আপনি কি চিন্তিত যে হ্যাকাররা আপনার ওয়ার্ডপ্রেস ওয়েবসাইট আক্রমণ করবে? আমরা আশা করি আমরা আপনাকে চিন্তা না করতে বলতে পারতাম তবে সত্য হল ওয়ার্ডপ্রেস ওয়েবসাইটগুলি ক্রমাগত হ্যাকারদের দ্বারা লক্ষ্যবস্তু হয়। এটি মূলত এর জনপ্রিয়তার কারণে কারণ ওয়ার্ডপ্রেস ইন্টারনেটের সমস্ত ওয়েবসাইটের এক তৃতীয়াংশকে ক্ষমতা দেয়৷
যদিও ওয়ার্ডপ্রেস নিজেই একটি নিরাপদ ওয়েবসাইট বিল্ডিং প্ল্যাটফর্ম, এটি একা কাজ করে না। একটি ওয়ার্ডপ্রেস সাইট চালানোর জন্য আপনার প্লাগইন এবং থিম প্রয়োজন। প্লাগইন এবং থিমগুলি প্রায়ই দুর্বলতা তৈরি করে যা হ্যাকাররা একটি ওয়েবসাইট হ্যাক করার জন্য শোষণ করে৷
একবার তারা আপনার ওয়েবসাইটে অ্যাক্সেস পেয়ে গেলে, তারা সংবেদনশীল তথ্য চুরি করা, গ্রাহকদের প্রতারণা করা এবং অবৈধ সামগ্রী প্রদর্শনের মতো সমস্ত ধরণের ক্ষতিকারক কার্যকলাপ চালায়। ইতিমধ্যে, আপনার সাইট অনুসন্ধান ফলাফলে সতর্কতা সহ পতাকাঙ্কিত হতে পারে বা Google দ্বারা কালো তালিকাভুক্ত হতে পারে, অথবা এমনকি আপনার ওয়েবহোস্ট দ্বারা সাসপেন্ড করা হতে পারে৷ এই সব দর্শনার্থী এবং রাজস্ব ক্ষতির দিকে পরিচালিত করে।
যদিও ওয়ার্ডপ্রেস ডেভেলপাররা প্ল্যাটফর্মকে সুরক্ষিত রাখে যেমনটা হতে পারে, ওয়ার্ডপ্রেস সাইটের মালিকদেরও নিজেরাই ব্যবস্থা নিতে হবে। এই নিবন্ধে, আমরা ওয়ার্ডপ্রেস সাইটগুলিতে সবচেয়ে সাধারণ আক্রমণ এবং আপনি তাদের বিরুদ্ধে যে প্রতিরোধমূলক ব্যবস্থা গ্রহণ করতে পারেন তা নিয়ে আলোচনা করি৷
TL;DR: আপনি যদি আপনার ওয়ার্ডপ্রেস ওয়েবসাইট হ্যাকারদের আক্রমণ করার বিষয়ে চিন্তিত হন, আপনি অবিলম্বে ওয়েবসাইট সুরক্ষা ব্যবস্থা নিতে পারেন। আপনি আমাদের ওয়ার্ডপ্রেস নিরাপত্তা প্লাগইন MalCare ইনস্টল করতে পারেন. এটি প্রতিদিন আপনার সাইট স্ক্যান করবে এবং নিরীক্ষণ করবে এবং হ্যাকারদের প্রবেশ করার চেষ্টা করা থেকে ব্লক করবে।
হ্যাকারদের জন্য ওয়ার্ডপ্রেস একটি জনপ্রিয় লক্ষ্য কেন?
ওয়ার্ডপ্রেস হল একটি ওয়েবসাইট বিল্ডিং প্ল্যাটফর্ম যা যেকেউ কোড করতে না জেনে ওয়েবসাইট তৈরি করতে সক্ষম করে। তাছাড়া, ওয়ার্ডপ্রেস বিনা মূল্যে।
ফলস্বরূপ, প্ল্যাটফর্মটি আজ 1.3 বিলিয়ন সক্রিয় সাইটগুলিকে শক্তি দিচ্ছে৷
৷এই সবের নেতিবাচক দিক হল যে ওয়ার্ডপ্রেস ওয়েবসাইটগুলি অন্য যেকোন প্ল্যাটফর্মে নির্মিত ওয়েবসাইটের চেয়ে বেশি টার্গেট করা হয়৷
৷এখন হ্যাকাররা আপনার সাইটে প্রবেশ করতে পারে এমন একাধিক উপায় রয়েছে। আমরা এটিকে 5টি সবচেয়ে সাধারণের মধ্যে সংকুচিত করেছি। আমরা ব্যাখ্যা করব কী ঘটবে এবং কীভাবে আপনি এটির বিরুদ্ধে আপনার ওয়ার্ডপ্রেস সাইটকে রক্ষা করতে পারেন।
5 ওয়ার্ডপ্রেস ওয়েবসাইটে সবচেয়ে সাধারণ আক্রমণ
1. দুর্বল প্লাগইন এবং থিম
একটি ওয়ার্ডপ্রেস সাইট তিনটি উপাদান ব্যবহার করে তৈরি করা হয় - মূল ইনস্টলেশন, থিম এবং প্লাগইন। তিনটি উপাদানই একটি সাইটকে হ্যাকের জন্য ঝুঁকিপূর্ণ করে তোলার সম্ভাবনা রাখে।
বহু বছর ধরে, ওয়ার্ডপ্রেস কোরে কোনও বড় দুর্বলতা নেই। এটি অত্যন্ত অভিজ্ঞ এবং যোগ্যতাসম্পন্ন বিকাশকারীদের একটি দল দ্বারা রক্ষণাবেক্ষণ করা হয়। তারা প্ল্যাটফর্মটি সম্পূর্ণ সুরক্ষিত নিশ্চিত করার জন্য কঠোর পরিশ্রম করে তাই সেখানে আপনার চিন্তা করার কিছু নেই।
যাইহোক, ওয়ার্ডপ্রেস প্লাগইন এবং থিম থার্ড-পার্টি ডেভেলপারদের দ্বারা তৈরি করা হয় এবং তারা প্রায়ই ওয়ার্ডপ্রেসের দুর্বলতা তৈরি করে।
যখন ডেভেলপাররা কোনো দুর্বলতা খুঁজে পান, তারা তাৎক্ষণিকভাবে তা ঠিক করে এবং একটি আপডেট সংস্করণ প্রকাশ করে।
আপনাকে, সাইটের মালিক, সর্বশেষ সংস্করণে আপডেট করতে হবে এবং আপনার সাইট সুরক্ষিত থাকবে। এই ধরনের নিরাপত্তা আপডেট অবিলম্বে ইনস্টল করা গুরুত্বপূর্ণ। কারণ ডেভেলপাররা যখন একটি আপডেট প্রকাশ করে, তারা আপডেটের কারণও প্রকাশ করে। এইভাবে, দুর্বলতা জনসাধারণের কাছে ঘোষণা করা হয়৷
৷এর মানে হ্যাকাররা এখন জানে যে একটি দুর্বলতা বিদ্যমান। তারা আরও জানে যে সমস্ত সাইটের মালিক অবিলম্বে তাদের সাইট আপডেট করে না। তাই একবার তারা জানতে পারে যে একটি প্লাগইন বা থিম দুর্বল, তারা ইন্টারনেট ক্রল করার জন্য বট এবং স্ক্যানার প্রোগ্রাম করে এবং সেগুলি ব্যবহার করছে এমন সাইটগুলি খুঁজে বের করে৷ দুর্বলতা ঠিক কী তা জানা তাদের পক্ষে শোষণ করা, ব্রেক ইন করা এবং ম্যালওয়্যার যেমন wp ফিড ম্যালওয়্যার ইত্যাদি সন্নিবেশ করা সহজ করে তোলে;।
ভালনারেবল প্লাগইন এবং থিমগুলির বিরুদ্ধে আপনার সাইটকে কীভাবে রক্ষা করবেন
- শুধুমাত্র বিশ্বস্ত থিম এবং প্লাগইনগুলি ব্যবহার করুন যা ওয়ার্ডপ্রেসের সংগ্রহস্থলে বা থিমফরেস্ট এবং কোড ক্যানিয়নের মতো মার্কেটপ্লেসগুলিতে পাওয়া যায়৷
- নিয়মিত আপনার প্লাগইন তালিকা চেক করুন এবং শুধুমাত্র আপনি যেগুলি ব্যবহার করেন তা রাখুন৷ আপনার প্রয়োজন নেই বা নিষ্ক্রিয় আছে এমন যেকোনো একটি মুছুন।
- Scan your theme regularly and Ideally, you should keep only the theme that you are actively using.
- Never use pirated themes and plugins. They usually contain malware that will infect your website.
- Ensure you recognise all the plugins and themes on your site. Sometimes hackers install their own plugins and themes that have website backdoors installed. This gives them a secret access to your site.
2. Brute Force Attacks
To login to your WordPress site, you need to enter your login credentials i.e., a username and password.
Many times, WordPress site owners use usernames and passwords that are easy to remember. Many WordPress users retain the default username ‘admin’. Common passwords include ‘password123’ or ‘1234567’.
Hackers are well aware of this and attack the login page of WordPress sites.
They create a database of commonly used usernames and passwords. Next, they program bots to target WordPress sites and attempt different combinations present in their database.
If your login credentials are weak, the bots have a high chance of guessing it and breaking into your site. This is known as ‘Brute Force Attacks’ and is estimated that they have a 10% success rate!
How to Protect Your site Against Brute Forcing
There are a couple of steps you can take to secure your site against brute force attacks:
- By default, your WordPress username is admin. You can change it from admin to something more unique.
- Use a strong WordPress password. We suggest using a passphrase in combination with numerals and symbols such as Birdsofafeather123$.
- Use unique credentials that you have not used on other websites.
- Limit the number of login attempts on your site. This means a WordPress user will have only limited chances to enter the right credentials such as 3 attempts or 5 attempts. After this, they will need to use the ‘forgot password’ option. You can install our MalCare security plugin on your site and it will automatically implement this login protection for you.
- Use two-factor authentication wherein a WordPress user has to enter their credentials along with a one-time password that is generated on their smartphones or sent to their registered email address.
3. Injection Attacks
Almost every website has an input field like a contact form, a site search bar, or a comments section that enables visitors to enter data. Some websites also allow visitors to upload documents and image files.
Usually this data is accepted and sent to your database to be processed and stored. These fields need proper configuration to validate and sanitise the data before it goes to your database. This will ensure that only valid data is accepted. If these measures are lacking, hackers exploit it and enter malicious code.
Let’s take an example of a WordPress site that has a contact form on it. Ideally this form should accept a name, an email address, and a phone number.
- The name field should accept only letters of the alphabet.
- The email address field should accept a valid email address format such as [email protected].
- The phone number field should contain only digits.
Now if these configurations aren’t in place, a hacker can insert malicious scripts such as:
String userLoginQuery =
"SELECT user_id, username, password_hash FROM users WHERE username = '"
+ request.getParameter("user") + "'";
This is a code that’ll command the database to execute certain functions. In this way, hackers are able to run malicious scripts on your site which they can use to gain full control of your site.
The most popular injection attacks on WordPress sites include SQL injection attacks and Cross-Site Scripting.
How to Protect Your Website Against Injection Attacks
- Many injection attacks stem from themes and plugins that enable visitor input on your site. We suggest using only trusted themes and plugins. Next, keep your plugins and theme up to date always.
- Control field entries and data submissions. This is technical and would require a developer’s assistance.
- Use a WordPress firewall. If you’ve installed MalCare on your site, it automatically puts up a robust firewall to defend your site against hackers.
4. Phishing and Data Theft
Visitors interact with your website in different ways. Some of them just read your blog posts, others contact you through your contact from, and so on. If you run an ecommerce site then many visitors buy items from your website. This means they need to log into your website and enter credit card information.
When someone enters credit card information to your site, it transfers and stores the information on your site server. This information can be intercepted while it’s being transferred. Moreover, the credit card data can be stolen.
They may also break into your website and pose as you. They send emails or redirect visitors to other websites and trick them into revealing personal data and payment information.
How To Protect Your Site From Phishing and Data Theft
- Use an SSL certificate. This will encrypt the data that’s being transferred from and to your site. Even if a hacker intercepts it, they cannot use it as they won’t be able to decipher it. Refer to our guide on using SSL and HTTPS. It will also remove WordPress site not secure warning on your site.
- Use a WordPress Security Plugin to receive alerts if there’s any suspicious activity on your website. The plugin will also block hack attempts.
5. Cookie Stealing
Have you noticed that when you log into a site, your browser requests to ‘remember me’ or ‘save password’? This is done so that you don’t have to enter your login credentials every time you want to access a website. You can opt to allow the browser to save your login details.
Browsers can save such data because of cookies. Cookies are tiny bits of data that record a visitor’s interaction with a website. For instance, if you run an online store, your site might track a customer’s journey such as what product they searched for and what they purchased. This data is used in analytics and also advertisers tailor ads to the visitor’s preference. Now, cookies can also store bank details and personal information.
If a hacker is able to steal your website’s cookies, they can access sensitive data of your business and your visitors. They can exploit this data to carry out their malicious acts such as defrauding customers by using their credit card information.
You can read up more on this in our easy guide to Cookie Stealing and Session Hijacking.
How To Protect Your Site From Cookie Stealing and Session Hijacking
- Change your WordPress keys and salts regularly. Keys and salts provide secure encryption of the information stored in the browser’s cookies. This measure is technical in nature. We recommend using MalCare’s WordPress hardening feature to change your keys and salts. From the MalCare dashboard, access Security> WordPress hardening> Change WordPress Security Keys and Salts.
- Here too, we recommend installing an SSL certificate to protect your website’s data.
That brings us to an end on the most common WordPress Attacks. Before we wrap up, we’d like to show you a few WordPress hardening measures that will make your site stronger against such attacks.
How To Harden Your WordPress Site Against Attacks ?
While you can take specific measures to protect your website against certain attacks, there are some overall security measures you can implement on your site for better protection. These are called WordPress hardening measures. We’ve explained it in brief here, but you can read our in-depth guide on WordPress Hardening for more detailed explanations.
1. Disabling the file editor
WordPress has a feature that enables you to edit theme and plugin files directly from the dashboard. Many website owners don’t need this feature, it is mostly used by developers. But if a hacker breaks into your wp-admin dashboard, they can insert malicious code into your theme and plugin files. Thus, if you don’t need this feature, it can be disabled.
2. Disabling plugin or theme installations
When hackers can access your site, they install their own plugins or themes. These plugins and themes are usually malicious and contain backdoors. This gives hackers a secret entry into your site.
Plus, as we mentioned, vulnerable themes and plugins are a top cause of hacked sites. If you have multiple users on your website, they may install a plugin or theme that isn’t secure. This can open up your site to hackers. If you want to avoid this, you can disable plugin and theme installations on your site.
If you don’t regularly install plugins and themes on your site, you can disable the installation option.
3. Limiting login attempts
As we mentioned before, you can limit the number of chances a WordPress user has to enter the correct login credentials to enter the site. This eliminates the risk of brute force attacks.
4. Changing security keys and salts
Keys and salts encrypt the information stored in your browser. So even if a hacker manages to steal your cookies, they can’t decipher it. However, if a hacker accesses these keys and salts, they can use it to decrypt the cookies. Regularly changing your keys and salts can help avoid cookie theft.
5. Blocking PHP execution in unknown folders
There are only certain files and folders on your WordPress site that execute code. Other folders only store information such as your Uploads folder that stores images and videos.
However, when a hacker gains access to your website, they insert php code into random folders or even create their own folders.
You can block such activity by disabling PHP executions in unknown folders.
Implementing these measures requires technical expertise. We don’t recommend doing it manually. It’s much safer and easier to use a plugin like MalCare that lets you do this in just a few clicks.
With that, we’re confident your WordPress website is secured and protected against hackers.
Final Thoughts
Hackers have a multitude of ways to break into your WordPress site and they come up with new ones ever so often!
You need to take your security measures to protect your website and ensure it’s safe against hack attacks.
We recommend using our MalCare Security Plugin to secure your WordPress site. It will block hackers and malicious bots from accessing your site. You can rest assured your site is being monitored and protected.
Prevent Hacks With our MalCare Security Plugin !
