WordPress सुरक्षा - Admin लॉगिन पर ब्रूट फोर्स हमलों की रोकथाम

WordPress को निशाना क्यों बनाया जाता है?

WordPress आज इंटरनेट पर सबसे अधिक इस्तेमाल होने वाले वेबसाइट समाधानों में से एक है। इसी कारण यह अक्सर दुर्भावनापूर्ण गतिविधियों का निशाना भी बनता है। हाल ही में ऐसे ब्रूट फ़ोर्स हमलों में वृद्धि देखी गई है, जिनका उद्देश्य एडमिनिस्ट्रेटर-स्तर के यूज़र के रूप में WordPress तक पहुँच हासिल करना है। इसका एक कारण WordPress की प्रकृति और आज के वेबसाइट समाधान के रूप में उसका विकास है। WordPress को मूल रूप से एक सरल ब्लॉगिंग सॉफ़्टवेयर के रूप में बनाया गया था। लेकिन अब इसका उपयोग ईकॉमर्स, बुलेटिन बोर्ड, निजी डायरी जैसे कई अन्य कामों के लिए भी होता है। इससे ये वेबसाइट हमलावरों के लिए अधिक मूल्यवान निशाना बन जाती हैं। हैकर अक्सर या तो इस ट्रैफ़िक को बाधित करना चाहते हैं या इन वेबसाइट से किसी तरह जानकारी हासिल करना चाहते हैं।

ब्रूट फ़ोर्स हमला क्या है?

जानकारी, विशेषकर लॉग-इन की जानकारी, हासिल करने का एक तरीका BRUTE FORCE हमला है। जैसा कि नाम से ही पता चलता है, इसमें हमलावर हमले को छिपाते नहीं हैं, और यह हमला किसी कुशलता पर आधारित नहीं होता। आप इसे "अंधाधुंध गोली चलाने" जैसा तरीका कह सकते हैं। यह बस सर्वर पर बार-बार दस्तक देता है और एक ही चीज़ ढूँढता है: आपकी WordPress साइट की सही लॉगिन जानकारी। हैकर अक्सर दूसरे कंप्यूटर सिस्टम को संक्रमित करके उन्हें WordPress एडमिनिस्ट्रेटर में लॉग इन करने की कोशिश में लगा देते हैं। नीचे दिया गया चित्र दर्शाता है कि हमले का ट्रैफ़िक कई जगहों से आ सकता है और सामान्य वेबसाइट ट्रैफ़िक में मिला हो सकता है। हमला केवल एक ही जगह से भी हो सकता है, लेकिन लॉगिन तोड़ने का तरीका वही रहता है: यह क्रमवार खोज करके आपका लॉगिन पता लगाने की कोशिश करता है। ब्रूट फ़ोर्स हमले वेबसाइट के रिसोर्स उपयोग को भी बढ़ा सकते हैं। इसलिए ये हमले न केवल आपकी सुरक्षा को भेदने की कोशिश करते हैं, बल्कि WordPress लॉगिन पर एक साथ कई प्रयास होने से रिसोर्स उपयोग भी बढ़ा देते हैं।

--


WordPress पर ब्रूट फ़ोर्स हमलों की रोकथाम

अब यूज़र WordPress का उपयोग केवल ब्लॉगिंग समाधान के रूप में नहीं करते, इसलिए WordPress साइट के मालिक यूज़र प्रबंधन पर उतना ध्यान नहीं देते। यह भी इस समस्या का एक कारण हो सकता है। WordPress साइट एडमिनिस्ट्रेटर को नियमित रूप से अपने पासवर्ड बदलने चाहिए और अपनी यूज़र सूची की समीक्षा करनी चाहिए, ताकि यह सुनिश्चित हो कि सूची में कोई ऐसा यूज़र नहीं जुड़ा है जिसे नहीं होना चाहिए। विशेषकर एडमिनिस्ट्रेटर-स्तर के यूज़र की जाँच ज़रूर करें। कुछ WordPress साइट ऐसी भी हैं जो टिप्पणी करने या अन्य गतिविधियों के लिए पंजीकरण अनिवार्य नहीं करतीं। अनधिकृत पहुँच को रोकने के लिए हम निम्नलिखित सुझाव देते हैं:

• HTACCESS फ़ाइल का उपयोग करके एक अतिरिक्त पासवर्ड अनिवार्य करते हुए WP-LOGIN.PHP तक पहुँच को ब्लॉक करें
• HTACCESS फ़ाइल का उपयोग करके केवल विशिष्ट IP एड्रेस या IP एड्रेस की रेंज को अनुमति देकर WP-LOGIN.PHP तक पहुँच को ब्लॉक करें
• ऐसा प्लगइन खोजें जो एक निश्चित संख्या में प्रयासों के बाद लॉगिन स्क्रीन तक पहुँच को रोक दे। इसके बाद प्लगइन को अगला लॉगिन प्रयास करने की अनुमति देने से पहले कुछ समय का अंतराल रखना चाहिए, जिसमें लॉगिन संभव न हो।

पहले दो तरीके, जिनमें .htaccess का उपयोग होता है, सुझाए जाते हैं क्योंकि ये संसाधनों के अत्यधिक उपयोग को रोकने में मदद करेंगे।
प्लगइन के साथ इसकी कोई गारंटी नहीं है, जब तक कि प्लगइन लॉगिन प्रयास चाहे जितनी बार किए जाएँ, पहुँच को सीमित न कर सके। ऊपर बताई गई .htaccess फ़ाइल के कोड समाधानों के उदाहरण नीचे दिए गए हैं

wp-login एक्सेस के लिए अतिरिक्त पासवर्ड का उपयोग करके यूज़र लॉगिन को रोकने की .HTACCESS विधि:
नोट: नीचे दिया गया कोड उसी .htaccess फ़ाइल में होना चाहिए जो आपके WordPress इंस्टॉल किए गए स्थान पर मौजूद है

<FilesMatch "\.wp-login.php$">
AuthName "WordPress"
AuthType Basic
AuthUserFile /home/username/.htpasswd
Require valid-user
</FilesMatch>

विशिष्ट IP एड्रेस या IP एड्रेस की रेंज का उपयोग करके यूज़र लॉगिन को रोकने की .HTACCESS विधि:
नोट: नीचे दिया गया कोड WP-ADMIN फ़ोल्डर में मौजूद .htaccess फ़ाइल में होना चाहिए। यदि आपको वह फ़ाइल न दिखे, तो एक खाली टेक्स्ट फ़ाइल बनाएँ, उसका नाम .htaccess रखें और उसे wp-admin फ़ोल्डर में सेव करें

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "Admin Access Only"
AuthType Basic
<LIMIT GET>
order deny,allow
deny from all
# whitelist Admin 1 IP address
allow from xx.xx.xx.xxx
# whitelist Admin 2 IP address
allow from xx.xx.xx.xxx
</LIMIT>