আপনি কি RevSlider (Slider Revolution) প্লাগইন ব্যবহার করেন? আপনার থিমে এই প্লাগইন আপনার ওয়ার্ডপ্রেস ড্যাশবোর্ডে যোগ করা হয়েছিল? এই প্লাগইনে একটি গুরুতর ভালনারেবিলিটি পাওয়া গেছে যা আপনার ওয়ার্ডপ্রেস সাইটে আক্রমণের কারণ হতে পারে!
যখন একজন হ্যাকার আপনার ওয়ার্ডপ্রেস ওয়েবসাইটের নিয়ন্ত্রণ পায়, তারা সব ধরনের ম্যালিশিয়াস কাজ করে। তারা আপনার কাস্টমারদের ডেটা এবং পেমেন্ট ইনফরমেশন চুরি করে বা আপনার সাইটে ড্রাগ এবং غیرقانونিক পণ্য বিক্রি করে। তারা কাস্টমারদের তাদের নিজস্ব ম্যালিশিয়াস সাইটে রিডাইরেক্টও করে।
আপনি ভিজিটর এবং রेवিনিউ হারাবেন। আপনার সাইটের অ্যাডওয়ার্ডস অ্যাকাউন্ট সাসপেন্ড হবে। প্লাস, গুগল আপনার ওয়েবসাইট ব্ল্যাকলিস্ট করবে এবং আপনার ওয়েব হোস্ট ম্যালওয়্যার পাওয়া গেলে আপনার একাউন্ট সাসপেন্ড করবে।
তবে আপনাকে রেভস্লাইডার এক্সপ্লয়েট (RevSlider Exploit) নিয়ে চিন্তা করতে হবে না কারণ এটার ফিক্স আছে। আপনি আপনার ওয়েবসাইটকে হ্যাকারদের থেকে সুরক্ষিত রাখতে পারেন এই গাইড ফলো করলে।
আজ আমরা ওয়ার্ডপ্রেস রেভস্লাইডার এক্সপ্লয়েট নিয়ে বিস্তারিত আলোচনা করব। আমরা আপনাকে দেখাবো আপনি কী করতে পারেন আপনার সাইটকে হ্যাকারদের বিরুদ্ধে সুরক্ষিত রাখতে। আপনি শিখবেন কীভাবে একটি হ্যাক করা ওয়েবসাইট ফিক্স করতে হয়।
TL;DR: আপনার যদি রেভোলিউশন স্লাইডার প্লাগইন দিয়ে হ্যাক করা ওয়ার্ডপ্রেস ওয়েবসাইট থাকে, অবিলম্বে ম্যালক্যার ইনস্টল করুন। এটি আপনার ওয়েবসাইট স্ক্যান করবে হ্যাক বা কোনো ম্যালওয়্যার খুঁজে বের করতে। একবার ম্যালক্যার হ্যাক শনাক্ত করলে, আপনি কয়েক মিনিটের মধ্যে আপনার সাইট ক্লিন করতে পারবেন।
স্লাইডার রেভোলিউশন (Slider Revolution) কী?
স্লাইডার রেভোলিউশন, কখনো কখনো যাকে RevSlider বলা হয়, থিমপাঞ্চ (ThemePunch) তৈরি একটি রিভোলিউশনারি ওয়ার্ডপ্রেস প্লাগইন। এটি আপনাকে স্লাইডার এবং ক্যারousel, হিরো হেডার, স্পেশাল ইফেক্টস, এবং কন্টেন্ট মডিউল আপনার সাইটে যোগ করতে সক্ষম করে।
এটি আপনাকে কোডিং অভিজ্ঞতা ছাড়া এই সব করতে দেয়। একটি সিম্পল গ্যালারি বা একটি চমৎকার রেসপন্সিভ ওয়ার্ডপ্রেস ওয়েবসাইট বানানো সহজ। এইीलئے বিশ্বব্যাপী ৭ মিলিয়ন ব্যবহারকারী এই প্লাগইনে আস্থা রাখে!
রেভস্লাইডার এক্সপ্লয়েট (RevSlider Exploit): কী ঘটেছিল?
রেভস্লাইডার সময়ের সাথে তিনটি ভালনারেবিলিটি ডেভেলপ করেছে যার মধ্যে একটি XSS ভালনারেবিলিটি (ক্রস-সাইট স্ক্রিপ্টিং) এবং একটি মাস শেল আপলোড এক্সপ্লয়েট। এখানে, আমরা ২০১৪ সালে রেভস্লাইডার প্লাগইনে আবিষ্কৃত সবচেয়ে গুরুতর ভালনারেবিলিটিতে ফোকাস করব—ওয়ার্ডপ্রেস সোকসোক কমপ্রোমাইজ (WordPress SoakSoak Compromise)।
তাহলে রেভস্লাইডার এক্সপ্লয়েট কতটাই গুরুতর ছিল? হ্যাকাররা একটি ওয়েবসাইটের পূর্ণ অ্যাক্সেস পেতে পারত, ডেটাবেস এক্সপ্লয়েট করতে পারত, এবং অসाध्य ক্ষতি করতে পারত। তারা সাইট ব্যবহার করে গোপন ডেটা চুরি করত, কাস্টমারদের ফাঁসিয়ে দিত, গয়েনা পণ্য বিক্রি করত—ম্যালিশিয়াস কাজের একটি দীর্ঘ তালিকা!
এই ভালনারেবিলিটি টাইপ (SoakSoak) কে লোকাল ফাইল ইনক্লুশন (LFI) ও বলা হয়। এটি রিমোট আربیট্রারি ফাইল ডাউনলোড এবং আربیট্রারি ফাইল আপলোড অনুমতি দেয়। এর মানে, একজন আক্রমণকারী সার্ভারে একটি লোকাল ফাইল অ্যাক্সেস, রিভিউ, ডাউনলোড/আপলোড করতে পারে।
রিমোট আক্রমণকারী কীভাবে একটি ফাইল ডাউনলোড করতে পারে সেটা দেখানোর জন্য আমরা একটি উদাহরণ ইলাস্ট্রেট করেছি।
যদি example.com নামে একটি ওয়েবসাইটে স্লাইডার রেভোলিউশন ইনস্টল থাকে (প্লাগইন ভার্সন ৪.২ এবং নিচের), একজন হ্যাকার কনফিগ ফাইল ডাউনলোড করতে পারে। তারা নিচের URL কমান্ড হিসেবে ব্যবহার করবে:
https://example.com/wp-admin/admin-ajax.php?action=revslider_show_image&img=../wp-config.php
এটি হ্যাকারকে আপনার wp-config ফাইল দেখাবে যেটা আপনার ডেটাবেস ক্রেডেনশিয়াল প্লেইন টেক্সটে রাখে। এই ফাইলে কোনো এনক্রিপশন নেই তাই কেউই এটা পড়তে পারে ঠিক যেমন আপনি এই আর্টিকেল পড়ছেন।
এইভাবে, হ্যাকার ওয়েবসাইটের সার্ভার থেকে রিমোটলি যেকোনো ফাইল ডাউনলোড করতে পারে। তারা একটি PHP ফাইল আপলোড করেও পারেন এবং এটা ব্যবহার করে অথর প্রিভিলেজ এক্সপ্লয়েট করে অ্যাডমিন অ্যাক্সেস পেতে পারে।
ভালনারেবিলিটি পাবলিক না করে হ্যাকাররা মিলিয়ন সাইট টার্গেট করতে দেয়ার জন্য, থিমপাঞ্চ (ThemePunch) রেভস্লাইডার এক্সপ্লয়েট সাইলেন্টলি প্যাচ করল। কিন্তু এতে আরও সমস্যা হয়।
রেভস্লাইডার এক্সপ্লয়েট: কোথায় ভুল হয়েছিল?
ভালনারেবিলিটি আবিষ্কারের পর, থিমপাঞ্চ দ্রুত একটি প্যাচ রিলিজ করল কিন্তু সাইলেন্টলি। কেউ পাবলিক ঘোষণা করল না গাইডেন্স পাওয়ার উপর ভিত্তি করে।
আপনি যদি স্লাইডার প্লাগইন তাদের থেকে কেনেন, এতে একটি অটো-আপডেটার থাকে। তাই ভার্সন ৪.২ প্যাচের সাথে রিলিজ হলে, আপনার প্লাগইন আপনার কোনো ইন্টারভেনশন ছাড়া অটোমেটিক্যালি আপডেট হয়ে যেত।
তবে, প্লাগইনের ৭ মিলিয়নও বেশি ইনস্টল আছে। অনেক ওয়ার্ডপ্রেস থিম তাদের প্যাকেজের অংশ হিসেবে এটা অফার করে। এটি CodeCanyon-এর মত মার্কেটপ্লেসেও উপলব্ধ। আপনি যদি এই প্রিমিয়াম প্লাগইন এই মার্কেটপ্লেসগুলো থেকে কেনেন অথবা আপনার ওয়ার্ডপ্রেস থিমে এটি এমবেড করা থাকে, তবে আপনি আপডেট পাবেন না। আপনাকে আপডেট করতে হবে সেটা নিয়ে কোনো নোটিফিকেশনও পাবেন না।
এই জায়গায় ভুল হয়েছিল। ভালনারেবিলিটি ধীরে ধীরে পাবলিক হয়ে গেল এবং সক্রিয়ভাবে এক্সপ্লয়েট করা হলো। কিন্তু অনেক সাইট মালিক রেভস্লাইডার এক্সপ্লয়েট নিয়ে কোনো এলার্ট বা নোটিফিকেশন পাননি।
যদি রেভস্লাইডার এক্সপ্লয়েট হ্যাক করা ওয়েবসাইটের কারণ হয়, এখানে কীভাবে ফিক্স করতে হয় সেটা দেখানো হলো।
স্লাইডার রেভোলিউশন এক্সপ্লয়েট দিয়ে হ্যাক করা ওয়েবসাইট কীভাবে ফিক্স করবেন
আমরা আগে বোঝিয়েছি, একটি ওয়ার্ডপ্রেস রেভস্লাইডার আক্রমণে, হ্যাকাররা আপনার সার্ভারে অ্যাক্সেস পেতে পারে। তারা wp-config.php ফাইল দেখতে পারে যেটা ডেটাবেস ক্রেডেনশিয়াল ধারণ করে। তারা আربیট্রারি ফাইল ডাউনলোড করতে পারে এবং আপনার ওয়েবসাইট থেকে ডেটা চুরি করতে পারে। বরং, তারা ফেক অ্যাডমিন অ্যাকাউন্ট তৈরি করতে পারে এবং আপনার ওয়েবসাইটে ব্যাকডোর ইনস্টল করতে পারে।
নিজে হ্যাক করা সাইট ফিক্স করতে চাইলে এটা কার্যকর হবে না। হ্যাকাররা বুদ্ধিমানের সাথে তাদের ম্যালওয়্যার লুকিয়ে রাখে বা ভেসায় রাখে। শুধু ফ্রি হওয়া ছাড়া ম্যানুয়াল মেথডের অন্য কোনো সুবিধা আমরা খুঁজে পাইনি। আপনি যদি এটা করতেই চান, আমাদের গাইড চেক করতে পারেন how to fix hacked WordPress site-এ।
আমরা যা রিকমেন্ড করছি সেটা হলো একটি ওয়ার্ডপ্রেস সিকিউরিটি প্লাগইন ব্যবহার করা আপনার সাইট ক্লিন করতে। আজ, আমরা ম্যালক্যার সিকিউরিটি প্লাগইন সিলেক্ট করেছি আপনাকে দেখাতে কীভাবে একটি হ্যাক থেকে মুক্তি পাবেন। কারণ:
- এটি যেকোনো ধরনের ম্যালওয়্যার খুঁজে পেতে পারে, লুকানো বা ভেসা থাকলেও। ম্যালক্যার কোডের আচরণ চেক করে এবং এটা এটি নির্ধারণ করতে সাহায্য করে যে এটা ম্যালিশিয়াস কিনা।
- ম্যালক্যার আপনার ওয়ার্ডপ্রেস সাইটের গভীর স্ক্যান করে। এতে সকল ফাইল এবং ডেটাবেস রয়েছে।
- ম্যালওয়্যার থাকলে, এটি একটি রিপোর্ট দেখাবে কতগুলো ইনফেক্টেড ফাইল পাওয়া গেছে।
- অন্য ওয়ার্ডপ্রেস প্লাগইন ঘন্টা দিন লাগাতে পারে একটি সাইট ক্লিন করতে, ম্যালক্যারের Auto-Clean অপশন রয়েছে। এটা কয়েক মিনিট নেয়।
ম্যালক্যার সিকিউরিটি প্লাগইন কীভাবে ব্যবহার করবেন
আপনার ওয়ার্ডপ্রেস সাইটে ম্যালক্যার সেটআপ করা সহজ এবং কয়েকটি সিম্পল স্টেপ নেয়:
নোট: আপনি যদি আপনার ওয়ার্ডপ্রেস সাইটে অ্যাক্সেস না করতে পারেন এবং প্লাগইন ইনস্টল না করতে পারেন, আমাদের টিমের সাথে যোগাযোগ করুন অথবা আমাদের ইমার্জেন্সি ক্লিন আপ সার্ভিস ব্যবহার করুন।
১. আপনার সাইটে ম্যালক্যার ইনস্টল করুন।
২. আপনার সাইটকে ড্যাশবোর্ডে অ্যাড করুন।
৩. একবার হয়ে গেলে, ডিপ স্ক্যান অটোমেটিক্যালি চালু হয়ে যাবে। আপনি যদি ইতিমধ্যে ম্যালক্যার ইউজার হন, ড্যাশবোর্ডে, Security > Scan Site-এ যান।
৪. ম্যালওয়্যার পাওয়া গেলে, আপনি একটি প্রম্পট দেখবেন এরকম:
৫. আপনি 'Auto-clean' সিলেক্ট করতে পারেন ক্লিনিং প্রক্রিয়া শুরু করতে।
৬. এটা কয়েক মিনিট নেবে এবং কমপ্লিট হলে আপনাকে নোটিফিকেশন পাবেন। আমরা পরামর্শ দিচ্ছি আপনার ওয়েবসাইট ভিজিট করে দেখুন সব কিছু নরমাল কিনা।
ম্যালক্যার খুব কাজের যদি আপনাকে একাধিক ওয়েবসাইট ম্যানেজ করতে হয় কারণ আপনি সকল সাইটকে একটি ড্যাশবোর্ডে অ্যাড করতে পারবেন।
এই ধরনের লোকাল ফাইল ইন্ট্রুশন (LFI) আক্রমণ সংবেদনশীল তথ্য যেমন আপনার ডেটাবেস ক্রেডেনশিয়াল কম্পromise করে। তাই, আমরা আপনার সাইট ক্লিন করার পর কিছু আরো ধাপ রিকমেন্ড করছি।
আপনি যদি সন্দেহ করেন একটি আড়াল প্লাগইন আপনার সাইটে আক্রমণের কারণ হতে পারে, ম্যালক্যার ব্যবহার করে আপনার ওয়েবসাইট স্ক্যান করুন। Click to Tweet
রেভস্লাইডার এক্সপ্লয়েট আক্রমণের পর অনুরক্ষণ
আমরা পরামর্শ দিচ্ছি এই ধাপগুলো নিন যাতে আপনার স্লাইডার রেভোলিউশন রেসপন্সিভ ওয়েবসাইট ভবিষ্যতের আক্রমণ থেকে সুরক্ষিত থাকে:
- স্লাইডার রেভোলিউশন প্লাগইনকে সর্বশেষ ভার্সনে আপডেট করুন।
- আপনি যদি ওয়ার্ডপ্রেস থিম প্যাকেজ ব্যবহার করেন যাতে স্লাইডার রেভোলিউশন থাকে, আপনার থিম ডেভেলপারদের সাথে যোগাযোগ করুন এবং নিশ্চিত করুন তারা আপনার জন্য প্লাগইন আপডেট করে।
- আপনার wp-config ফাইল এক্সেস করুন এবং আপনার ডেটাবেস পাসওয়ার্ড পরিবর্তন করুন। আপনাকে এটি ম্যানুয়ালি cPanel বা FTP দিয়ে করতে হবে।
- আপনার সাইটে ইনস্টল করা ওয়ার্ডপ্রেস প্লাগইন এবং থিমের তালিকা চেক করুন। যেগুলো আপনি চেনেন না বা আর ব্যবহার করেন না সেগুলো ডিলিট করুন। এছাড়া নিয়মিত আপনার সাইটের থিম এবং প্লাগইন স্ক্যান করুন।
- আপনার ওয়ার্ডপ্রেস ড্যাশবোর্ডের ইউজার অ্যাকাউন্ট চেক করুন। যেগুলো আপনি চেনেন না সেগুলো ডিলিট করুন।
- সকল ইউজার অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করুন।
- রিকমেন্ডেড ওয়ার্ডপ্রেস হার্ডেনিং মেজার ইম্প্লিমেন্ট করুন।
- আপনার ওয়ার্ডপ্রেস সাইটে নিয়মিত পেনিট্রেশন টেস্ট চালান। আপনি কালি লিনাক্স (Kali Linux) ব্যবহার করতে পারেন।
রেভস্লাইডার (RevSlider) এর ভালনারেবিলিটি এক্সপ্লয়েট প্রতিরোধ
আপনি যদি রেভস্লাইডার প্লাগইন ব্যবহার করেন, আপনার সাইটকে এক্সপ্লয়েট থেকে বাঁচাতে, আপনাকে অবিলম্বে আপনার প্লাগইন আপডেট করতে হবে! নিশ্চিত করুন আপনার ওয়ার্ডপ্রেস সাইট স্লাইডার রেভোলিউশনের সর্বশেষ ভার্সন রান করছে।
আপনি যদি আপনার ওয়ার্ডপ্রেস ড্যাশবোর্ড থেকে আপডেট অপশন না দেখেন, আপনাকে আড়াল ভার্সনগুলো আনইনস্টল করে নতুন ভার্সন রি-ইনস্টল করতে হবে। অথবা, ডেভেলপারদের সাথে যোগাযোগ করুন প্লাগইন আপডেট করার গাইডেন্স পেতে।
আপনি যদি একটি ওয়ার্ডপ্রেস থিম প্যাকেজ ব্যবহার করেন, চেক করুন আপনার প্যাকেজে রেভোলিউশন স্লাইডার বান্ডেল করা আছে কিনা। অধিকাংশ ওয়ার্ডপ্রেস থিম প্যাকেজে অটো-আপডেটার থাকে। আপনার থিমের সাপোর্ট টিমের সাথে যোগাযোগ করুন আপডেট করতে হেল্প পেতে।
আমরা আশ্বস্ত যে আপনার ওয়ার্ডপ্রেস ওয়েবসাইট কোনো ভবিষ্যতের হ্যাক অটেম্পট থেকে প্রোটেক্টেড থাকবে যদি আপনি উপরের মেজারগুলো নেন।
আপনি যদি আপনার ওয়ার্ডপ্রেস সাইটে স্লাইডার রেভোলিউশন প্লাগইন ব্যবহার করেন, এই গাইড চেক আউট করুন আপনার ওয়েবসাইটকে ভালনারেবিলিটি থেকে সুরক্ষিত রাখতে! Click to Tweet
উপসংহার
রেভস্লাইডার এক্সপ্লয়েট ওয়ার্ডপ্রেস ওয়েবসাইটে হাজার হাজার আক্রমণের কারণ হয়েছিল। ডেভেলপাররা সাইলেন্টলি প্যাচ রিলিজ করলো বলে অনেক ওয়েবসাইট ব্লিসফুলি অনয়ারে ছিল যে তাদের সাইট আড়াল এবং টার্গেট হচ্ছে।
এই পরিস্থিতি বোঝায় কতটা গুরুত্বপূর্ণ নিজের Offen시ভ সিকিউরিটি মেজার নেওয়া। ম্যালক্যার সিকিউরিটি প্লাগইন আপনার সাইটে ইনস্টল থাকলে, আপনি নিশ্চিন্ত থাকতে পারেন যে আপনার সাইট ম্যালিশিয়াস এক্টিভিটি থেকে প্রোটেক্টেড। এর বাস্ট ফায়ারওয়াল এবং লগইন পেজ প্রোটেকশন মেজার ওয়েবসাইটকে ব্রুট ফোর্স আক্রমণ, ফিশিং হ্যাক, ইত্যাদি থেকে রক্ষা করে। এটি আপনার ওয়েবসাইট নিয়মিত স্ক্যান করবে এবং সার্বক্ষণ রক্ষা করবে।
ম্যালক্যারের সাথে আপনার ওয়ার্ডপ্রেস সাইট রক্ষা করুন
