আপনার ওয়েবসাইট কি ধীর হয়ে গেছে এবং কোনো কারণ ছাড়া ট্রাফিক কমে গেছে? আপনার ওয়েবসাইট কি অনিচ্ছাকৃত অ্যাড দেখাচ্ছে? আপনি কি আপনি ইনসার্ট না করলেও পপ-আপ দেখছেন? হয়তো আপনার ওয়ার্ডপ্রেসে X-XSS-প্রোটেকশন দরকার।
এটি আপনার ওয়ার্ডপ্রেস সাইটে XSS আক্রমণের ফলাফল হতে পারে। এই আক্রমণগুলো khá সাধারণ কিন্তু এর প্রভাব ভয়ঙ্কর।
CVE Details ২০০৯ সাল থেকে ৯,৯০৩টি বড় XSS আক্রমণ রেকর্ড করেছে। কিন্তু কতগুলো আক্রমণ রিপোর্ট হয়নি সেটা বলা যায় না।
হ্যাকাররা XSS এক্সপ্লয়েট ব্যবহার করে ডেটা চুরি করে, নিজেদের বিজ্ঞাপন ডিসপ্লে করে (সাধারণত গয়েনা ড্রাগ বা অডাল্ট কন্টেন্ট), আপনার কাস্টমারদের ফাঁসিয়ে দেয়—ম্যালিশিয়াস এক্টিভিটির একটি দীর্ঘ তালিকা।
তবে আপনাকে চিন্তা করার দরকার নেই কারণ আপনার ওয়েবসাইটকে XSS থেকে রক্ষা করার সহজ উপায় আছে। আজ আমরা দেখবো কীভাবে ওয়ার্ডপ্রেসে X-XSS প্রোটেকশন হেডার অ্যাড করবেন কারণ এটি যেকোনো XSS অটেম্পট বাধ্যতামূলকভাবে ব্লক করবে।
আপনি শিখবেন এই রেসপন্স হেডারগুলো কী এবং কীভাবে ইম্প্লিমেন্ট করতে হয়। তারপর আমরা আপনাকে আরো কিছু ওয়ার্ডপ্রেস সিকিউরিটি টিপস দিবো যাতে আপনার ওয়ার্ডপ্রেস ওয়েবসাইট XSS এবং যেকোনো আক্রমণের বিরুদ্ধে রক স olid হয়ে যায়!
TL;DR: আমাদের সার্বিক ম্যালক্যার সিকিউরিটি সলিউশন দিয়ে আপনার ওয়ার্ডপ্রেস ওয়েবসাইটকে XSS আক্রমণ এবং যেকোনো ফর্মের ম্যালওয়্যার থেকে রক্ষা করুন। প্লাগইনটি আপনার ওয়ার্ডপ্রেস ওয়েবসাইটে ইনস্টল করুন এবং নিশ্চিন্ত থাকুন আপনার সাইট নিয়মিত মনিটর এবং স্ক্যান হচ্ছে যেকোনো ম্যালিশিয়াস আক্রমণের বিরুদ্ধে রক্ষা পেতে।
ওয়ার্ডপ্রেসে XSS (ক্রস-সাইট স্ক্রিপ্টিং) কী?
ক্রস-সাইট স্ক্রিপ্টিং (XSS) হলো একটি ইনজেকশন আক্রমণের ধরন যেখানে হ্যাকাররা একটি ওয়েবসাইটে ইউজার ইনপুট থেকে উদ্ভূত সিকিউরিটি ভালনারেবিলিটি এক্সপ্লয়েট করে। একটি ইউজার ইনপুট হতে পারে যেকোনো এরিয়া যা ওয়েবসাইট ইউজার থেকে ডেটা গ্রহণ করে যেমন একটি সাইট সার্চ বার, একটি কমেন্ট সেকশন, একটি কন্ট্যাক্ট ফর্ম, বা একটি লগইন ফিল্ড।
তারা এই ফিল্ডগুলতে ব্যবহারকারী কী ধরনের ইনফরমেশন এন্টার করতে পারে সেটার সুবিধা নেয় বিভিন্ন উপায়ে। তাই ক্রস-স্ক্রিপ্টিং আক্রমণের বিভিন্ন ধরন রয়েছে। এখানে, আমরা দুটি সবচেয়ে সাধারণ XSS আক্রমণের বيك্ত 알아보겠নিদা:
স্টোরড বা পারসিস্টেন্ট XSS আক্রমণ
এই ধরনের আক্রমণ একটি ওয়েবসাইটের ভিজিটরদের টার্গেট করে। কীভাবে হয় সেটা দেখি।
ধরুন examplesite.com তাদের ওয়েবসাইটে ইউজার ইনপুট গ্রহণ করে ব্লগ পোস্টে কমেন্টের মাধ্যমে। একজন ভিজিটর তাদের মতামত শেয়ার করতে পারে এবং কমেন্ট লিখে প্রশ্ন করতে পারে। কমেন্ট সাবমিট হওয়ার পর, এটি ডেটাবেসে পাঠানো হয় এবং স্টোর হয়।
সাধারণত, এই কমেন্ট ফিল্ডে কনফিগারেশন থাকা উচিত যাতে ডেটা ডেটাবেসে যাওয়ার আগে ভ্যালিডেট হয়।
কিন্তু কনফিগারেশন ঠিক না হলে, এটি একটি রেগুলার টেক্সট কমেন্ট এবং একটি লাইন কোডের পার্থক্য বুঝতে পারবে না।
তাহলে, ধরি একজন হ্যাকার বুঝতে পেরেছে এই সাইটের কমেন্ট সেকশন যেকোনো ইনপুট এক্সেপ্ট করছে। তারা একটি জাভাস্ক্রিপ্ট কোড লিখতে পারে কিন্তু আউটপুট দেখাবে একটি রেগুলার কমেন্টের মতো।
ওয়েবসাইট মালিক যা লক্ষ্য করতে পারেন না সেটা হলো হ্যাকার একটি "Click me" বাটনও যোগ করতে পারছে, যা আদর্শভাবে অ্যালাউড হওয়া উচিত নয়।
পরবর্তীতে, ওয়েবসাইটের একজন রেগুলার ভিজিটর (টার্গেট) এই পেজে ল্যান্ড করে। যদি এই ইউজার বাটনে ক্লিক করে, ম্যালিশিয়াস কোড রান করবে এবং ভিজিটরের ব্রাউজার ইনফেক্ট করবে। হ্যাকার তারপর ভিজিটরের ব্রাউজার কুকি থেকে ডেটা এক্সট্রাক্ট করতে পারবে।
কুকি সব ধরনের ইনফরমেশন স্টোর করে যেমন স্টোরড লগইন ক্রেডেনশিয়াল, ক্রেডিট কার্ড ইনফরমেশন, বা পারসোনাল ডেটা। আপনি যখন একটি ওয়েবসাইটে লগইন করেন, আপনি একটি পপ-আপ দেখবেন যা জিজ্ঞাসা করছে ব্রাউজার পাসওয়ার্ড মনে রাখবে কিনা:
এখন একজন রেগুলার ইউজার (টার্গেট) সাধারণত ব্রাউজারে একাধিক ট্যাব খোলা রাখে যেমন ফেসবুক, ইমেইল, শপিং সাইট, ওয়ার্ক ওয়েবসাইট, ইউটিউব, ইত্যাদি। যদি হ্যাকার XSS আক্রমণ চালাতে সক্ষম হয়, তারা ব্রাউজারে খোলা সকল সাইটের কুকি চুরি করবে। এইीलেও এটাকে 'ক্রস-সাইট' বলা হয়। তারা এই ইনফরমেশন ব্যবহার করে কাস্টমারকে ফাঁসিয়ে দেয় বা বড় আক্রমণ চালায়।
যদিও এই আক্রমণ সরাসরি আপনার ওয়েবসাইটকে প্রভাবিত করে না, এর ফলাফল গুরুতর। এটি আপনার প্রতিটি ভিজিটরকে জুয়পে ফেলে। প্লাস, গুগল দ্রুত আপনার সাইট ব্ল্যাকলিস্ট করবে এবং আপনার ওয়েব হোস্ট আপনার হোস্টিং একাউন্ট সাসপেন্ড করবে।
রিফ্লেক্টিভ বা নন-পারসিস্টেন্ট XSS আক্রমণ
এই আক্রমণে, হ্যাকাররা ওয়েবসাইটকেই টার্গেট করে অ্যাক্সেস পেতে। কীভাবে কাজ করে সেটা দেখান:
ধরুন আপনার ওয়েবসাইটে একটি সার্চ ট্যাব আছে যেখানে কাস্টমাররা দ্রুত খুঁজে পায় যা তারা চায়। এই ট্যাবে শুধু アルফাবেটের অক্ষর এক্সেপ্ট করা উচিত। কিন্তু এটা সঠিকভাবে কনফিগার করা নেই এবং স্পেশাল ক্যারেক্টার এবং নাম্বারও এক্সেপ্ট করে। সাইটের সার্চ ইঞ্জিন ইউজারের টেক্সট ইনপুট এবং হ্যাকারর ডালা ম্যালিশিয়াস কোডের পার্থক্য বুঝতে পারবে না।
একবার ইনসার্ট হলে, ম্যালিশিয়াস কোড ওয়েবসাইটের ডেটাবেসে চলে যায় এবং এক্সিকিউট হয়। সেটা হলে, হ্যাকার ওয়েবসাইটে অ্যাক্সেস পায় এবং তাদের ম্যালিশিয়াস কাজগুলো শুরু করতে পারে! আরো বুরা, তারা আপনার ওয়েবসাইট ব্যবহার করে বড় হ্যাক আক্রমণ চালাতে পারে যেমন DDoS আক্রমণ।
এখন আমরা জানি কতটাই গুরুতর হতে পারে XSS আক্রমণ এবং আমাদের ওয়েবসাইটকে এ থেকে রক্ষা করার কেন দরকার। তাহলে ডুব যাই HTTP সিকিউরিটি হেডার কেন XSS আক্রমণ প্রতিরোধ করে সেটা বুঝতে।
HTTP সিকিউরিটি হেডার কী?
HTTP মানে Hypertext Transfer Protocol যা ডিফাইন করে কীভাবে মেসেজ ফরম্যাট এবং ইন্টারনেটে ট্রান্সমিট হয়।
আধুনিক ওয়েব ব্রাউজার যেমন গুগল ক্রোম বা মোজিলা ফায়ারফক্সে HTTP রেসপন্স হেডার এনকোডেড থাকে। এই HTTP সিকিউর হেডারগুলো সাধারণত মেটাডেটা ধারণ করে—যেমন স্ট্যাটাস এরর কোড, কন্টেন্ট-এনকোডিং, কন্টেন্ট সিকিউরিটি, এবং ক্যাশে কন্ট্রোল।
রেসপন্স হেডার ব্রাউজারকে ইনস্ট্রাক্ট করে কীভাবে সেটা আচরণ করবে যখন এটি একটি ওয়েবসাইটের সাথে ইন্টারঅ্যাক্ট করে। উদাহরণস্বরূপ, একজন ইউজার গুগল ক্রোম খুলে একটি ওয়েবসাইট ভিজিট করে, HTTP হেডার এখানে একটি ভূমিকা পালন করে ব্রাউজার, ওয়েবসাইট এবং এর ওয়েব সার্ভার কীভাবে কমিউনিকেশন করবে সেটা নির্ধারণ করতে।
আমরা এমন একটি HTTP রেসপন্স হেডার ব্যাখ্যা করব যাতে আপনি আরও ভালো বুঝতে পারেন।
আপনি যদি আপনার ওয়েবসাইটে SSL বা TLS সার্টিফিকেট সেটআপ করে থাকেন, তার মানে আপনার ওয়েবসাইট শুধু HTTPS-এ অ্যাক্সেসযোগ্য (যা একটি সিকিউর কানেকশন যা ডেটা ট্রান্সফার হয়ে যাওয়ার সময় এনক্রিপ্ট করে)। কিন্তু হ্যাকাররা আপনার সাইটকে HTTP-এ অ্যাক্সেস করার উপায় খুঁজে পেতে পারে। ইন্টারনেটে অনেক স্ক্রিপ্ট উপলব্ধ যা হ্যাকার ব্যবহার করতে পারে আপনার সাইট HTTP-এ খোলার জন্য এবং ডেটা চুরি করতে।
আপনার SSL সার্টিফিকেট রিইনফোর্স করতে এবং নিশ্চিত করতে যে আপনার সাইট কখনো HTTP-এ অ্যাক্সেস হবena, আপনি একটি রেসপন্স হেডার যোগ করতে পারেন যাকে 'স্ট্রিক্ট ট্রান্সপোর্ট সিকিউরিটি' বলা হয়। এটি সকল লেটেস্ট ব্রাউজার যেমন সাফারি, ক্রোম এবং ফায়ারফক্সকে বাধ্য করবে আপনার ওয়েবসাইটের সাথে শুধু HTTPS-এ কমিউনিকেশন করতে। এটি কন্টেন্ট স্নিফিং এবং প্যাকেট স্নিফিংয়ের সম্ভাবনা দূর করবে।
যদি একজন আক্রমণকারী আপনার সাইট HTTP-এ খোলার চেষ্টা করে, ব্রাউজার সিম্পলি পেজ লোড করবে না।
আপনার ওয়ার্ডপ্রেস ওয়েবসাইটে আপনি যে olika HTTP সিকিউরিটি হেডার যোগ করতে পারেন। আজ আমরা X-XSS Protection-এ ফোকাস করব যা ক্রস-সাইট স্ক্রিপ্টিং মিটিগেট/প্রতিরোধ করবে।
HTTP সিকিউরিটি হেডারে X-XSS প্রোটেকশন সেটআপ কীভাবে করবেন
HTTP সিকিউরিটি হেডার সেটআপ করতে, আপনাকে .htaccess ফাইল এক্সেস ও এডিট করতে হবে এবং কোডের লাইন যোগ করতে হবে। যেকোনো সময় ওয়ার্ডপ্রেস ফাইল অ্যাল্টার করা হাই রিস্ক বহন করে। একটি ছোট ভুল সম্পূর্ণ ব্রোকেন ওয়েবসাইটের কারণ হতে পারে।
এতের জন্য, আমরা দৃঢ়ভাবে পরামর্শ দিচ্ছি আপনার ওয়ার্ডপ্রেস সাইটের একটি সম্পূর্ণ ব্যাকআপ নেওয়া। আপনি ব্লগভল্ট (BlogVault) প্লাগইন ব্যবহার করতে পারেন আপনার ওয়েবসাইটের ফুল ব্যাকআপ কয়েক মিনিটের মধ্যে নেওয়ার জন্য। এই প্রক্রিয়ার সময় কিছু ভুল হলে, আপনি দ্রুত আপনার ওয়েবসাইটকে স্বাভাবিক অবস্থায় রিস্টোর করতে পারবেন।
ওয়ার্ডপ্রেস ফাইল অ্যাল্টার করার আগে আপনার ওয়ার্ডপ্রেস ওয়েবসাইটের ব্যাকআপ নিন। ব্লগভল্ট দিয়ে আপনি নির্ভরযোগ্য ব্যাকআপ পেতে পারেন। Click to Tweet
স্টেপ ১: আপনার ওয়েবসাইট স্ক্যান করুন হেডার আছে কিনা চেক করতে
আমরা পরামর্শ দিচ্ছি চেক করুন আপনার ওয়েবসাইটে ইতিমধ্যে হেডার ইনাবলড আছে কিনা। আপনি আপনার ম্যানেজড ওয়ার্ডপ্রেস হোস্টের সাথে চেক করতে পারেন বা securityheaders.com-এর মত একটি ওয়েবসাইট ব্যবহার করতে পারেন।
আপনার ওয়েবসাইটের URL দিয়ে এখন স্ক্যান করুন। আপনি একটি রিপোর্ট দেখবেন এরকম:
আমরা নিশ্চিত হতে পারি X-XSS প্রোটেকশন হেডার সেট নেই।
নোট: অধিকাংশ ব্রাউজারে X-XSS প্রোটেকশন ডিফল্টভাবে ইনাবলড থাকে। কিন্তু এই সিকিউরিটি হেডার ওয়ার্ডপ্রেসে অ্যাড করলে ব্রাউজারকে ইনস্ট্রাক্ট করবে XSS হ্যাক অটেম্পট ব্লক করতে।
স্টেপ ২: আপনার ওয়ার্ডপ্রেস .htaccess ফাইল এক্সেস করুন
আপনার ওয়ার্ডপ্রেস হোস্টিং একাউন্টে লগইন করুন। এখানে, cPanel > File Manager-এ যান।
ভিতরে, আপনি ফোল্ডারের একটি তালিকা পাবেন। ডান প্যানেলে, public_html ফোল্ডার লোকেট করুন। আপনি এখানে .htaccess ফাইল পাবেন।
টিপ: যদি আপনি .htaccess ফাইল দেখতে না পান, সেটিংসে যান এবং "show hidden files" সিলেক্ট করুন।
স্টেপ ৩: ওয়ার্ডপ্রেস সিকিউরিটি হেডার ইনসার্ট করুন
এই ফাইল এডিট করতে, সিম্পলি রাইট-ক্লিক করুন এবং আপনি এডিট অপশন দেখবেন।
আপনার .htaccess ফাইলের শেষে নিচের লাইনটি যোগ করুন:
Header set X-XSS-Protection "1; mode=block"
ফাইলটি সেভ করুন।
স্টেপ ৪: চেক করুন HTTP রেসপন্স হেডার কাজ করছে কিনা
আমরা পরামর্শ দিচ্ছি securityheaders-এ ভিজিট করে আপনার সাইট স্ক্যান করুন হেডার কাজ করছে কিনা চেক করতে।
এটাই ছিল। আপনি সফলভাবে আপনার ওয়েবসাইটে একটি সিকিউরিটি লেয়ার যোগ করেছেন সিকিউরিটি হেডার ইম্প্লিমেন্ট করে XSS আক্রমণ ব্লক করার জন্য।
আমি এই গাইড থেকে সহজে সিকিউরিটি হেডার সেটআপ করেছি আমার ওয়ার্ডপ্রেস সাইটে X-XSS আক্রমণ ব্লক করতে। Click to Tweet
উপসংহার: সকল আক্রমণের বিরুদ্ধে রক্ষা
এই ওয়ার্ডপ্রেস সিকিউরিটি হেডার ইম্প্লিমেন্ট করার পর, আমরা আশ্বস্ত আপনার সাইট এখন XSS আক্রমণের বিরুদ্ধে সুরক্ষিত। কিন্তু XSS একমাত্র ভালনারেবিলিটি নয় যা চিন্তা করবেন। আপনার ওয়েবসাইট একটি ডিজিটাল বাস্তবতায় বসবাস করে যেখানে এটা এক্সপোজড থাকে হ্যাক এবং ম্যালওয়্যার ইনফেকশনের ঝড়ে।
আপনাকে যেনেরিক সিকিউরিটি মেজার নিতে হবে হ্যাক অটেম্পট ব্লক করতে এবং আপনার ওয়েবসাইট রক্ষা করতে। ম্যালক্যার ইনস্টল করুন আপনার ওয়ার্ডপ্রেস সাইটের জন্য সার্বিক প্রোটেকশন পেতে। এটি আপনার ওয়েবসাইট নিয়মিত স্ক্যান এবং মনিটর করবে। এছাড়া এতে একটি ফায়ারওয়াল আছে যা ম্যালিশিয়াস IP অ্যাড্রেস ব্লক করবে। ম্যালক্যার ইনস্টল থাকলে, আপনি নিশ্চিন্ত থাকতে পারেন যে আপনার ওয়েবসাইট সুরক্ষিত। আপনি আমাদের গাইড চেক করতে পারেন how to secure your WordPress site-এ।
আপনার ওয়ার্ডপ্রেস ওয়েবসাইট রক্ষা করুন ম্যালক্যারের সাথে!
