Kako vdirajo v spletna mesta

Modul 7: Varnost · Čas branja: 8 minut

Učni cilj: Po tej lekciji boste znali realistično razložiti, kako se WordPress spletišča najpogosteje vdirajo, zakaj so tudi majhna spletišča tarča in kaj z njimi napadalci želijo doseči.

Ključni pojmi: ranljivost, varnostna luknja v vtičniku ali temi, samodejno pregledovanje (skeniranje), credential stuffing, brute force, nulled programska oprema, okužen računalnik, posledice (vsiljena pošta, preusmeritev, phishing, zlonamerna programska oprema), napadalna površina

»Moje spletišče je premajhno, da bi bilo zanimivo«

To je najpogostejša zmotna predstava. Skoraj noben vdor v WordPress ni usmerjen na eno samo določeno spletišče. Napadalci uporabljajo programe, ki samodejno vsako uro pregledajo na tisoče spletišč in iščejo eno samo stvar: znano šibko točko. Če jo program najde, vdre vanj, ne glede na to, ali gre za spletišče velikega podjetja ali lokalnega nogometnega kluba.

Napadalcem ni mar za Vaše spletišče samo, temveč za to, kaj Vaše spletišče zmore:

• Vsiljena pošta in zloraba iskalnikov: na tisoče skritih strani ali povezav za zdravila, igre na srečo ali lažne trgovine, ki izkoriščajo dober ugled Vaše domene pri Googlu.
• Preusmeritev: obiskovalci (pogosto samo tisti, ki prihajajo z Googla ali s telefona) so preusmerjeni na lažno spletišče ali goljufivo stran. Vi sami ne opazite ničesar, saj dostopate prek zaznamka.
• Phishing: ponarejena prijavna stran banke ali dostavne službe, skrita v Vaši mapi uploads, s povezavo, ki vsebuje Vaše ime domene.
• Širjenje zlonamerne programske opreme med obiskovalce.
• Pošiljanje elektronske pošte: Vaš strežnik pošilja vsiljeno pošto, nato pa Vaša lastna elektronska pošta ne prihaja več na cilj.
• Računalniška moč: Vaš paket se uporablja za napade na druga spletišča ali za rudarjenje kriptovalut.
• Podatki: pri spletni trgovini ali članski strani podatki Vaših strank.

Vstopna točka 1: varnostna luknja v vtičniku ali temi

To je daleč najpomembnejša vstopna točka. Po letnem poročilu podjetja Patchstack, ki spremlja ranljivosti v WordPressu, je bilo leta 2024 v WordPress ekosistemu odkritih 7.966 novih ranljivosti. 96 % jih je bilo v vtičnikih, 4 % v temah, v samem WordPressu pa le sedem. Večine lukenj ni mogoče kar tako izkoristiti, nekaj pa jih je, in te so v urah ali dneh po objavi množično pregledane (skenirane).

Vzorec je skoraj vedno enak:

1. V različici 3.2 priljubljenega vtičnika se odkrije varnostna luknja.
2. Avtor izda različico 3.2.1 s popravkom. Luknja postane javno znana.
3. V kratkem času programi pregledajo internet in iščejo spletišča z različico 3.2 ali starejšo.
4. Kdor še ni posodobil, je vdrt.

Nevarnost torej ni v skriti luknji, ki je nihče ne pozna, temveč v znani luknji, za katero že obstaja posodobitev, ki pa ni bila nameščena. Zato so posodobitve (lekcija 7.2) najpomembnejši ukrep, poleg tega pa odstranite tisto, česar ne uporabljate (lekcija 5.4): vsak vtičnik, ki je nameščen, tudi če je onemogočen, povečuje Vašo napadalno površino.

Poseben primer so zapuščeni vtičniki: avtor je prenehal z razvojem in popravkov ni več. Ter nulled programska oprema (lekcija 5.3): ukradena kopija plačljivega vtičnika, pogosto z vgrajenimi stranskimi vrati.

Vstopna točka 2: gesla

Druga glavna vstopna točka je prijava z veljavnim geslom:

• Credential stuffing: pri uhajanju podatkov pri drugi storitvi se razkrijejo milijoni kombinacij e-poštnega naslova in gesla. Programi te kombinacije preizkušajo na najrazličnejših spletiščih, tudi na prijavnih straneh WordPressa. Če uporabljate enako geslo kot pri tisti storitvi, kjer so podatki uhajali, so napadalci že notri.
• Brute force: program preprosto preizkuša zelo veliko gesel, pogosto s pogosto uporabljenimi uporabniškimi imeni, kot je admin. Z dolgim, edinstvenim geslom je to brezupno, vendar to Vaš strežnik stane računalniške moči.
• Phishing: lažno e-poštno sporočilo »Vaš WordPress je treba posodobiti, prijavite se tukaj« s povezavo do ponarejene prijavne strani.

Lekcija 7.3 govori o obrambi: upravitelj gesel, dvostopenjsko preverjanje in omejevanje poskusov prijave.

Vstopna točka 3: vse okoli WordPressa

Ni vsak vdor povezan izključno z WordPressom:

• Okužen računalnik Vas ali Vašega izdelovalca spletnih strani, s programom, ki krade gesla, na primer gesla, shranjena v programu FTP.
• Navadni FTP brez šifriranja, v javnem omrežju.
• Drugo spletišče v istem paketu: pozabljena stara testna namestitev, star Joomla v podmapi. Vsa spletišča v enem paketu si navadno delijo istega uporabnika na strežniku. Če je staro spletišče vdrto, lahko napadalec pride tudi do Vašega WordPressa.
• Razkrito geslo baze podatkov, na primer prek kopije datoteke wp-config.php v spletni mapi (lekcija 1.3).
• Obrazci brez preverjanja, ki se zlorabljajo za pošiljanje vsiljene pošte.

Pri dobrem ponudniku gostovanja je Vaš paket ločen od paketov drugih strank na istem strežniku (pri strežnikih DirectAdmin s CloudLinux na primer s CageFS). Kar pa se dogaja znotraj Vašega lastnega paketa, je še vedno Vaša odgovornost.

Kaj opazite (in kaj ne)

Dobro izveden vdor sprva ne opazite. Napadalci želijo Vaše spletišče uporabljati čim dlje. Znaki (o tem govori lekcija 7.5):

• Google sporoči »To spletno mesto je morda vdrto« ali v rezultatih iskanja opazite čudne strani z Vaše domene (poskusite iskati site:example.com);
• obiskovalci sporočijo, da so bili preusmerjeni drugam;
• obstajajo skrbniki ali datoteke, ki jih ne poznate;
• Vaš ponudnik gostovanja ali optični pregledovalnik zlonamerne programske opreme nekaj sporoči;
• Vaša elektronska pošta nenadoma ne prihaja več na cilj, ali pa je Vaš paket poln ali počasen.

Obramba v plasteh

Noben ukrep ni nepremagljiv. Varnost je zlaganje plasti, tako da napaka v eni plasti ne odpre takoj vsega:

1. Posodabljanje (lekcija 7.2): zapre znane luknje. Daleč najpomembnejše.
2. Malo sestavnih delov (lekciji 5.3 in 5.4): manj za posodabljanje, manj lukenj.
3. Zaščita prijave (lekcija 7.3): dolga edinstvena gesla, dvostopenjsko preverjanje, najmanj potrebnih pravic (lekcija 3.3).
4. Utrjevanje (lekcija 7.4): pravice, nastavitve in glave, ki omejujejo škodo.
5. Varnostne kopije (lekcija 8.1): če vseeno gre kaj narobe, se lahko vrnete nazaj.
6. Vedeti, kaj storiti, če gre kaj narobe (lekcija 7.5).

Povzetek

• Skoraj vsi vdori so samodejni in niso ciljno usmerjeni; majhna spletišča so prav tako tarča.
• Napadalci želijo tisto, kar Vaše spletišče zmore: vsiljeno pošto, preusmeritve, phishing, elektronsko pošto, računalniško moč, podatke.
• Največja vstopna točka je znana luknja v vtičniku ali temi, za katero je že obstajala posodobitev (leta 2024 je bilo 96 % novih ranljivosti v vtičnikih).
• Druga vstopna točka so gesla: ponovno uporabljena, uganjena ali ukradena s phishingom.
• Vstopna točka je lahko tudi okužen računalnik, navaden FTP ali pozabljeno staro spletišče v istem paketu. Branite se v plasteh.

Kviz

Naloga

Naloga D7.1: Vaš lastni seznam tveganj. Sestavite seznam vsega v Vašem paketu gostovanja, kar bi lahko bilo vstopna točka: vsaka namestitev WordPressa (tudi testna in stara spletišča), vsak vtičnik in vsaka tema (tudi neaktivna), vsak račun s skrbniškimi pravicami (WordPress, FTP, nadzorna plošča gostovanja) in računalniki, s katerih se prijavljate. Pri vsaki postavki zapišite: kdaj je bila nazadnje posodobljena, ali je še potrebna (da/ne) in kdo je zanjo odgovoren. Označite, katere tri stvari boste ta teden pospravili ali posodobili, in zapišite, zakaj ravno te.

Dodatno branje

Ti članki opisujejo korake v nadzornih ploščah WebOké; v drugih nadzornih ploščah delujejo podobno.

• Pomoč! Moja spletna stran je bila vdrta. Kako to rešim oziroma preprečim?
• Priročnik DirectAdmin 18.2: Moje spletno mesto je vdrto: načrt korakov
• State of WordPress Security in 2025 (Patchstack, Angleško): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• Varnost WordPressa (developer.wordpress.org, Angleško): https://developer.wordpress.org/advanced-administration/security/hardening/