আপনার ওয়ার্ডপ্রেস সাইট রক্ষা করুন: SQL ইনজেকশন প্রতিরোধের সম্পূর্ণ গাইড

সম্ভবত আপনার ওয়ার্ডপ্রেস সাইট থেকে প্রতিদিন ট্রাফিক, রাজস্ব এবং গ্রাহকদের বিশ্বাস হারাচ্ছেন 'SQL ইনজেকশন'-এর কারণে।

কেন?

সহজ কথা—কোনো হ্যাকার মনে করলেন আপনার ব্যবসার ট্রাফিক চুরি করে নিচের সাইটগুলোর দিকে নিয়ে যাবেন:

• বয়স্ক সাইট;
• অবৈধ ড্রাগ সাইট;
• ধর্মীয় বিজ্ঞাপন;
• অথবা অন্য কোনো ম্যালিশিয়াস সাইট

এতে আপনার সাইট গুগলে ব্ল্যাকলিস্টেড হচ্ছে। সার্চ রেজাল্টে "deceptive site ahead", "this site may be hacked" এর মতো সতর্কবাণী देखकर গ্রাহক ও কমিউনিটি আপনার প্রতি সম্মান হারাচ্ছেন।

সবচেয়ে খারাপ অংশ?

এই নামহীন, চেহারাহীন হ্যাকার মনে করে আপনি এর বিরুদ্ধে কিছু করতে পারবেন না।

আপনার সایت এখন বিচিত্র পপ-আপ, রিডায়েক্ট, স্প্যামি কিওয়ার্ড এবং ৪০৩ এরর দিয়ে ভরা।

আমরা ১০ লাখেরও বেশি ওয়ার্ডপ্রেস ওয়েবসাইটের সাথে ১০ বছরেরও বেশি কাজ করেছি এবং এই হ্যাকগুলো বারবার দেখেছি। আমরা SQL ইনজেকশন ম্যালওয়্যার সैंकড়ো সাইট থেকে সরিয়েছি সাইট ক্ষতিগ্রস্ত হওয়ার আগেই।

এই আর্টিকেলে আমরা দেখাব কীভাবে এই হ্যাক দূর করে সাইটকে যथा możলigi الأصلية অবস্থায় ফিরিয়ে আনা যায়।

হ্যাকার বটগুলো কয়েক মিনিটের মধ্যে সैंकड़ের SQL ইনজেকশন চেষ্টা চালায়। একটিমাত্র সফল চেষ্টা আপনার সাইট ধ্বংস করতে পারে। আপনার ফায়ারওয়াল বা সিকিউরিটি প্লাগইন যদি দশক.SQL ইনজেকশন আক্রমণ সনাক্ত করে, তবে সম্ভবত আপনার সাইট ইতিমধ্যে হ্যাক হয়েছে। যদি না হয়, তবে আপনি ভাগ্যশালী।

তাহলে কীভাবে নিশ্চিত হবেন সাইট হ্যাক হয়েছে কিনা? এবং হ্যাক হলে ম্যালওয়্যার কীভাবে সরাবেন? চিন্তা করবেন না, সঠিক ধাপগুলো দেখাব।

যদি জরুরি সাইট চেক করতে হয়, তবে এই সেকশনে যান। কিন্তু তার আগে SQL ইনজেকশন আক্রমণ আসলে কী সেটি বুঝতে পারলে ভালো।

SQL ইনজেকশন আক্রমণ কী?

আপনার ওয়ার্ডপ্রেস ওয়েবসাইট ডেটাবেস ব্যবহার করে পোস্ট, পেজ, কমেন্ট ইত্যাদি ডেটা ম্যানেজ করে। সব ডেটা সংগঠিতভাবে ডেটাবেস টেবিলে সংরক্ষিত থাকে।

হ্যাকাররা SQL ইনজেকশন আক্রমণ চালিয়ে আপনার ডেটাবেসে এক্সেস পায়। কেন কেউ আপনার ডেটাবেস এক্সেস করতে চাবে? ভালো প্রশ্ন। হ্যাকাররা ডেটাবেসে ঘুসলে বা সংবেদনশীল ডেটা (লগইন ডিটেইলস, ক্রেডিট কার্ড ইনফো) চুরি করতে চায়, অথবা ডেটা ডিলিট করে সাইট ক্ষতি করতে চায়।

যদি ডেটা চুরির উদ্দেশ্যে ম্যালিশিয়াস কোড ইনসার্ট করা হয়, তবে সেটি ইন-ব্যান্ড SQL ইনজেকশন। আর যদি ডেটাবেস থেকে কন্টেন্ট ডিলিট করে সাইট ক্ষতি করার উদ্দেশ্য থাকে, তবে সেটি ব্লাইন্ড SQL ইনজেকশন আক্রমণ।

আপনি চিন্তা করছেন—কেন এর নাম SQL ইনজেকশন আক্রমণ?

ওয়েবসাইট ডেটাবেসে ডেটা স্টোর করার জন্য ডেটাবেসের সাথে ইন্টারঅ্যাক্ট করতে হয়। SQL হলো সাইট যে ভাষায় ডেটাবেসে ডেটা যোগ, আপডেট, ডিলিট, সার্চ করে। হ্যাকাররা একই ভাষা ব্যবহার করে ডেটাবেস হ্যাক করার চেষ্টা করে। আপনার ওয়েবসাইটের ইনপুট ফিল্ড (কন্ট্যাক্ট ফর্ম, সার্চ বার) দিয়ে ম্যালিশিয়াস স্ক্রিপ্ট ডেটাবেসে ইনজেক্ট করে। তাই এটিকে SQL ইনজেকশন আক্রমণ বলা হয়।

ওয়ার্ডপ্রেস সাইট থেকে SQL ইনজেকশন দূর করার পদ্ধতি

নিচের লক্ষণগুলো দেখছেন কি?

• কন্ট্যাক্ট ফর্মে কিছু মিনিটে সैंकड़ো ইমেইল পাওয়া যাচ্ছে
• সন্দেহজনক ওয়েবসাইটে রিডায়েক্ট করা অ্যাড
• কিছু পেজে অদ্ভুত পপ-আপ এবং অন্য পেজে এরর

এই সব SQL ইনজেকশন হ্যাকের সাধারণ লক্ষণ। তবে এই হ্যাক সবসময় দৃশ্যমান নয়। হ্যাকার শুধু তথ্য চুরির জন্য হ্যাক করতে পারে, সাইটে কোনো পরিবর্তন আনতে হয় না। সাইট Норমাল দেখতে পারে কিন্তু হ্যাকড থাকতে পারে। সাইট স্ক্যান করেই নিশ্চিত হবেন।

অনেক স্ক্যানার আছে। কিন্তু অনেক স্ক্যানিং প্লাগইন নতুন, জটিল বা খুব ভালো লুকানো ম্যালওয়্যার সনাক্ত করতে পারে না। আমরা ম্যালকের সুপারিশ করি কারণ এটি এক মাইল অগ্রে। কারণ:

• ম্যালকের প্যাটার্ন ম্যাচিং-এ নির্ভর করে না। এটি ইন্টেলিজেন্ট সিগন্যাল দিয়ে কোডের আচরণ বিশ্লেষণ করে। তাই নতুন ও জটিল ম্যালিশিয়াস কোড সনাক্ত করতে পারে।
• এটি শুধু ওয়ার্ডপ্রেস ফাইলই নয়, ডেটাবেসও স্ক্যান করে। প্রতিটি কোণাকোণে ম্যালিশিয়াস কোড বা ম্যালওয়্যার খুঁজে বের করে।
• স্ক্যানিং নিজস্ব সার্ভারে করে, তাই আপনার ওয়েবসাইট ওভারলোড হয় না।
• প্রতিদিন স্বয়ংক্রিয়ভাবে সাইট স্ক্যান করে। ম্যালওয়্যার পাওয়া গেলেই মাত্র নোটিফাই করে।

ম্যালকের দিয়ে হ্যাক সনাক্তকরণের ধাপ:

ধাপ ১: ম্যালকের ওয়ার্ডপ্রেস ম্যালওয়্যার স্ক্যানারের সাথে সাইন আপ করুন। প্লাগইন ইনস্টল ও এক্টিভেট করুন। সাইট ম্যালকের ড্যাশবোর্ডে যোগ করুন। এটি অবিলম্বে সাইট স্ক্যান শুরু করবে। হ্যাক সনাক্ত হলে নোটিফাই করবে। একই টুল দিয়ে সাইট পরিষ্কার করুন।

বহুর্থেরা ব্যাকআপ রিস্টোর করে ইনফেকশন পরিষ্কার করার চিন্তা করেন। এটি কাজ করবে না। ব্যাকআপ রিস্টোর শুধু এক্সিস্টিং ফাইল রিপ্লেস করে, হ্যাকাররা যোগ করা ম্যালিশিয়াস ফাইল সরায় না।

সতর্কতা: স্ক্যানার ফ্রি হলেও, ম্যালকের ম্যালওয়্যার রিমুভাল প্রিমিয়াম ফিচার। ক্লিনআপের জন্য আপগ্রেড করতে হবে।

হ্যাক পরিষ্কার করার ধাপ:

ধাপ ২: ম্যালকের হ্যাক সনাক্ত করলে তার ড্যাশবোর্ডে নোটিফাই করবে। নোটিফিকেশনের নিচে Auto-Clean বাটন থাকবে। সেটিতে ক্লিক করুন।

ধাপ ৩: FTP ক্রেডেনশিয়াল দিন। না জানলে এই গাইড ও ভিডিও 도움이 হবে।

ধাপ ৪: ওয়ার্ডপ্রেস সাইট যেখানে স্টোর করা আছে সেই ফোল্ডার সিলেক্ট করুন। সাধারণত public_html ফোল্ডার। ক্লায়েন্ট সাইট হলে ভেরিফাই করুন সাইট সেটি ফোল্ডারে আছে কিনা।

ফোল্ডার সিলেক্ট করলে ম্যালকের সাইট পরিষ্কার করা শুরু করবে। কয়েক মিনিটে ম্যালওয়্যার সরিয়ে দেবে।

ম্যালকের বরং Wordfence, WebARX Security, Astra Security, Sucuri ইত্যাদি প্লাগইনও হ্যাক সনাক্ত ও পরিষ্কার করতে সাহায্য করে। যেকোনো একটি ট্রাই করতে পারেন।

ওয়ার্ডপ্রেস SQL আক্রমণ কীভাবে হ্যান্ডেল করে?

বছর পেরে ওয়ার্ডপ্রেস ডেটাবেসকে SQL ইনজেকশন থেকে সুরক্ষিত করার চেষ্টা করছে। ইনপুট ফিল্ডে ইউজার-সাপ্লাইড ডেটা ভেরিফাই করার পরেই ডেটাবেসে ইনসার্ট করতে হয়। ওয়ার্ডপ্রেসের কিছু ফাংশন আছে যা ইনপুট ফিল্ডের ডেটা স্যানিটাইজ করে যাতে ম্যালিশিয়াস স্ক্রিপ্ট ইনসার্ট করা যায় না। কিন্তু ওয়ার্ডপ্রেস সাইট থিম ও প্লাগইন এর ওপর নির্ভরশীল। SQL ইনজেকশন ঝুঁকিপূর্ণ থিম ও প্লাগইন দিয়ে হয়। পরবর্তী সেকশনে বিস্তারিত।

SQL ইনজেকশন আক্রমণ কীভাবে হয়?

হ্যাকাররা আপনার সাইটের ভালনারেবিলিটি এক্সপ্লॉइট করে এক্সেস পায়। SQL ইনজেকশনের ক্ষেত্রে ইনপুট ফিল্ডের ভালনারেবিলিটি এক্সপ্লॉइট করে—কন্ট্যাক্ট ফর্ম, লগইন বক্স, সাইন-আপ বক্স, কমেন্ট সেকশন, সার্চ বার—ম্যালিশিয়াস PHP স্ক্রিপ্ট ডেটাবেসে ইনসার্ট করে।

তো কি ইনপুট ফিল্ড থাকা ডেঞ্জারাস? উত্তর হ্যাঁ এবং না—দুইটোই। কমেন্ট, কন্ট্যাক্ট ফর্ম প্লাগইন বা থিম দিয়ে চালিত হয়। সফটওয়্যারের মতো প্লাগইন/থিমেও ভালনারেবিলিটি থাকে যা হ্যাকার এক্সপ্লয়েট করে। প্লাগইন/থিম ওয়ার্ডপ্রেসের মত SQL ইনজেকশন প্রতিরোধ মেনে চলে তা নিশ্চিত করা অসম্ভব।

একটি ফর্ম প্লাগইন উদাহরণ হিসেবে নিই। ফর্মে ইনসার্ট করা তথ্য প্রথমে ভ্যালিডেট ও স্যানিটাইজ হলে ডেটাবেসে স্টোর করতে হবে।

ডেটা ভ্যালিডেশন: ডেটা নির্দিষ্ট ফরম্যাটে আসছে কিনা তা নিশ্চিত করে। ফোন নম্বর গ্রহণকারী ফর্ম নিশ্চিত করবে শুধু न्यূমেরিক ক্যারেক্টার ইনসার্ট হচ্ছে।

ডেটা স্যানিটাইজেশন: প্রয়োজনियेা বেশি কিছু ইনসার্ট হচ্ছে কিনা তা চেক করে। ফর্ম ১০ ক্যারেক্টার থেকে বেশি রেস্ট্রিক্ট করবে।

প্লাগইন ভিজিটর ইনপুট চেক না করলে ম্যালিশিয়াস কোড স্ট্রিং ইনসার্ট করা সহজ। সেটি ডেটাবেসে স্টোর হয়ে হ্যাকারকে ডেটাবেস এক্সেস দেয়।

বেশির ভাগ ওয়ার্ডপ্রেস ইউজারের জন্য তাদের সাইটের প্লাগইন/থিম ভিজিটর ডেটা কতটুকু ফিল্টার করছে তা জানা অসম্ভব। কিন্তু সাইটকে ভবিষ্যতে SQL ইনজেকশন থেকে সুরক্ষিত রাখার উপায় আছে। সেটি জানতে এই সেকশনে যান।

SQL ইনজেকশন আক্রমণের সাইটে প্রভাব

সফল SQL ইনজেকশন আক্রমণের ফলাফল ভয়ানক। নিচের যেকোনো বা সবো সমস্যা হতে পারে:

১. সংবেদনশীল ডেটা হারানো

Yahoo, Twitter, Adobe-এ ডেটা ব্রিচে লক্ষ লক্ষ অ্যাকাউন্ট কমপ্রোমাইজ হয়েছে। আপনার সাইট টوییটারের মতো বড় নয়, কিন্তু এতে সংবেদনশীল তথ্য থাকে যা চুরি হলে বিশ্বাসঘাতক, খ্যাতি ক্ষতি, কানুনি জটিলতা হবে। ইকমার্স সাইটে আর্থিক রেকর্ড, মেডিকেল সাইটে স্বাস্থ্য রেকর্ড চুরি হতে পারে। হ্যাকাররা এই রেকর্ড অনলাইন বেচতে পারে বা র্যানসম দাবি করতে পারে।

২. ওয়েবসাইট ডেটা হারানো

সাইট ব্রিচ হলে হ্যাকারের সবচেয়ে বড় চিন্তা—Pkরা প eskola। তাই সাবধানে সাইটে ঘুরে। কিন্তু কখনো কখনো ভুলবশত বা সায়দে ডেটাবেস মডিফাই করে। তথ্য ডিলিট হয়ে সাইট কন্টেন্ট হারাতে হয়।

৩. বিশ্বাসঘাতক ও খ্যাতি ক্ষতি

ডেটা ব্রিচ কাস্টমাররা আপনার ব্যবসা কীভাবে দেখে সেটি প্রভাবিত করে। ২০১৮ সালের কেমব্রিজ অ্যানালিটিকা স্ক্যান্ডেলে লোকেরা ফেসবুক অ্যাকাউন্ট ডিলিট করেছিল। কাস্টমার জানলে আপনি তাদের স্বাস্থ্য বা আর্থিক রেকর্ড রক্ষা করতে পারেননি, তবে তারা কখনো আপনার সাথে ব্যবসা করতে চাবে না। কানুনি দায়দা ও খ্যাতি ক্ষতি হবে।

৪. গুগল ব্ল্যাকলিস্টিং ও হোস্টিং সাসপেনশন

হ্যাকাররা লুকিয়ে লুকিয়ে কাজ করে। 보이는 সংক্রমণের লক্ষণ নাও থাকতে পারে। সার্চ ইঞ্জিন ও হোস্টিং সার্ভার দ্রুত ম্যালিশিয়াস এক্টিভিটি ধরতে পারে। ধরলে তাদের ইউজারদের রক্ষায় সাইট সাসপেন্ড করে।

৫. ক্লিনআপ খরচ

হ্যাকড সাইট পরিষ্কার করা সহজ নয়। ম্যানুয়ালি করা যায় না। ডেডিকেটেড সার্ভিস আছে কিন্তু খরচবহুল ও সময়সাপেক্ষ। বারবার ইনফেক্ট হলে বিল পরিশোধ করতে গভীর পকেট দরকার। خوشখবর হলো ম্যালকের মতো সিকিউরিটি সার্ভিস_vars বছরে $৯৯-এ সিঙ্গেল সাইটের জন্য আনলিমিটেড ক্লিনআপ দেয়। ম্যালকের প্রাইসিং চেক করুন।

সাইটকে পুনরায় ইনফেক্ট হওয়া থেকে কীভাবে বাঁচাবেন?

আপনার সাইট প্লাগইন বা থিমের ভালনারেবিলিটির কারণে হ্যাক হয়েছিল। ক্লিনআপের পর রি-ইনফেকশন রোধের ব্যবস্থা নিন।

১. থিম ও প্লাগইন সতর্কতার সাথে বেছে নিন

ইনস্টল করার আগে ইউজার রিভিউ পড়ুন। টুলটি ভালনারেবিলিটি ডেভেলপ করে সাইট হ্যাক করিয়েছে কিনা চেক করুন। ভালো বানানো টুল কম ভালনারেবিলিটি ডেভেলপ করে। হলে দায়িত্বশীল ডেভেলপাররা দ্রুত প্যাচ রিলিজ করে। এতে সাইট সুরক্ষিত থাকে।

২. ওয়েবসাইট সবসময় আপডেট রাখুন

SQL ইনজেকশন থিম, প্লাগইন বা কোরের ভালনারেবিলিটির কারণে সফল হয়। আপডেট দিয়ে ভালনারেবিলিটি ফিক্স করা যায়। ডেভেলপাররা ভালনারেবিলিটি জানলে আপডেট হিসেবে প্যাচ রিলিজ করে। আপডেট লাগালে সাইট সুরক্ষিত থাকে। থিম, প্লাগইন, কোর—সব আপডেট রাখুন। প্রো টিপ: ওয়ার্ডপ্রেস অটোমেটিক আপডেট সক্রিয় রাখুন। ২০১৭ সালে ওয়ার্ডপ্রেস SQL ভালনারেবিলিটি প্যাচ করলেও অটো আপডেট অফ থাকায় অনেক সাইট হ্যাক হয়েছিল।

৩. ডেটাবেস টেবিল প্রিফিক্স পরিবর্তন করুন

এতে হ্যাকারের ডেটাবেস এক্সেস কঠিন হয়। আপনার ডেটাবেস টেবিলগুলো wp_ দিয়ে শুরু হয়। প্রিফিক্স পরিবর্তন করলে টেবিল লোকেট করা কঠিন হয়। প্রো টিপ: প্রথমে সাইটের ফুল ব্যাকআপ নিন। এটাকে স্কিপ করবেন না। ব্যাকএন্ড মডিফিকেশন ঝুঁকিপূর্ণ। ভুল হলে ব্যাকআপ থেকে রিস্টোর করবেন।

1. হোস্টিং অ্যাকাউন্ট থেকে wp-config ফাইল এক্সেস করুন (cPanel > File Manager)।
2. wp-config.php ফাইল খুলুন।
3. $table_prefix = 'wp_'; লাইনে wp_ এর জায়গায় অন্য কিছু লিখুন। সেভ করে বেরিয়ে আসুন।

৪. ফায়ারওয়াল ব্যবহার করুন

ফায়ারওয়াল ওয়ার্ডপ্রেস সাইটকে হ্যাকার থেকে রক্ষা করে। সাইটে আসা সবার আচরণ যাচাই করে ম্যালিশিয়াস রেকর্ড থাকলে ব্লক করে। Astra Security-এর ফায়ারওয়াল ইউজার ইনপুট বিশ্লেষণ করে SQL ইনজেকশন সনাক্ত ও প্রতিরোধ করে। আপনি ম্যালকের ব্যবহার করলে আলাদা ফায়ারওয়াল প্লাগইন দরকার নেই। ম্যালকের ফায়ারওয়াল স্বয়ংক্রিয়ভাবে ম্যালিশিয়াস ট্রাফিক ব্লক করে।

এখন কী করবেন?

ওয়ার্ডপ্রেস সাইট ডেটাবেস ও ফাইলগুলো থেকে তৈরি। ডেটাবেসের মতো ফাইলগুলোও হ্যাকের আশ্রয়স্থল। হ্যাকার ও বট থেকে ফাইলগুলো রক্ষা করার ধাপ নিন। গাইড: How to Secure a WordPress Website।

অনেক সিকিউরিটি মেজার নেওয়া যায়, কিন্তু একটি ধাপ আপনি কখনো বাদ দিতে পারবেন না—সিকিউরিটি প্লাগইন ব্যবহার করা। ম্যালকের মতো প্লাগইন প্রতিদিন সাইট স্ক্যান করে, হ্যাক হলে অবিলম্বে নোটিফাই করে, ৬০ সেকেন্ডে ক্লিন আপ করে, এবং ভবিষ্যতের হ্যাক আক্রমণ থেকে সাইট রক্ষা করে।

২৪×৭ আপনার সাইট রক্ষা করুন ম্যালকের সিকিউরিটি প্লাগইন দিয়ে