WordPress फाइलें और डायरेक्टरी आपकी साइट को सुरक्षित रखने में महत्वपूर्ण भूमिका निभाते हैं। WordPress इंस्टॉल करने के बाद उन्हें ठीक से सेट करना आपकी सबसे बड़ी प्राथमिकताओं में से एक होना चाहिए। यह सेट करना कि कौन सी फाइलें कौन देख सकता है और उपयोगकर्ता क्या कार्रवाई कर सकते हैं, आपकी साइट की सुरक्षा मुद्रा को काफी हद तक सुधारता है। इस पोस्ट में, हम चर्चा करेंगे कि PHP निष्पादन और डायरेक्टरी ब्राउज़िंग दोनों को अक्षम करने से आपकी साइट की सुरक्षा कैसे बेहतर हो सकती है।
PHP निष्पादन अक्षम करें: क्यों और कैसे?
कुछ WordPress फोल्डर जैसे अपलोड, थीम या प्लगइन डिफ़ॉल्ट रूप से राइटेबल होते हैं। इस प्रकार की अनुमति उपयोगकर्ताओं को साइट पर चित्र और वीडियो अपलोड करने या साइट पर थीम और प्लगइन इंस्टॉल करने की अनुमति देती है। हर बार जब हम कोई प्लगइन या थीम इंस्टॉल करते हैं, तो नई फाइलें उनके संबंधित फोल्डर में संग्रहीत होती हैं। यह संभव नहीं होता अगर थीम और प्लगइन फोल्डर डिफ़ॉल्ट रूप से राइटेबल नहीं होते।
कई लोग अपनी साइट बनाने के लिए WordPress को पसंद करने का एक कारण थीम और प्लगइन की मदद से साइट को आसानी से अनुकूलित करने की क्षमता है। कोई भी अपनी वेबसाइट पर कोई भी थीम या प्लगइन इंस्टॉल कर सकता है जो संभव है क्योंकि थीम और प्लगइन फोल्डर डिफ़ॉल्ट रूप से राइटेबल होते हैं। लेकिन दुर्भाग्य से, इस प्रकार की अनुमति फिशिंग हमलों, SEO स्पैम, ब्रूट फोर्स हमलों आदि जैसे हैक हमले की संभावनाओं को भी खोल देती है। हैकर इसका फायदा उठाकर एक दुर्भावनापूर्ण स्क्रिप्ट अपलोड कर सकते हैं जिसे दूर से निष्पादित किया जा सकता है। इससे उन्हें आपकी साइट तक पूरी पहुंच प्राप्त करने या यहां तक कि आपकी वेबसाइट को नष्ट करने में मदद मिलेगी।
कोई Mailpoet हैक को याद कर सकता है जिसने हैकर्स को अपलोड फोल्डर में एक दुर्भावनापूर्ण PHP कोड अपलोड करने की अनुमति दी जिसे उन्होंने साइट पर नियंत्रण पाने के लिए निष्पादित किया।
लिखने की अनुमति हटाना सुविधाजनक नहीं है क्योंकि तब आप अपनी साइट पर चित्र अपलोड नहीं कर सकते, या प्लगइन और थीम इंस्टॉल नहीं कर सकते। लेकिन आप PHP निष्पादन को अक्षम करके सफल हमले की गुंजाइश को कम कर सकते हैं। यह विशिष्ट फोल्डर में निष्पादन की अनुमति को हटा देगा।
PHP निष्पादन को अक्षम करने का एक सरल तरीका उस विशिष्ट फोल्डर की .htaccess फाइल में एक विशेष कोड रखना है जहां आप PHP निष्पादन को अक्षम करना चाहते हैं।
नोट: फाइलों को संशोधित करने से पहले अपनी साइट का बैकअप लें। जिन चरणों का हम पालन करने जा रहे हैं उनमें एक भी गलती आपकी साइट को तोड़ सकती है या अन्य समस्याएं पैदा कर सकती है। बैकअप यह सुनिश्चित कर सकते हैं कि जब कोई समस्या आए तो आप अपनी साइट की एक कार्यशील प्रति पर जल्दी से वापस आ सकें।
चरण 1: अपलोड फोल्डर में PHP निष्पादन को अक्षम करने के लिए, बस अपलोड फोल्डर में एक .htaccess फाइल बनाएं। आप public_html के तहत wp-content में फोल्डर पा सकते हैं।
चरण 2: अब नोटपैड (Windows के लिए) या TextEdit (Mac के लिए) खोलकर एक फाइल बनाएं। निम्न कोड शामिल करें और इस फाइल को .htaccess के रूप में सहेजें (न कि .htaccess.txt):
# BEGIN WordPress <IfModule mod_rewrite.c> RewriteEngine On RewriteBase / RewriteRule ^index\.php$ - [L] RewriteCond %{REQUEST_FILENAME} !-f RewriteCond %{REQUEST_FILENAME} !-d RewriteRule . /index.php [L] </IfModule> # END WordPress
चरण 3: कोड को सहेजें और फाइल को अपलोड फोल्डर में अपलोड करें।
चरण 4: अब आपके अपलोड फोल्डर में एक नई .htaccess फाइल है। राइट-क्लिक करें और संपादन चुनें। अपनी बिल्कुल नई .htaccess फाइल में निम्न कोड डालें।
<FilesMatch “\.(php|php\.)$”> Order Allow,Deny Deny from all </FilesMatch>
नीचे दी गई छवि में, हमने कोड को अपनी .htaccess फाइल में रखा है।
यह सुनिश्चित करता है कि "PHP" वाली किसी भी फाइल को पकड़ लिया जाए और निष्पादन से रोका जाए। यदि कोई हैकर "mailciousPHPFileDisguisedAsJPEFfile.php.jpg" जैसी फाइल अपलोड करने का प्रबंधन करता है, तो इसे निष्पादन से अवरुद्ध कर दिया जाएगा।
अधिकतम सुरक्षा के लिए, आप प्लगइन और थीम फोल्डर की .htaccess फाइलों में भी कोड जोड़ सकते हैं।
मैन्युअल रूप से PHP निष्पादन को अक्षम करना थोड़ा जोखिम भरा है। फाइल मैनेजर में सावधानी से चलना चाहिए। एक गलत कदम आपकी साइट को गंभीर नुकसान पहुंचा सकता है। प्लगइन का उपयोग करके PHP निष्पादन को अक्षम करना आसान और कम जोखिम भरा है। MalCare सुरक्षा सेवा साइट हार्डनिंग सुविधा के साथ आती है जो उपयोगकर्ताओं को PHP निष्पादन ब्लॉक करने की अनुमति देती है।
इस सुविधा को सक्षम करने के लिए आपको अपने FTP विवरण की आवश्यकता होगी।
PHP निष्पादन अक्षम करने से आपकी साइट की सुरक्षा सख्त होती है लेकिन हम डायरेक्टरी ब्राउज़िंग को अक्षम करके एक कदम आगे जा सकते हैं।
डायरेक्टरी ब्राउज़िंग रोकें: क्यों और कैसे?
कभी-कभी कोई विज़िटर WordPress साइट की डायरेक्टरी लिस्टिंग को आसानी से देख सकता है। उदाहरण के लिए, हमारी वेबसाइट Westworld Fansite के विज़िटर ब्राउज़र में केवल "https://westworldfansite.com/wp-includes/" खोलकर wp-includes फोल्डर में सूचीबद्ध फाइलों को देख सकते हैं।
यह हानिरहित लग सकता है लेकिन डायरेक्टरी लिस्टिंग संवेदनशील जानकारी प्रकट कर सकती है जिसका फायदा उठाकर हैकर्स आपकी साइट तक पहुंच प्राप्त कर सकते हैं। इसलिए हमें लिस्टिंग छिपाने की जरूरत है। जबकि अस्पष्टता के माध्यम से सुरक्षा को आम तौर पर भ्रूण माना जाता है, यथासंभव अधिक से अधिक जानकारी छिपाना सबसे अच्छा है। हैकर्स आपके बारे में जितना कम जानते हैं, उतना ही कम संभावना है कि वे आप पर हमला करेंगे।
अपनी साइट की सुरक्षा को सख्त करने के लिए, हमने .htaccess फाइल में निम्न कोड रखकर डायरेक्टरी ब्राउज़िंग को अक्षम करने का फैसला किया।
.htaccess फाइलों को संशोधित करने से पहले अपनी साइट का बैकअप लेना याद रखें। एक गलती आपकी साइट पर बड़ी समस्याएं पैदा कर सकती है। बैकअप यह सुनिश्चित करेंगे कि जब कोई समस्या आए तो आप अपनी साइट की एक कार्यशील प्रति पर जल्दी से वापस आ सकें।
याद रखें कि उस डायरेक्टरी की .htaccess फाइल को संपादित करें जिसे आप उपयोगकर्ताओं को ब्राउज़ करने से रोकना चाहते हैं। उदाहरण के लिए, आप wp-include फोल्डर की रक्षा करना चाहते हैं, तो wp-include फोल्डर की .htaccess फाइल में निम्न लाइन रखें:
Options All –Indexes
कोड सहेजने के बाद, हमने डायरेक्टरी लिस्टिंग देखने की कोशिश की और एक 403 एरर पेज दिखाई दिया।
अब आपकी बारी
PHP निष्पादन और डायरेक्टरी ब्राउज़िंग को अक्षम करना निश्चित रूप से आपकी वेबसाइट सुरक्षा में सुधार कर सकता है लेकिन यह हैक प्रयासों से WordPress साइट को सुरक्षित करने के कई तरीकों में से सिर्फ एक है। कुछ अन्य सुरक्षा उपाय जो आप अपना सकते हैं उनमें सुरक्षा प्लगइन का उपयोग करना, SSL प्रमाणपत्र का उपयोग करना, अद्वितीय और मजबूत उपयोगकर्ता नाम और पासवर्ड का उपयोग करना, HTTP प्रमाणीकरण और दो-कारक प्रमाणीकरण लागू करना आदि शामिल हैं।
