয়ার্ডপ্রেস সাইট তিনটি উপাদানের 의해 তৈরি হয়—কোর ইনস্টলেশন, থিম এবং প্লাগইন। এই তিনটি উপাদানেই সাইটকে আক্রমণের सामने ফেলতে পারে।

বেশ কিছু বছর ধরে ওয়ার্ডপ্রেস কোরে কোনো বড় দুর্বলতা পাওয়া যায়নি। এটি অভিজ্ঞ ডেভেলপারদের একটি দল দ্বারা রক্ষণাবেক্ষণ করা হয়, যারা প্ল্যাটফর্মকে সম্পূর্ণ নিরাপদ রাখতে কাজ করে। তাই কোরের কথা ভাবার দরকার নেই।

তবে, থিম এবং প্লাগইন তৃতীয় পক্ষের ডেভেলপাররা তৈরি করে এবং এগুলোর মধ্যে প্রায়ই দুর্বলতা তৈরি হয়। ডেভেলপাররা যখন কোনো দুর্বলতা আবিষ্কার করেন, তা দ্রুত সমাধান করে আপডেটেড ভার্সন প্রকাশ করেন। সাইট মালিক হিসেবে আপনাকে সেটি অবিলম্বে আপডেট করতে হবে।

সিকিউরিটি আপডেট অবিলম্বে ইনস্টল করা অত্যন্ত গুরুত্বপূর্ণ। কারণ ডেভেলপাররা আপডেট প্রকাশ করার সাথে সাথে তার কারণও প্রকাশ করেন, অর্থাৎ দুর্বলতাটি সর্বজনীন হয়ে যায়। হ্যাকাররা জানেন সব সাইট মালিকই তৎক্ষণাৎ আপডেট করেন না। তাই তারা বট এবং স্ক্যানার প্রোগ্রাম করে ইন্টারনেটে উন প্লাগইন বা থিম ব্যবহারকারী সাইটগুলো খুঁজে বের করে এবং সহজে আক্রমণ চালিয়ে wp feed malware এর মত ম্যালওয়ার 집어 দেয়।

দুর্বল প্লাগইন ও থিম থেকে সাইট রক্ষার উপায়

1. শুধুমাত্র ওয়ার্ডপ্রেস রিপোজিটরি বা ThemeForest, CodeCanyon এর মতো বিশ্বস্ত মার্কেটপ্লেস থিম ও প্লাগইন ব্যবহার করুন।
2. প্লাগইন লিস্ট নিয়মিত চেক করুন এবং শুধু প্রয়োজনীয়গুলো রাখুন। অনাবশ্যক বা নিষ্ক্রিয় প্লাগইন মুছে দিন।
3. থিম নিয়মিত স্ক্যান করুন এবং আদর্শভাবে শুধু ব্যবহার করা থিমটি রাখুন।
4. পাইরেটেড থিম বা প্লাগইন কখনো ব্যবহার করবেন না। এগুলোর মধ্যে সাধারণত ম্যালওয়ার থাকে যা আপনার সাইট সংক্রমিত করবে।
5. নিশ্চিত করুন আপনার সাইটের সব প্লাগইন ও থিম আপনার জানানো। হ্যাকাররা কখনো নিজেদের প্লাগইন/থিম ইনস্টল করে থাকে যাতে ব্যাকডোর থাকে।

২. ব্রুট ফোর্স আক্রমণ (Brute Force Attacks)

ওয়ার্ডপ্রেস সাইটে লগইন করতে یوزারনেম এবং পাসওয়ার্ড দরকার। অনেক সাইট মালিক সহজে মনে রাখার یুজারনেম এবং পাসওয়ার্ড ব্যবহার করে। ডিফল্ট 'admin' ইউজারনেম অনেকেই রাখে। সাধারণ পাসওয়ার্ড হচ্ছে 'password123' বা '1234567'।

হ্যাকাররা এটা জানেন এবং লগইন পেজে আক্রমণ চালান। তারা সাধারণ ইউজারনেম ও পাসওয়ার্ডের একটি ডেটাবেস তৈরি করে। তারপর বট প্রোগ্রাম করে ওয়ার্ডপ্রেস সাইটগুলোর ওপর সেগুলো ট্রাই করে। আপনার লগইন তথ্য দুর্বল হলে বটরা সহজে অনুমান করে সাইটে প্রবেশ করতে পারে। এটি 'ব্রুট ফোর্স আক্রমণ' নামে পরিচিত এবং এর সাফল্যের হার অনুমান করা হয় ১০%!

ব্রুট ফোর্স আক্রমণ থেকে সাইট রক্ষার উপায়

1. ডিফল্ট 'admin' ইউজারনেম পরিবর্তন করে অনন্য কিছু রাখুন।
2. শক্তিশালী পাসওয়ার্ড ব্যবহার করুন। প্যাসফ्रेज (passphrase) নম্বর এবং চিহ্নের সাথে মিলিয়ে ব্যবহার করুন, যেমন: Birdsofafeather123$।
3. অন্য কোনো ওয়েবসাইটে ব্যবহার করা क्रেডেনশিয়াল ব্যবহার করবেন না।
4. লগইন চেষ্টার সংখ্যা সীমিত করুন। যেমন ৩ বা ৫ বার ভুল দিলে 'forgot password' অপশন ব্যবহার করতে হবে। MalCare সিকিউরিটি প্লাগইন ইনস্টল করলে এটি স্বয়ংক্রিয়ভাবে প্রয়োগ হবে।
5. টু-ফ্যাক্টর অথেন্টিকেশন (2FA) ব্যবহার করুন। এতে ইউজারনেম-পাসওয়ার্ডের পাশাপাশি স্মার্টফোনে জেনারেট হওয়া OTP বা ইমেইলে পাঠানো কোড দিতে হয়।

৩. ইনজেকশন আক্রমণ (Injection Attacks)

প্রায় সব ওয়েবসাইটে কন্ট্যাক্ট ফর্ম, সার্চ বার, কমেন্ট সেকশন থাকে যাতে দর্শক ডেটা ইনপুট দিতে পারে। কিছু সাইট ডকুমেন্ট বা ছবি আপলোডের সুবিধা দেয়। এই ডেটা সাধারণত ডাটাবেসে প্রসেস ও স্টোর করার জন্য পাঠানো হয়। এই ফিল্ডগুলো সঠিকভাবে কনফিগার করা থাকলে ডেটা যাচাই ও স্যানিটাইজ হয়ে ডাটাবেসে যায়। কিন্তু এটা না থাকলে হ্যাকাররা দুর্ষ্ট কোড ঢুকাতে পারে।

উদাহরণস্বরূপ, একটি কন্ট্যাক্ট ফর্মে নাম, ইমেইল, ফোন নম্বর ফিল্ড থাকে। নাম ফিল্ডে শুধু অক্ষর, ইমেইলে ভ্যালিড ফরম্যাট, ফোনে শুধু সংখ্যা গ্রহণ করা উচিত। কিন্তু কনফিগারেশন না থাকলে হ্যাকার ম্যালিশিয়াস স্ক্রিপ্ট ঢুকাতে পারে, যেমন:

String userLoginQuery = "SELECT user_id, username, password_hash FROM users WHERE username = '" + request.getParameter("user") + "'";

এই কোড ডাটাবেসকে নির্দিষ্ট ফাংশন এক্সিকিউট করতে বাধ্য করে। 이렇게 হ্যাকাররা সাইটে দুর্ষ্ট স্ক্রিপ্ট চালিয়ে পুরো কন্ট্রোল নিতে পারে। ওয়ার্ডপ্রেসে সবচেয়ে সাধারণ ইনজেকশন আক্রমণ হচ্ছে SQL ইনজেকশন এবং Cross-Site Scripting (XSS)।

ইনজেকশন আক্রমণ থেকে সাইট রক্ষার উপায়

1. দর্শক ইনপুট নেওয়া থিম ও প্লাগইন विश्वস্ত সোর্স থেকে নিন এবং সেগুলো সবসময় আপডেট রাখুন।
2. ফিল্ড এন্ট্রি এবং ডেটা সাবমিশন নিয়ন্ত্রণ করুন। এটি টেকনিক্যাল কাজ, ডেভেলপারের সাহায্য নিন।
3. ওয়ার্ডপ্রেস ফায়ারওয়াল ব্যবহার করুন। MalCare ইনস্টল করলে এটি স্বয়ংক্রিয়ভাবে শক্তিশালী ফায়ারওয়াল স্থাপন করে।

৪. ফিশিং ও ডেটা চুরি (Phishing and Data Theft)

দর্শক আপনার সাইটের সাথে নানাভাবে ইন্টারঅ্যাক্ট করে—ব্লগ পড়ে, কন্ট্যাক্ট ফর্ম পূরণ করে, ইকমার্স সাইটে ক্রেডিট কার্ড দিয়ে কেনাকাটা করে। ক্রেডিট কার্ডের তথ্য সার্ভারে ট্রান্সফার ও স্টোর হয়। এই তথ্য ট্রান্সফারের সময় ইন্টারসেপ্ট করা যেতে পারে বা সার্ভার থেকে চুরি হতে পারে।

হ্যাকাররা আপনার সাইটে ঢুকে আপনার ভেসে ইমেইল পাঠাতে পারে বা দর্শকদের অন্য সাইটে রিডাইরেক্ট করে ব্যক্তিগত তথ্য ও পেমেন্ট ইনফো নিতে পারে।

ফিশিং ও ডেটা চুরি থেকে সাইট রক্ষার উপায়

1. SSL সার্টিফিকেট ব্যবহার করুন। এটি ডেটা এনক্রিপ্ট করে, ইন্টারসেপ্ট করলেও হ্যাকার তা পড়তে পারবে না। এটি 'WordPress site not secure' সতর্কীকরণও দূর করবে।
2. ওয়ার্ডপ্রেস সিকিউরিটি প্লাগইন ব্যবহার করুন যাতে সন্দেহজনক কার্যক্রমের অ্যালার্ট মiledে এবং হ্যাক চেষ্টা ব্লক হয়।

৫. কুকি চুরি (Cookie Stealing)

আপনি লগইন করার সময় ব্রাউজার 'remember me' বা 'save password' অপশন দেয় যাতে বারবার লগইন করতে না হয়। ব্রাউজার কুকির মাধ্যমে এই ডেটা সংরক্ষণ করে। কুকি হলো ছোট ডেটা বিট যা দর্শকের ইন্টারঅ্যাকশন রেকর্ড করে—যেমন কোন প্রোডাক্ট সার্চ করা হয়েছে, কি কেনা হয়েছে। এনালিটিক্স এবং টার্গেটেড বিজ্ঞাপনে এটা ব্যবহার হয়। কুকিতে ব্যাংক ডিটেইল এবং ব্যক্তিগত তথ্যও থাকতে পারে।

যদি হ্যাকার আপনার সাইটের কুকি চুরি করতে পারে, তবে সে আপনার বিজনেস ও দর্শকদের সংবেদনশীল ডেটা অ্যাক্সেস করতে পারে এবং ক্রেডিট কার্ড দিয়ে প্রতারণা চালাতে পারে। আরও জানতে আমাদের Cookie Stealing and Session Hijacking গাইড পড়ুন।

কুকি চুরি ও সেশন হাইজ্যাকিং থেকে সাইট রক্ষার উপায়

• ওয়ার্ডপ্রেস কী এবং সল্ট নিয়মিত পরিবর্তন করুন। কী ও সল্ট ব্রাউজার কুকিতে সংরক্ষিত তথ্য এনক্রিপ্ট করে। এটি টেকনিক্যাল কাজ, MalCare-এর WordPress Hardening ফিচার ব্যবহার করুন। ড্যাশবোর্ড থেকে Security > WordPress Hardening > Change WordPress Security Keys and Salts এ যান।

• এখানেও SSL সার্টিফিকেট ইনস্টল করুন যাতে ওয়েবসাইটের ডেটা রক্ষা পায়।

এটা ছিল সবচেয়ে সাধারণ ওয়ার্ডপ্রেস আক্রমণগুলো। এবার আপনার সাইটকে আরও শক্তিশালী बनाने 위한 কিছু 'WordPress Hardening' ব্যবস্থা দেখি।

আপনার ওয়ার্ডপ্রেস সাইটকে আক্রমণের বিরুদ্ধে কঠোর করার উপায় (WordPress Hardening)

নির্দিষ্ট আক্রমণের বিরুদ্ধে নির্দিষ্ট ব্যবস্থা নেওয়ার পাশাপাশি কিছু সমগ্র সিকিউরিটি মেজার রয়েছে যাকে 'WordPress Hardening' বলা হয়। সংক্ষেপে নিচে দেওয়া হলো, বিস্তারিতের জন্য আমাদের WordPress Hardening গাইড পড়ুন।

১. ফাইল এডিটর নিষ্ক্রিয় করা

ওয়ার্ডপ্রেস ড্যাশবোর্ড থেকেই থিম ও প্লাগইন ফাইল এডিট করার ফিচার আছে। এটি মূলত ডেভেলপারদের জন্য। কিন্তু হ্যাকার আপনার wp-admin-এ প্রবেশ করলে এখান থেকে ম্যালিশিয়াস কোড ঢুকাতে পারে। আপনার প্রয়োজন না হলে এটি নিষ্ক্রিয় করুন।

২. প্লাগইন বা থিম ইনস্টলেশন নিষ্ক্রিয় করা

হ্যাকাররা প্রবেশ পেলে নিজেদের প্লাগইন/থিম ইনস্টল করে যাতে ব্যাকডোর থাকে। একাধিক ইউজার থাকলে কেউ অনিয়মিত প্লাগইন ইনস্টল করতে পারে। এটি রোধ করার জন্য প্লাগইন/থিম ইনস্টলেশন অপশন নিষ্ক্রিয় করুন।

৩. লগইন চেষ্টার সীমা নির্ধারণ

ব্রুট ফোর্স আক্রমণ রোধের জন্য লগইন চেষ্টার সংখ্যা সীমিত রাখুন (যেমন ৩ বা ৫ বার)।

৪. সিকিউরিটি কী এবং সল্ট পরিবর্তন

এই কী ও সল্ট ব্রাউজার কুকির তথ্য এনক্রিপ্ট করে। হ্যাকার কুকি চুরি করলেও এটা ছাড়া ডিক্রিপ্ট করতে পারবে না। নিয়মিত পরিবর্তন করলে কুকি চুরির ঝুঁকি কমে।

৫. অজানা ফোল্ডারে PHP এক্সিকিউশন ব্লক করা

ওয়ার্ডপ্রেস সাইটে নির্দিষ্ট ফাইল/ফোল্ডারেই কোড এক্সিকিউট হয়। হ্যাকাররা অজানা ফোল্ডারে PHP কোড ঢুকাতে পারে। অজানা ফোল্ডারে PHP এক্সিকিউশন নিষ্ক্রিয় করে এটি রোধ করা যায়।

এই ব্যবস্থাগুলো ম্যানুয়ালি করতে টেকনিক্যাল দক্ষতা দরকার। আমরা MalCare এর মতো প্লাগইন ব্যবহার করার পরামর্শ দিই যা কয়েক ক্লিকে এই সব কাজ করে দেয়।

এই ব্যবস্থাগুলো গ্রহণ করলে আমরা আশা করি আপনার ওয়ার্ডপ্রেস ওয়েবসাইট হ্যাকারদের কাছে নিরাপদ থাকবে।

শেষ কথা

হ্যাকাররা আপনার সাইটে ঢুকতে নানা পদ্ধতি ব্যবহার করে এবং নতুন নতুন পদ্ধতি আবিষ্কার করে! আপনাকে আপনার সাইটের নিরাপত্তা নিশ্চিত করতে সক্রিয় থাকতে হবে।

আমরা MalCare Security Plugin ব্যবহার করার পরামর্শ দিই। এটি হ্যাকার এবং ম্যালিশিয়াস বট ব্লক করে, আপনার সাইট ২৪/৭ মনিটর ও রক্ষা করে। নিশ্চিন্ত থাকুন, আপনার সাইট নিরাপদ হাতে।

MalCare Security Plugin দিয়ে হ্যাকিং প্রতিরোধ করুন!