আপনি কি চিন্তিত যে হ্যাকাররা আপনার ওয়ার্ডপ্রেস সাইটে ইউজারনেম খুঁজে বের করার চেষ্টা করছে সেটি হ্যাক করার জন্য?
সম্ভবত আপনার প্রথম অনুমান এটা নয়, ঠিক?
কিন্তু এখানে একটি বাস্তবতা চেক: আপনার সাইটে প্রবেশ কর ইউজারনেম খুঁজে বের করা হ্যাকারদের একটি সাধারণ কৌশল।
একবার হ্যাকাররা একটি বৈধ ইউজারনেম পেলে, имু শুধু পাসওয়ার্ড অনুমান করতে হবে আপনার সাইটে প্রবেশ পाने के लिए। হ্যাকাররা তখন একটি 'ব্রুট ফোর্স আক্রমণ' (Brute Force Attack) চালাবে আপনার ওয়ার্ডপ্রেস ড্যাশবোর্ডের সঠিক পাসওয়ার্ড অনুমান করার জন্য।
এরপর, তারা আপনার ওয়েবসাইটের পূর্ণ নিয়ন্ত্রণ নেবে এবং ধ্বংস করবে। হ্যাকাররা ডেটা চুরি করবে, ভিজিটরদের রিডাইরেক্ট করবে, এবং গ্রাহকদের স্প্যাম করবে — এমনকি অন্যান্য অনেক ম্যালিশিয়াস কার্যকলাপ।
কিন্তু চিন্তার কিছু নয়, কারণ আপনি ইউজার এনিউমেরেশন (user enumeration)脆弱তা শোষণ থেকে হ্যাকারদের রোধ করতে পারেন সঠিক পদক্ষেপ নেওয়া দিয়ে।
এই গাইডে, আপনি শিখবেন ইউজার এনিউমেরেশন কী এবং হ্যাকাররা কীভাবে এটি শোষণ করে সেটি রোধ করার উপায়।
সংক্ষেপে: ইউজার এনিউমেরেশন আপনার ওয়ার্ডপ্রেস সাইটে ব্রুট ফোর্স আক্রমণের সম্ভাবনা বাড়ায়। এটিকে রোধ করতে, আপনি ম্যালকেয়ার (MalCare) সিকিউরিটি প্লাগইন ইনস্টল করতে পারেন। এটি আপনার সাইটে ব্রুট ফোর্স চেষ্টা শনাক্ত করবে এবং স্বয়ংক্রিয়ভাবে ব্লক করবে।
ইউজার এনিউমেরেশন (User Enumeration) কী?
ইউজারনেম এনিউমেরেশন হলো সেই প্রক্রিয়া যার মাধ্যমে হ্যাকাররা একটি ওয়ার্ডপ্রেস ওয়েবসাইটের ব্যবহারকারীদের খুঁজে বের করতে পারে। তারা ওয়েবসাইটটি স্ক্যান করে এবং ব্যবহারকারীর তথ্য (নাম, ইমেইল আইডি) সংগ্রহ করে যা ব্যবহার করে সাইটে লগইন করার চেষ্টা করে।
নোট: ব্যবহারকারী বলতে আমরা ভিজিটর বা কাস্টমার বোঝাচ্ছি না। আমরা তাদের বোঝাচ্ছি যাদের আপনার ওয়ার্ডপ্রেস অ্যাডমিন প্যানেলে অ্যাক্সেস রয়েছে।
এটা কেন সমস্যা? হ্যাকাররা একটি কৌশল ব্যবহার করে যাকে ব্রুট ফোর্স আক্রমণ বলে — যেখানে তারা আপনার ইউজারনেম এবং পাসওয়ার্ড অনুমান করার চেষ্টা করে। তারা বট প্রোগ্রাম করে যা কয়েক সেকেন্ডে হাজার হাজার ইউজারনেম এবং পাসওয়ার্ডের কম্বিনেশন চেষ্টা করে।
কিন্তু যদি তারা আপনার ইউজারনেম জানতে পারে, মানে তারা আপনার সাইটে প্রবেশ পাওয়ার থেকে শুধু এক ধুর দূরে।
ইউজার এনিউমেরেশন এখানে কাজ করে। হ্যাকাররা আপনার ওয়েবসাইটের লেখকদের নাম এবং ইমেইল ঠিকানা দেখে ইউজারনেম বের করার চেষ্টা করে।
আপনার সাইটে হ্যাকাররা ইউজারনেম খুঁজে বের করার বিভিন্ন উপায় রয়েছে। হ্যাকাররা যে পদ্ধতিগুলো ব্যবহার করে সেগুলো বুঝতে গুরুত্বপূর্ণ যাতে আপনি ইউজার এনিউমেরেশনের বিরুদ্ধে সুরক্ষা ব্যবস্থা নিতে পারেন।
ইউজার এনিউমেরেশনের প্রকারভেদ
ইউজারনেমগুলো আপনার ওয়ার্ডপ্রেস সাইটের ডাটাবেসে সংরক্ষিত থাকে। তবে, হ্যাকাররা আপনার ডাটাবেস অ্যাক্সেস না করেও এই তথ্য বের করতে পারে।
আমরা দুটি প্রধান কৌশল বিবরণ দিচ্ছি যা হ্যাকাররা ওয়ার্ডপ্রেস সাইটে ইউজার এনিউমেরেশনের জন্য ব্যবহার করে:
১. অথর আর্কাইভ (Author Archives) ব্যবহার করে
আপনার ওয়ার্ডপ্রেস সাইটের প্রতিটি ব্যবহারকারীর একটি уникаল আইডি (unique ID) থাকে। এই আইডিটি ওয়ার্ডপ্রেস ব্যবহার করে ডাটাবেসে সংশ্লিষ্ট ব্যবহারকারী অ্যাকাউন্ট রেফারেন্স করার জন্য।
এরপর, আপনার ওয়েবসাইটের ব্যবহারকারীরা পেজ এবং পোস্ট তৈরি করলে, ওয়ার্ডপ্রেস এই ডেটা একটি অথর আর্কাইভে সংরক্ষণ করে।
অথর আর্কাইভ মূলত পেজ এবং পোস্টগুলো সেগুলো কে তৈরি করেছে সেটি অনুযায়ী категоরাইজ করে।
হ্যাকাররা আপনার সাইটে স্ক্রিপ্ট চালিয়ে অথর আর্কাইভ লোড করতে পারে যা ইউজার আইডি উজাগর করতে পারে। এরপর তারা আরও স্ক্রিপ্ট চালিয়ে ইউজার আইডির সাথে লিংক করা ইউজারনেম বের করতে পারে।
২. লগইন ফর্ম ব্যবহার করে
যখন আপনি ওয়ার্ডপ্রেস লগইন পেজে একটি অবৈধ ইউজারনেম লিখেন, এটি এই প্রম্পট দেখায়:
যদিও, যদি আপনি একটি বৈধ ইউজারনেম এবং ভুল পাসওয়ার্ড লিখেন, ওয়ার্ডপ্রেস এই প্রম্পট দেখায়:
এটি ইঙ্গিত দেয় যে 'user1@example.com' একটি বৈধ ইউজারনেম এবং শুধু পাসওয়ার্ডটি ভুল।
হ্যাকাররা বার্প ইন্ট্রুডার (Burp Intruder) এর মত টুল ব্যবহার করে সম্ভাব্য ইউজারনেমের একটি তালিকা লোড করে এবং ওয়ার্ডপ্রেসের এই রেসপন্স পরীক্ষা করে একটি বৈধ ইউজারনেম খুঁজে বের করতে।
এই পদ্ধতিগুলো ব্যবহার করে, হ্যাকাররা আপনার ইউজারনেম আবিষ্কার করতে পারে এবং এটি তাদের আপনার ওয়েবসাইট হ্যাক করার দিকে নিকটতর করে দেয়। আপনি সুরক্ষা ব্যবস্থা বাস্তবায়ন করে এটি রোধ করতে পারেন।
সম্ভাব্য ইউজার এনিউমেরেশন চেষ্টা রোধ করা
আপনি প্লাগইন ব্যবহার করে বা আপনার ওয়ার্ডপ্রেস ফাইলে ম্যানুয়ালি কোড স্নিপেট যোগ করে ইউজার এনিউমেরেশন বন্ধ করতে পারেন। আমরা ম্যানুয়াল পদ্ধতি সুপারিশ করি না কারণ এটি অত্যন্ত ঝুঁকিপূর্ণ। সামান্য ভুলেও আপনার ওয়েবসাইট ভাঙতে পারে। তবে, আমরা দুটি পদ্ধতির ধাপগুলো বিস্তারিত বলছি।
১. স্টপ ইউজার এনিউমেরেশন প্লাগইন ইনস্টল করুন
এটি আপনার ওয়ার্ডপ্রেস সাইটে ইউজার এনিউমেরেশন বন্ধ করার সবচেয়ে সহজ এবং কার্যকর উপায়। আপনি ওয়ার্ডপ্রেস রিপোজিটরি থেকে এই স্টপ ইউজার এনিউমেরেশন প্লাগইন ইনস্টল করতে পারেন।
নাম অনুযায়ী, প্লাগইনটি হ্যাকারদের আপনার সাইট স্ক্যান করে ইউজারনেম খুঁজে বের করা থেকে রোধ করার জন্য ডিজাইন করা।
এতে একটি সুবিধাজনক ফিচার রয়েছে যা আপনার ইউজার এনিউমেরেট করার চেষ্টা করার আইপি ঠিকানাগুলো লগ করে। আইপি ঠিকানা হলো ইন্টারনেটের সাথে সংযুক্ত একটি ডিভাইসের জন্য割り当てられた একটি уникаল কোড। ম্যালকেয়ার (MalCare) এর মত ওয়ার্ডপ্রেস ফায়ারওয়াল প্লাগইনগুলো ম্যালিশিয়াস কার্যকলাপ চালানোর আইপি ঠিকানা শনাক্ত করে এবং সেগুলো আপনার সাইটে অ্যাক্সেস থেকে ব্লক করে।
আপনার সাইটে যদি ফায়ারওয়াল ইনস্টল থাকে, আপনি স্টপ ইউজার এনিউমেরেশন প্লাগইন দ্বারা প্রদত্ত আইপি ঠিকানা লগের সাথে আপনার ফায়ারওয়াল যা ব্লক করছে সেটি মিলিয়ে যাচাই করতে পারেন। যদি সেটি ব্লক না করে থাকে, অধিকাংশ ফায়ারওয়াল আপনাকে ম্যানুয়ালি আইপি ঠিকানা डालতে এবং ব্ল্যাকলিস্ট করতে দেয়। ফায়ারওয়াল তারপর স্বয়ংক্রিয়ভাবে সেই আইপি ঠিকানাকে আপনার সাইটেই প্রবেশ থেকে বাধা দেবে।
২. ইউজার এনিউমেরেশন বন্ধ করার জন্য ম্যানুয়ালি কোড যোগ করা
নোট: মনে রাখবেন, আমরা এই পদ্ধতি সুপারিশ করি না। যদি আপনি এগিয়ে যেতে চান, আমরা আপনাকে আপনার ওয়ার্ডপ্রেস সাইটের ব্যাকআপ নেওয়ার পরামর্শ দিচ্ছি। কোনো সমস্যা হলে, আপনি আপনার ওয়েবসাইটকে পূর্বাবস্থায় ফিরিয়ে আনতে পারবেন।
ধাপ ১: আপনার হোস্টিং অ্যাকাউন্টে লগইন করুন, সিপ্যানেল (cPanel) > ফাইল ম্যানেজার-এ যান। (আপনি FTP ক্লায়েন্ট যেমন ফাইলজিলা (FileZilla) ব্যবহার করেও আপনার ফাইল অ্যাক্সেস করতে পারেন।)
ধাপ ২: পাবলিক_এইচটিএমএল (public_html) ফোল্ডার খুলুন, ডব্লিউপি-কন্টেন্ট (wp-content)-এ যান এবং আপনার থিমের ফোল্ডার অ্যাক্সেস করুন। মনে রাখবেন আপনার সাইটে সক্রিয় থিমটি বেছে নিতে হবে।
ধাপ ৩: এখানে আপনার থিমের functions.php ফাইল পাবেন। রাইট-ক্লিক করুন এবং এই ফাইলটি এডিট করুন।
ধাপ ৪: নিচের কোডটি যোগ করুন:
/** * ব্লক ইউজার এনিউমেরেশন */ function kl_block_user_enumeration_attempts() { if ( is_admin() ) return; $author_by_id = ( isset( $_REQUEST['author'] ) && is_numeric( $_REQUEST['author'] ) ); if ( $author_by_id ) wp_die( 'Author archives have been disabled.' ); } add_action( 'template_redirect', 'kl_block_user_enumeration_attempts' ); সেভ করুন পরিবর্তনগুলো এবং ফাইল বন্ধ করুন। ইউজার এনিউমেরেশন আপনার ওয়েবসাইটে ব্লক হওয়া উচিত।
এই সাথে, আমরা আপনার ওয়েবসাইটকে ইউজার এনিউমেরেশন থেকে রক্ষা করার আলোচনা শেষ করছি। আমরা এছাড়া দৃঢ়ভাবে পরামর্শ দিচ্ছি এমন একটি ইউজারনেম ব্যবহার করার যা আপনার সাইটে সহজে পাওয়া যায় না। উদাহরণস্বরূপ, আপনার সাইটে যদি টিম মেম্বার এবং ব্লগ লেখকদের নাম প্রদর্শিত থাকে, তবে অ্যাডমিনের নাম আলাদা রাখা বুদ্ধিমানের কাজ।
চূড়ান্ত মতামত
ওয়ার্ডপ্রেস সাইটে ইউজার এনিউমেরেশন ব্লক করলে, ব্রুট ফোর্স আক্রমণের সম্ভাবনা কমে যায়। হ্যাকাররা সাধারণত সহজে হ্যাক করা সাইটগুলোর টার্গেট করে। তাদের বটগুলো কিছু erfolglos চেষ্টা করার পর আপনার সাইট থেকে চলে যাবে।
তবে, ব্রুট ফোর্স আক্রমণ শুধু একমাত্র সুরক্ষা ভয় নয় যার থেকে আপনাকে আপনার ওয়ার্ডপ্রেস সাইটকে হ্যাকারদের হাতে রক্ষা করতে হবে।
আমরা দৃঢ়ভাবে পরামর্শ দিচ্ছি একটি সিকিউরিটি প্লাগইন সক্রিয় রাখার যা নিয়মিত আপনার সাইট স্ক্যান করবে নিশ্চিত করার জন্য যে এটি সাফ এবং ম্যালওয়্যার-মুক্ত। এটি সক্রিয়ভাবে হ্যাকারদের আপনার ওয়েবসাইটে প্রবেশ থেকে ব্লক করবে।
আপনি মনে শান্তি নিয়ে আপনার সাইট চালাতে পারেন জানেন আপনার ওয়েবসাইট সুরক্ষিত।
ম্যালকেয়ার দিয়ে আপনার ওয়ার্ডপ্রেস সাইট রক্ষা করুন!
