Hogyan törik fel a weboldalakat

Modul 7: Biztonság · Olvasási idő: 8 perc

Tanulási cél: E lecke után reálisan el tudja magyarázni, hogyan törik fel általában a WordPress-weboldalakat, miért céltáblák a kis weboldalak is, és mit akarnak elérni vele a betörők.

Kulcsfogalmak: sebezhetőség, hiba bővítményben vagy sablonban, automatikus keresések (szkennelés), credential stuffing, brute force, nulled szoftver, fertőzött számítógép, következmények (spam, átirányítás, adathalászat, kártevő szoftver), támadási felület

"A weboldalam túl kicsi ahhoz, hogy érdekes legyen"

Ez a leggyakrabban hallott tévhit. Szinte egyetlen WordPress-feltörés sem egy adott weboldalra irányul. A betörők olyan programokat használnak, amelyek automatikusan óránként több ezer weboldalt vizsgálnak végig, és egyetlen dolgot keresnek: egy ismert gyenge pontot. Ha a program megtalálja, betör, függetlenül attól, hogy egy multinacionális cég vagy a helyi futballklub weboldaláról van szó.

Amit akarnak, nem az Ön weboldala, hanem az, amire a weboldala képes:

• Spam és keresőmotor-manipuláció: több ezer rejtett oldal vagy link gyógyszerekhez, szerencsejátékhoz vagy hamis webáruházakhoz, amelyek az Ön domainjének jó hírnevét használják ki a Google-nál.
• Átirányítás: a látogatókat (gyakran csak azokat, akik a Google-ból vagy telefonról érkeznek) egy hamis weboldalra vagy csaló oldalra irányítják. Ön nem vesz észre semmit, mert Ön könyvjelzőn keresztül érkezik.
• Adathalászat: egy bank vagy futárszolgálat hamisított bejelentkezési oldala, elrejtve az uploads mappájában, az Ön domainnevével a linkben.
• Kártevő szoftver terjesztése a látogatók felé.
• E-mail küldése: a szervere spamet küld, és ezután a saját levelei sem érkeznek meg.
• Számítási kapacitás: a csomagját más weboldalak elleni támadásokhoz vagy kriptovaluta-bányászathoz használják.
• Adatok: egy webáruház vagy tagsági weboldal esetén az ügyfelei adatai.

1. bejárat: hiba egy bővítményben vagy sablonban

Ez messze a legfontosabb. A Patchstack, egy WordPress-hibákat nyilvántartó cég éves jelentése szerint 2024-ben 7966 új sebezhetőséget találtak a WordPress-ökoszisztémában. 96% bővítményekben volt, 4% sablonokban, és magában a WordPressben csupán hét. A legtöbb hiba nem könnyen kihasználható, de egy részük igen, és ezeket a nyilvánosságra hozataluk után órákon vagy napokon belül tömegesen keresik.

A minta szinte mindig ugyanaz:

1. Egy népszerű bővítmény 3.2-es verziójában hibát találnak.
2. A fejlesztő kiadja a 3.2.1-es verziót a javítással. A hiba nyilvánossá válik.
3. Rövid időn belül programok vizsgálják végig az internetet a 3.2-es vagy régebbi verziót használó weboldalak után kutatva.
4. Aki még nem frissített, azt feltörik.

A veszély tehát nem egy titkos, senki által nem ismert hibában rejlik, hanem egy olyan ismert hibában, amelyhez már létezik frissítés, de azt nem telepítették. Ezért a frissítések (4.1 lecke) a legfontosabb intézkedés, és távolítsa el, amit nem használ (5.4 lecke): minden bővítmény, ami jelen van, akár kikapcsolt állapotban is, növeli a támadási felületét.

Különleges esetet jelentenek az elhagyott bővítmények: a fejlesztő abbahagyta a munkát, nincs több javítás. És a nulled szoftverek (5.3 lecke): egy fizetős bővítmény ellopott másolata, gyakran beépített hátsó kapuval.

2. bejárat: jelszavak

A második nagy bejárat az érvényes jelszóval történő bejelentkezés:

• Credential stuffing: egy másik szolgáltatás adatszivárgásánál e-mail cím és jelszó kombinációk millió szivárognak ki. A programok ezeket a kombinációkat próbálják ki különféle weboldalakon, köztük WordPress bejelentkezési oldalakon. Ha Ön ugyanazt a jelszót használja, mint az érintett szolgáltatásnál, akkor bejutnak.
• Brute force: egy program egyszerűen nagyon sok jelszót próbál ki, gyakran gyakran használt felhasználónevekkel, mint például admin. Egy hosszú, egyedi jelszóval ennek esélye nulla, de a szerver számítási kapacitásába kerül.
• Adathalászat: egy hamis e-mail "a WordPress-ét frissíteni kell, jelentkezzen be itt" szöveggel, egy hamisított bejelentkezési oldalra mutató linkkel.

A 7.3 lecke a védekezésről szól: jelszókezelő, kétlépcsős azonosítás és a bejelentkezési kísérletek korlátozása.

3. bejárat: minden a WordPress körül

Nem minden feltörés a WordPressben kezdődik:

• Az Ön vagy a weboldalépítője fertőzött számítógépe, egy jelszólopó programmal, például amely az FTP-programban tárolt jelszavakat szerzi meg.
• Egyszerű FTP titkosítás nélkül, nyilvános hálózaton.
• Egy másik weboldal ugyanabban a csomagban: egy elfeledett régi tesztinstalláció, egy régi Joomla egy almappában. Egy csomagon belül az összes weboldal általában ugyanazt a felhasználót osztja meg a szerveren. Ha a régi weboldalt feltörik, a betörő az Ön WordPress-éhez is hozzáférhet.
• Kiszivárgott adatbázis-jelszó, például a wp-config.php egy másolatán keresztül a webmappában (1.3 lecke).
• Ellenőrzés nélküli űrlapok, amelyeket spam küldésére használnak ki.

Egy jó tárhelyszolgáltatónál az Ön csomagja el van különítve ugyanazon a szerveren lévő más ügyfelekétől (a DirectAdmin szervereken CloudLinuxszal például CageFS-sel). Ami a saját csomagján belül történik, az azonban az Ön felelőssége marad.

Mit vesz észre belőle (és mit nem)

Egy jó feltörést eleinte nem vesz észre. A betörők a lehető leghosszabb ideig szeretnék használni az Ön weboldalát. Jelek (a 7.5 lecke foglalkozik ezzel):

• a Google azt jelzi, hogy "Ez a weboldal esetleg feltört", vagy furcsa oldalakat lát az Ön domainjéről a keresési eredmények között (keressen rá például erre: site:example.com);
• a látogatók azt jelzik, hogy máshová kerülnek;
• olyan rendszergazdák vagy fájlok jelennek meg, amelyeket Ön nem ismer;
• a tárhelyszolgáltatója vagy egy kártevő-vizsgáló valamit jelez;
• a levelei hirtelen nem érkeznek meg, vagy a csomagja megtelt, vagy lelassult.

Rétegekben védekezés

Egyetlen intézkedés sem vízhatlan. A biztonság rétegek halmozása, hogy az egyik réteg hibája ne nyisson meg azonnal mindent:

1. Frissítés (7.2 lecke): bezárja az ismert hibákat. Messze a legfontosabb.
2. Kevés alkotóelem (5.3 és 5.4 lecke): kevesebb frissítendő dolog, kevesebb hiba.
3. Bejelentkezés védelme (7.3 lecke): hosszú, egyedi jelszavak, kétlépcsős azonosítás, minimális jogosultságok (3.3 lecke).
4. Megerősítés (hardening) (7.4 lecke): jogosultságok, beállítások és fejlécek, amelyek korlátozzák a kárt.
5. Biztonsági mentések (8.1 lecke): ha mégis baj történik, vissza tud térni.
6. Tudni, mit kell tenni, ha baj történik (7.5 lecke).

Összefoglalás

• Szinte az összes feltörés automatikus és nem célzott; a kis weboldalak ugyanúgy célpontok.
• A betörők azt akarják, amire a weboldala képes: spam, átirányítás, adathalászat, e-mail, számítási kapacitás, adatok.
• A legnagyobb bejárat egy ismert hiba egy bővítményben vagy sablonban, amihez már létezett frissítés (2024-ben az új sebezhetőségek 96%-a bővítményekben volt).
• A második bejárat a jelszavak: újrafelhasznált, kitalált vagy adathalászattal megszerzett.
• Egy fertőzött számítógép, egyszerű FTP vagy egy elfeledett régi weboldal ugyanabban a csomagban szintén bejárat lehet. Védekezzen rétegekben.

Kvíz

Feladat

D7.1 feladat: Saját kockázati lista. Készítsen listát mindenről a tárhelycsomagjában, ami bejárat lehet: minden WordPress-telepítés (beleértve a teszt- és régi weboldalakat is), minden bővítmény és sablon (beleértve az inaktívakat is), minden rendszergazdai jogosultsággal rendelkező fiók (WordPress, FTP, a tárhelyvezérlőpult), és azok a számítógépek, amelyekről bejelentkeznek. Jegyezze fel minden elemnél: mikor frissítették utoljára, szükséges-e még (igen/nem), és ki a felelős érte. Jelölje meg, melyik három dolgot rendezi el vagy frissíti ezen a héten, és jegyezze fel, miért éppen azokat.

További olvasnivaló

Ezek a cikkek a WebOké vezérlőpultjain található lépéseket írják le; más vezérlőpultokon hasonlóan működnek.

• Segítség! Feltörték a weboldalamat. Hogyan háríthatom el, és hogyan előzhetem meg?
• DirectAdmin útmutató 18.2: A weboldalamat feltörték: lépésről lépésre útmutató
• State of WordPress Security in 2025 (Patchstack, angol nyelven): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• A WordPress biztonsága (developer.wordpress.org, angol nyelven): https://developer.wordpress.org/advanced-administration/security/hardening/