WordPress और Drupal पर ब्रूट फ़ोर्स अटैक से बचाव कैसे करें

ब्रूट फ़ोर्स अटैक आज भी इंटरनेट पर दिखने वाले सबसे पुराने और सबसे आम हमलों में से हैं। ये हमले अक्सर बहुत जटिल नहीं होते और सैद्धांतिक रूप से इन्हें रोकना और कम करना आसान है, फिर भी ये होते हैं और सफल भी होते हैं; इसका मुख्य कारण यह है कि लोग अच्छे पासवर्ड चुनने या एक्सेस कंट्रोल की अच्छी आदतें अपनाने में बहुत कमज़ोर होते हैं।

XML-RPC: XML_RPC वाले CMS पर आमतौर पर BFA द्वारा हमला किया जाता है, ताकि एडमिन पासवर्ड का अंदाज़ा लगाकर आपकी WordPress या Drupal वेबसाइट में लॉगिन किया जा सके।

XML-RPC, HTTP के ज़रिए रिमोट प्रोसीजर कॉल करने का एक सरल और पोर्टेबल तरीका है। इसका उपयोग Perl, Java, Python, C, C++, PHP और कई अन्य प्रोग्रामिंग भाषाओं के साथ किया जा सकता है। WordPress, Drupal और अधिकांश कंटेंट मैनेजमेंट सिस्टम XML-RPC को सपोर्ट करते हैं। XML-RPC, HTTP के ज़रिए रिमोट प्रोसीजर कॉल करने का एक सरल और पोर्टेबल तरीका है। इसका उपयोग Perl, Java, Python, C, C++, PHP और कई अन्य प्रोग्रामिंग भाषाओं के साथ किया जा सकता है। WordPress, Drupal और अधिकांश कंटेंट मैनेजमेंट सिस्टम XML-RPC को सपोर्ट करते हैं।

हम सलाह देते हैं कि आप अनुरोध के WordPress या Drupal तक पहुँचने से पहले ही .htaccess फ़ाइल से सभी xmlrpc.php अनुरोधों को बंद कर दें। बस नीचे दिया गया कोड अपनी .htaccess फ़ाइल में पेस्ट करें

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
# allow access from my IP
allow from 123.123.123.123
</Files>

यह तरीका हमले को रोकने का सबसे सरल उपाय है, लेकिन इससे CMS की कुछ रिमोट सुविधाएँ बंद हो सकती हैं। आवश्यकता होने पर आप यही परिणाम पाने के लिए अन्य अधिक जटिल तरीके भी आज़मा सकते हैं।

WP-LOGIN: अब WordPress के wp-login.php पर कई बड़े पैमाने के ब्रूट फ़ोर्स हमले हो चुके हैं, जो दुनिया भर में फैले बड़ी संख्या में कम्प्रोमाइज़ किए गए IP एड्रेस से आ रहे हैं। लगभग 90,000 कम्प्रोमाइज़ किए गए सर्वरों का एक बड़ा बॉटनेट, WordPress एडमिन डैशबोर्ड में घुसने के लिए लगातार यूज़रनेम और पासवर्ड का अंदाज़ा लगाकर WordPress वेबसाइटों में सेंध लगाने की कोशिश कर रहा है।

हम सलाह देते हैं कि आप अनुरोध के WordPress तक पहुँचने से पहले ही .htaccess फ़ाइल से wp-login.php अनुरोधों को सुरक्षित करें। बस नीचे दिया गया कोड अपनी .htaccess फ़ाइल में पेस्ट करें

# Block WordPress xmlrpc.php requests
<Files wp-login.php>
order deny,allow
deny from all
# allow access from my IP
allow from 123.123.123.123
</Files>

ऊपर दिए गए कदम आपके CMS को सुरक्षित करने के प्रारंभिक उपाय हैं। अपने WordPress इंस्टॉलेशन को सुरक्षित करने के अतिरिक्त उपायों के लिए हम नीचे दिए गए लिंक पढ़ने की सलाह देते हैं।

अनुशंसित पठन

1. http://codex.wordpress.org/Hardening_WordPress
2. https://www.wordfence.com/blog/2015/12/announcing-the-wordpress-security-learning-center-free-for-the-community/
3. https://premium.wpmudev.org/blog/keeping-wordpress-secure-the-ultimate-guide/
4. https://codex.wordpress.org/FAQ_My_site_was_hacked