আপনি কি অনুমান করছেন যে আপনার ওয়েবসাইটে ফাইল আপলোড 脆弱তা রয়েছে? হ্যাকাররা এটি 이용하여 আপনার সাইট হ্যাক করবে তা নিয়ে চিন্তিত আছেন?
আমরা চাইতাম আপনাকে বলতে পারি যে চিন্তার কিছু নেই, কিন্তু সত্য হলো ফাইল আপলোড 脆弱তা একটি গভীর সমস্যা।
যদি কোনো হ্যাকার আপনার সাইটে এই 脆弱তা খুঁজে পায়, তারা আপনার সাইট হাইজ্যাক করে পূর্ণ নিয়ন্ত্রণ নিতে পারে। তারা আপনার পৃষ্ঠাগুলো বিকৃত করা, ফাইল মুছে ফেলা, ডেটা চুরি করা এবং আপনার গ্রাহকদের স্প্যাম ইমেইল পাঠাতে পারে। শীর্ষ ওয়ার্ডপ্রেস 脆弱তা গুলো এখানে দেখুন।
বেশির ভাগ, বিষয়টি বড় সুরক্ষা সমস্যায় পরিণত হতে পারে। গুগল হ্যাকটি শনাক্ত করলে, তারা গুগল ব্যবহারকারীদের রক্ষার জন্য আপনার ওয়েবসাইটকে অবিলম্বে কালো তালিকায় দেবে। আবার, আপনার ওয়েব সার্ভার প্রদানকারী আপনার অ্যাকাউন্ট স্থগিত করবে।
যদিও চিন্তার কিছু নেই, আপনি সঠিক পদক্ষেপ নিয়ে এই সব রোধ করতে পারেন। আপনার সাইটে ফাইল আপলোড 脆弱তা ঠিক করার এবং প্রতিরোধের উপায় রয়েছে।
এই লেখায়, আমরা ব্যাখ্যা করব ফাইল আপলোড 脆弱তা কী এবং আপনার সাইটকে এর থেকে রক্ষার সবচেয়ে কার্যকর উপায়গুলো। আপনি হ্যাকাররা কীভাবে ওয়ার্ডপ্রেস হ্যাক করে সেটাও জানতে পারবেন।
ফাইল আপলোড 脆弱তা কী?
অনেক ওয়ার্ডপ্রেস ওয়েবসাইট ভিজিটরদের বিভিন্ন উদ্দেশ্যে ফাইল আপলোড করার সুযোগ দেয়। উদাহরণস্বরূপ, একটি জব পোর্টাল ব্যবহারকারীকে резিউম এবং সার্টিফিকেট আপলোড করতে দেয়। একটি ব্যাংকিং ওয়েবসাইট আপনাকে পরিচয়পত্র, ঠিকানা এবং আয় প্রমাণের মত সমর্থনকারী কাগজপত্র আপলোড করতে দেয়। ফাইল আপলোড হলে, ওয়ার্ডপ্রেস ফাইলটি পরীক্ষা করে এবং এটি একটি নির্দিষ্ট ফোল্ডারে সংরক্ষণ করে যাকে আপলোড ডিরেক্টরি বলা হয়।
সাধারণত, ফাইল আপলোডার দ্বারা আপলোড হওয়া ডকুমেন্ট বা ফাইলগুলো এমন ফরম্যাটে থাকে যেগুলো কোনো ত্রুটি বার্তা দেখाए বিনা কোনো কমান্ড এক্সিকিউট করতে পারে না।
ছবির জন্য গ্রহণযোগ্য ফরম্যাটগুলো হলো PNG এবং JPEG। ডকুমেন্টের জন্য PDF এবং DOCX। এবং ভিডিওর জন্য MP3 এবং MP4 ফাইল এক্সটেনশন। এই ফরম্যাট বা ফাইল টাইপগুলো আপনাকে শুধু ফাইলগুলো দেখতে দেয়।
যেমন বললাম, এই ফরম্যাটগুলো নন-এক্সিকিউটেবল অর্থাৎ এগুলোর মধ্যে যদি ম্যালিশিয়াস কোড থাকে, সেটিও আপনার সাইটে কোনো কমান্ড এক্সিকিউট করতে পারে না।
সাধারণত, ওয়েবসাইটের আপলোড ফিল্ডগুলো শুধু নন-এক্সিকিউটেবল ফাইল গ্রহণ করে। কিন্তু যদি এটা ভাঙে যায়, তবে সেটি বিনা περιοবধি ফাইল আপলোড গ্রহণ করতে শুরু করতে পারে।
হ্যাকাররা এই সুযোগ নিয়ে PHP ফাইল, জাভাস্ক্রিপ্ট এবং EXE ফাইল ফরম্যাটে এক্সিকিউটেবল কোড আপলোড করতে পারে। এই ফাইলগুলো কমান্ড চালিয়ে আপনার ওয়েবসাইটে तबাহি মचाিতে পারে। SQL ইনজেকশন আক্রমণ রোধের উপায় জানুন।
এটিই ফাইল আপলোড 脆弱তা।
নিচের সেকশনগুলোতে আপনি শিখবেন কীভাবে আপনার ওয়েবসাইটকে এই ধরনের 脆弱তা থেকে রক্ষা করবেন।
সৌভাগ্যের কথা, আপনার ওয়েবসাইটকে এই 脆弱তা থেকে রক্ষার উপায় রয়েছে। কিন্তু এই 脆弱তা কীভাবে কাজ করে সেটি বুঝতে গুরুত্বপূর্ণ। তাই রক্ষামূলক উপায়গুলো আলোচনা করার আগে, আমরা বেসিক ফাইল আপলোড 脆弱তা নিয়ে গভীরে নজর দেব।
ফাইল আপলোড 脆弱তার প্রকারভেদ কী কী?
আগে আমরা ব্যাখ্যা করেছি ফাইল আপলোড 脆弱তা কীভাবে কাজ করে। আমরা বলেছিলাম ওয়ার্ডপ্রেস ওয়েবসাইটে ফাইল আপলোড করার ফিল্ড থাকে। শুধু নির্দিষ্ট টাইপের নন-এক্সিকিউটেবল ফাইল আপলোড করা যায়। কিন্তু আপলোড ফিল্ডটি যদি খराब হয়ে যায় (脆弱তার কারণে), হ্যাকাররা ম্যালিশিয়াস এক্সিকিউটেবল ফাইল আপলোড করতে পারে।
এখন ভালনারেবল আপলোড ফিল্ড দুটি উপায়ে ফাইল গ্রহণ করতে পারে।
1. এটি সরাসরি ওয়েবসাইটে ফাইল গ্রহণ করতে পারে। সেক্ষেত্রে হ্যাকাররা সরাসরি ম্যালিশিয়াস ফাইল আপলোড করতে পারে। এটিকে লোকাল ফাইল আপলোড 脆弱তা বলা হয়।
2. কিছু আপলোড ফিল্ড সরাসরি আপলোড অনুমতি দেয় না। সেগুলো অন্য কোনো ওয়েবসাইটে ফাইল আপলোড করতে বলে, যেন ক্লাউড সার্ভিস যেমন গুগল ড্রাইভ, ড্রপবক্স।
এরপর আপনাকে লোকেশনটি URL আকারে শেয়ার করতে হয়। ওয়েবসাইটটি সেই লোকেশন থেকে ফাইলটি আনবে। এটি ফাইল আপলোড করার একটি পরোক্ষ পদ্ধতি যা আক্রমণকারীকে ম্যালিশিয়াস ফাইল আপলোড করতে দেয়। এটিকে রিমোট আপলোড 脆弱তা বলা হয়।
লোকাল আপলোড 脆弱তা এবং রিমোট আপলোড 脆弱তা — এই দুটিই ফাইল আপলোড 脆弱তার 알আলাদা প্রকার।
রিমোট আপলোড 脆弱তার একটি উদাহরণ হলো টিমথাম脆弱তা। এটি একটি জনপ্রিয় ইমেজ রিসাইজিং প্লাগইন ছিল এবং এই 脆弱তা 엄청 সারল ওয়ার্ডপ্রেস ওয়েবসাইটকে প্রভাবিত করেছিল। এটি ব্যবহারকারীদের ইমেজ হোস্টিং ওয়েবসাইট (যেমন imgur.com এবং flickr.com) থেকে ইমেজ ইম্পোর্ট করতে দিত। কিন্তু সুরক্ষা ব্যবস্থার অভাবের কারণে, হ্যাকাররা ইমেজের পরিবর্তে ম্যালিশিয়াস ফাইল আপলোড করতে পারত। সেই ফাইলগুলোর নাম বা আকার ভিন্ন হতে পারে, কিন্তু ফাইল কন্টেন্ট খুব বিপদজনক হতে পারে।
হ্যাকাররা কীভাবে ফাইল আপলোড 脆弱তা শোষণ করে?
ওয়েবসাইট হ্যাক করার প্রক্রিয়া জটিল এবং প্রযুক্তিগত। আমরা যতটা সম্ভব সহজ করে দিয়েছি এবং ধাপগুলো এমনভাবে রেখেছি যাতে কেউ সহজে বুঝতে পারে।
→ হ্যাকাররা সবসময় 脆弱তা খুঁজে বের করার চেষ্টা করে যাতে সেগুলো 이용하여 ওয়েবসাইটে প্রবেশ করতে পারে।
→ একটি ওয়ার্ডপ্রেস ওয়েবসাইটে, প্লাগইন এবং থিমে 脆弱তা পাওয়া যায়। প্লাগইন এবং থিমের ডেভেলপাররা যখন এই 脆弱তা সম্পর্কে জানেন, তারা দ্রুত আপডেট প্রকাশ করেন।
→ আপডেটে ফিক্সের বিবরণ থাকে, যা থেকে হ্যাকাররা জানতে পারে যে কোন নির্দিষ্ট প্লাগইন বা থিমে শোষণযোগ্য 脆弱তা রয়েছে।
সাধারণ ওয়েবসাইট হ্যাকিং কৌশল সম্পর্কে আরও জানুন।
আপনি যখন আপনার সাইট আপডেট করেন না তখন কী হয়?
→ হ্যাকাররা কদাচিৎ একক ওয়েবসাইট টার্গেট করেন না। তারা ইন্টারনেট খুঁজে বের করে সেই 脆弱তা বিশিষ্ট প্লাগইন ব্যবহারকারী হাজার হাজার ওয়েবসাইট খুঁজে বের করে। অনেক ওয়েবসাইট মালিক আপডেট টালেন কারণ তারা ওয়ার্ডপ্রেস আপডেটের গুরুত্ব সম্পর্কে অজ্ঞান। তারা পুরনো সংস্করণে চালিয়ে যান যা 脆弱তা বিশিষ্ট।
→ ধরি আপনি আপনার ব্লগে কমেন্ট সেকশন সক্ষম করার জন্য একটি প্লাগইন ব্যবহার করছেন। এই প্লাগইনের ডেভেলপাররা gầnে ফাইল আপলোড 脆弱তা আবিষ্কার করেছেন। এটি ঠিক করতে তারা আপডেটের মাধ্যমে একটি প্যাচ প্রকাশ করেছেন। কোনো কারণে আপনি প্লাগইন আপডেট করতে পারেননি। 脆弱তা প্লাগইনে আছে। হ্যাকাররা আবিষ্কার করে যে আপনার সাইট কমেন্ট প্লাগইনের পুরনো সংস্করণ ব্যবহার করছে। তারা ফাইল আপলোড 脆弱তা শোষণ করে (পেনিট্রেশন টেস্টিং) আপনার ওয়েবসাইটে ম্যালিশিয়াস ফাইল আপলোড করে। ফাইলটিতে স্ক্রিপ্ট থাকে যেগুলো 이용하여 তারা ম্যালিশিয়াস কার্যকলাপ শুরু করতে পারে।
→ একবার ইনফেক্টেড ফাইলগুলো আপনার ওয়েবসাইটে ঢুকে গেলে, হ্যাকাররা কমান্ড এক্সিকিউট করে যা তাদের আপনার ওয়েবসাইটের ডাটাবেস লগইন শংসাপত্রের মতো সংবেদনশীল ডেটা চুরি করতে দেয়। তারা ডেটা ব্যবহার করে আপনার সাইটে লগইন করে এবং আপনার সাইটের পূর্ণ নিয়ন্ত্রণ নিতে পারে।
আপনার ওয়েবসাইটকে ফাইল আপলোড 脆弱তা থেকে কীভাবে রক্ষা করবেন?
আগে বলা হয়েছে, ফাইল আপলোড 脆弱তা আপনার ওয়েবসাইটে ধ্বংসাত্মক প্রযুক্তিগত প্রভাব ফেলতে পারে। কিন্তু আপনি যদি নিচের পদক্ষেপগুলো বাস্তবায়ন করেন, তবে আপনি 脆弱তা ঠিক করতে পারবেন এবং হ্যাকাররা থেকে আপনার সাইট রক্ষা করতে পারবেন।
এখানে ৬টি গুরুত্বপূর্ণ ওয়েবসাইট সুরক্ষা উপায় দেওয়া হলো যা আমরা আপনাকে অবিলম্বে নেওয়ার পরামর্শ দিচ্ছি:
১. ওয়ার্ডপ্রেস সিকিউরিটি প্লাগইন ইনস্টল করুন
আপনার সাইটে একটি ওয়ার্ডপ্রেস সিকিউরিটি প্লাগইন ইনস্টল করা একটি ভাল ধারণা। আগে বলা হয়েছে, 脆弱তা আবির্ভূত হতে পারে এবং কোনো কারণে আপনি যদি প্লাগইন আপডেট না করতে পারেন, হ্যাকাররা এই সুযোগ নিয়ে আপনার সাইট হ্যাক করবে।
আমরা আমাদের সিকিউরিটি প্লাগইন — ম্যালকেয়ার (MalCare) ব্যবহারের পরামর্শ দিচ্ছি। এতে স্ক্যানার এবং ক্লিনার রয়েছে। স্ক্যানার উন্নত শনাক্তকরণ কৌশল ব্যবহার করে লুকানো ম্যালওয়্যার খুঁজে বের করে। এবং ক্লিনার স্বয়ংক্রিয় যাতে আপনি কয়েক ক্লিকে আপনার ওয়েবসাইট পরিষ্কার করতে পারেন।
প্লাগইনের 脆弱তা স্ক্যানার প্রতিদিন আপনার ওয়েবসাইট স্ক্যান করবে এবং হ্যাক সম্পর্কে অবিলম্বে সতর্ক করবে। এটি আপনাকে এক মিনিটের নিচে আপনার ওয়েবসাইট পরিষ্কার করতে সাহায্য করবে যাতে হ্যাকাররা আপনার সাইটকে ক্ষতি না করতে পারে।
বরং, সিকিউরিটি প্লাগইনগুলো ওয়ার্ডপ্রেস ফায়ারওয়্যালের মাধ্যমে আপনার ওয়েবসাইট রক্ষা করে।
একটি ওয়ার্ডপ্রেস ফায়ারওয়াল আপনার নিজস্ব ওয়েব সুরক্ষা সুপারহিরোর মত কাজ করে যা ম্যালিশিয়াস ট্রাফিক আপনার ওয়েবসাইটে প্রবেশ করতে বাধা দেয়। এটি আপনার ওয়েবসাইটের সকল ইনকামিং ট্রাফিক পরীক্ষা করে। ভাল ট্রাফিক সাইটে প্রবেশ করতে দেয় এবং খারাপ ট্রাফিক অবিলম্বে ব্লক করে দেয়।
এতমানে আপনার ওয়েবসাইটে 脆弱তা থাকলেও, হ্যাকাররা সেটি শোষণ করতে পারবে না কারণ ফায়ারওয়াল তাদের ওয়েবসাইটে প্রবেশ থেকে বাধা দিচ্ছে।
২. আপনার ওয়েবসাইট আপডেট রাখুন
আগে আলোচনা করা হয়েছে যে ডেভেলপাররা যখন তাদের প্লাগইন বা থিমে ফাইল আপলোড 脆弱তা আবিষ্কার করেন, তারা সেটি ঠিক করে একটি আপডেটেড সংস্করণ প্রকাশ করেন। নতুন সংস্করণে একটি ওয়েব অ্যাপ্লিকেশন সিকিউরিটি প্যাচ থাকে। একবার আপনি এই সংস্করণে আপডেট করলে, ফাইল আপলোড 脆弱তা আপনার সাইটে ঠিক হয়ে যাবে।
কিন্তু বলতে গেলে, আপডেট কখনও কখনও ঝামেলা হতে পারে। এগুলো ঘন ঘন পাওয়া যায় এবং কখনও কখনও আপনার সাইট ভাঙতে বা ম্যালফাংশন করতে পারে। আমরা পরামর্শ দিচ্ছি প্রতি সপ্তাহে সময় নির্ধারণ করে একটি স্টেজিং সাইট ব্যবহার করে নিরাপদে আপনার ওয়েবসাইট আপডেট করার।
আপনি আমাদের প্লাগইন, ম্যালকেয়ার ব্যবহার করে একটি স্টেজিং সাইট সেট আপ করতে পারেন এবং লাইভ সাইটে ইনস্টল করার আগে আপডেটগুলো টেস্ট করতে পারেন। আপনি যদি একাধিক ওয়েবসাইট চালান, প্লাগইনটি আপনাকে একটি কেন্দ্রীয় ড্যাশবোর্ড থেকে সকল সাইট পরিচালনা এবং আপডেট করতে দেয়। এটি আপডেটকে সহজ, দ্রুত এবং ঝামেলামুক্ত করে দেয়।
৩. প্রখ্যাত মার্কেটপ্লেস থেকে প্লাগইন ও থিম কিনুন
নিম্নমানের থিম এবং প্লাগইনে ঘন ঘন 脆弱তা তৈরি হয়। তাই আমরা ভালো মানের থিম এবং প্লাগইন ব্যবহার করার পরামর্শ দিচ্ছি। সফ্টওয়্যারের গুণমান নির্ধারণ করার একটি ভালো উপায় হলো প্রখ্যাত মার্কেটপ্লেস যেমন থিমফরেস্ট (ThemeForest), কোডক্যানিয়ন (CodeCanyon), এনভেটো (Envato), মোজো মার্কেটপ্লেস (Mojo Marketplace) ইত্যাদি থেকে কেনা।
প্রখ্যাত মার্কেটপ্লেসগুলোর ডেভেলপারদের জন্য কঠোর নীতি এবং সুরক্ষা প্রোটোকল থাকে। তাই এই প্ল্যাটফর্মগুলোতে উপলব্ধ পণ্যগুলো যত্নपूર્વক তৈরি করা এবং ভালোভাবে রক্ষণাবেক্ষণ করা হয়।
৪. ফাইল আপলোড ফাংশন বন্ধ করুন (যদি সম্ভব হয়)
আপনি যদি মনে করেন আপনার ওয়েবসাইটের ফাইল আপলোড ফাংশনটি গুরুত্বপূর্ণ নন, তবে আপনি এই ফিচারটি নিষ্ক্রিয় করার কথা ভাবতে পারেন।
কিছু ওয়েবসাইটের জন্য যেমন রিক্রুটমেন্ট সাইট, এটি একটি বিকল্প নাও হতে পারে। তবে, যদি আপনার ওয়েবসাইটে ফাইল আপলোড ফাংশনটি প্রয়োজন না হয়, আমরা দৃঢ়ভাবে পরামর্শ দিচ্ছি এটি বন্ধ করে দিতে।
আপনি যদি ফাইল আপলোড ফিচার চালানোর জন্য কোনো প্লাগইন ব্যবহার করেন, আমরা পরামর্শ দিচ্ছি প্লাগইনটি নিষ্ক্রিয় করে মুছে ফেলুন। এটি ফাইল আপলোড 脆弱তার সম্ভাবনাই দূর করবে।
৫. আপলোড হওয়া ফাইলগুলোর স্টোরেজ লোকেশন পরিবর্তন করুন (ঝুঁকিপূর্ণ)
আপনার ওয়ার্ডপ্রেস ওয়েবসাইটে আপলোড হওয়া সবকিছু আপলোড ফোল্ডারে সংরক্ষিত হয়। ফোল্ডারটি পাবলিক_এইচটিএমএল (public_html) ডিরেক্টরির ভিতরে অবস্থিত যা আপনার ওয়ার্ডপ্রেস ওয়েবসাইটের সমস্ত গুরুত্বপূর্ণ ফাইল সংরক্ষণ করে।
যখন হ্যাকাররা আপলোড ফোল্ডারে একটি ম্যালিশিয়াস ফাইল আপলোড করে, সেটি তাদের পাবলিক_এইচটিএমএল ডিরেক্টরিতে, অর্থাৎ আপনার পুরো ওয়েবসাইটে প্রবেশ করতে সক্ষম করে।
আপনি যদি আপলোড ফোল্ডারটিকে এই ডিরেক্টরির বাইরে সরান, তবে আপনার ওয়েবসাইটের নিয়ন্ত্রণ নেওয়া তাদের জন্য অনেক কঠিন হয়ে যাবে।
সতর্কতা: আপলোড ফোল্ডার সরানো বিশেষজ্ঞতার বিষয়, তাই আপনি যদি ওয়ার্ডপ্রেসের অভ্যন্তরীণ কার্যক্রমের সাথে পরিচিত না হন, আমরা এই ধাপ বাদ দেওয়ার পরামর্শ দিচ্ছি। এমনকি আপনার ওয়ার্ডপ্রেসের জ্ঞান থাকলেও, আমরা দৃঢ়ভাবে পরামর্শ দিচ্ছি যেকোনো পরিবর্তন করার আগে সম্পূর্ণ ওয়েবসাইট ব্যাকআপ নেওয়ার। সামান্য ভুলেও আপনার ওয়েবসাইট ভাঙতে পারে।
এই ৬টি ফাইল আপলোড 脆弱তা প্রতিরোধের উপায়। এই উপায়গুলো গ্রহণ করলে আপনার সাইট ফাইল আপলোড 脆弱তা থেকে রক্ষিত থাকবে। এতে আপনার ওয়ার্ডপ্রেস সাইটে ফাইল আপলোড 脆弱তা প্রতিরোধ নিয়ে আমাদের আলোচনা শেষ।
উপসংহার
আপনার ওয়ার্ডপ্রেস সাইটকে ফাইল আপলোড 脆弱তা থেকে রক্ষা করা হ্যাক আক্রমণ থেকে আপনার ওয়েবসাইট নিরাপদ ও সুরক্ষিত রাখার দিকে একটি ধাপ।
তবে, হ্যাকাররা আপনার সাইটে প্রবেশ করার অন্য অনেক পথ আছে। আপনার ওয়েবসাইটে যেকোনো ধরনের হ্যাক চেষ্টা রোধ করতে, আমরা নিচের বিষয়গুলো বাস্তবায়নের পরামর্শ দিচ্ছি —
১. আপনার সাইটে ম্যালকেয়ার (MalCare) এর মত একটি সিকিউরিটি প্লাগইন সর্বদা ইনস্টল রাখুন। প্লাগইনটি একটি সিকিউরিটি স্ক্যানারের সাথে আসে যা আপনার সাইট দিনে দিনে স্ক্যান এবং মনিটর করবে। এর ফায়ারওয়ালও হ্যাকারদের আপনার সাইটে প্রবেশ থেকে বাধা দেবে।
২. আপনার ওয়ার্ডপ্রেস সাইট নিয়মিত আপডেট করুন। নিশ্চিত করুন যে আপনি ওয়ার্ডপ্রেস কোর এবং আপনার ওয়েবসাইটে ইনস্টল করা সকল প্লাগইন ও থিমের সর্বশেষ সংস্করণ ব্যবহার করছেন।
৩. এবং শেষে, আপনার ওয়ার্ডপ্রেস সাইট হার্ডেন (harden) করুন। সাইট হার্ডেনিং পদক্ষেপগুলো নিশ্চিত করবে যে হ্যাকাররা আপনার সাইটে প্রবেশ করা কঠিন।
এই পদক্ষেপগুলো নিন যাতে আপনি মনে শান্তি পান যে আপনার সাইট সুরক্ষিত।
এখনই ম্যালকেয়ার সিকিউরিটি প্লাগইন ব্যবহার করে দেখুন!
