क्रॉस-साइट रिक्वेस्ट फोर्जरी (जिसे CSRF या XSRF के नाम से जाना जाता है) वर्डप्रेस वेबसाइटों द्वारा सामना किए जाने वाले सबसे गंभीर हैक्स में से एक है। यह हैक साइट पर इंस्टॉल किए गए वर्डप्रेस प्लगइन्स में मौजूद कमजोरियों के कारण होता है।
यहां, हैकर्स वेबसाइट यूज़र्स को दुर्भावनापूर्ण कार्य करने के लिए धोखा देते हैं जो वेबसाइट मालिक और यूज़र दोनों के लिए हानिकारक हैं। CSRF हमलों के दोनों पक्षों के लिए विनाशकारी परिणाम हो सकते हैं और इन्हें शुरुआत से ही रोका जाना चाहिए!
CSRF का उपयोग करके, एक हैकर आपकी वेबसाइट पर पूर्ण नियंत्रण प्राप्त कर सकता है और इसका उपयोग किसी भी प्रकार की दुर्भावनापूर्ण गतिविधि को चलाने के लिए कर सकता है जो वे चाहते हैं। वे आपके विज़िटर्स को अन्य दुर्भावनापूर्ण साइट्स पर रीडायरेक्ट कर सकते हैं या उन्हें मैलवेयर डाउनलोड करने में धोखा दे सकते हैं। वे आपसे और आपके ग्राहकों से धन चुराने तक जा सकते हैं!
सिर्फ इतना ही नहीं। चीजें और बिगड़ सकती हैं और गूगल आपकी साइट को ब्लैकलिस्ट कर सकता है और आपका होस्टिंग प्रदाता आपकी साइट को निलंबित कर सकता है।
यदि आप इस हैक के शिकार हैं या इसे रोकना चाहते हैं, तो हमने आपको कवर किया है। इस लेख में, हम आपको दिखाएंगे कि CSRF हमले को कैसे ठीक करें और इसे कैसे रोकें।
TL;DR: यदि आपकी वेबसाइट हैक हो गई है, तो आपको इसे तुरंत ठीक करने की आवश्यकता है। हम आपकी वेबसाइट पर CSRF अटैक रिमूवल प्लगइन डाउनलोड और इंस्टॉल करने का सुझाव देंगे ताकि आपकी वेबसाइट का गहन स्कैन चलाया जा सके और इसे तुरंत साफ किया जा सके। एक बार आपकी वेबसाइट साफ हो जाने पर, प्लगइन भविष्य के हैक प्रयासों से आपकी साइट की रक्षा करेगा।
सामग्री तालिका
→ CSRF अटैक (क्रॉस-साइट रिक्वेस्ट फोर्जरी) क्या है?
→ आपकी साइट पर वर्डप्रेस CSRF भेद्यता कैसे हुई?
→ वर्डप्रेस वेबसाइट पर CSRF हमले को कैसे रोकें?
→ प्लगइन डेवलपर्स के लिए CSRF निवारक उपाय
→ वर्डप्रेस साइट मालिकों के लिए CSRF निवारक उपाय
CSRF अटैक (क्रॉस-साइट रिक्वेस्ट फोर्जरी) क्या है?
CSRF वर्डप्रेस हमले को समझना थोड़ा जटिल है लेकिन हम इसे जितना संभव हो सके उतना तोड़ने जा रहे हैं।
यूज़र सब्सक्रिप्शन, सदस्यों, या लॉगिन वाली वेबसाइट पर, प्रत्येक यूज़र का साइट पर अपने अकाउंट में विशेषाधिकार प्राप्त पहुंच होती है। उदाहरण के लिए, एक अमेज़ॅन अकाउंट, जीमेल अकाउंट या यहां तक कि एक ऑनलाइन बैंकिंग अकाउंट।
ऐसी वेबसाइट अपने यूज़र्स को लॉगिन क्रेडेंशियल्स - यूज़रनेम और पासवर्ड देती है। यह यूज़र को प्रमाणित करने के लिए किया जाता है। इसलिए, जब कोई यूज़र लॉग इन करना चाहता है, तो वे खुद को सत्यापित करने के लिए यूज़रनेम और पासवर्ड दर्ज करते हैं। इस तरह, वेबसाइट यूज़र और उनके ब्राउज़र के साथ विश्वास स्थापित कर सकती है।
CSRF हमले में, एक हैकर इस प्रमाणित यूज़र को दुर्भावनापूर्ण कार्य करने के लिए धोखा देता है।
1. 'क्रॉस साइट' को समझना
यह समझाने के लिए कि यह कैसे होता है, आइए एक उदाहरण का उपयोग करें। मान लीजिए, यूज़र साइट A में लॉग इन है और उसने इसे ब्राउज़र में एक टैब पर खुला छोड़ दिया है। (याद रखें कि यह साइट A लॉग इन है - यह महत्वपूर्ण है।)
अब, मान लें कि हैकर के पास यूज़र का ईमेल पता है। वे यूज़र को अगले कुछ घंटों में समाप्त होने वाली अविश्वसनीय छूट के बारे में एक ईमेल भेजते हैं। यूज़र ईमेल में लिंक पर क्लिक करने के लिए धोखा खा जाता है। यह साइट B नामक एक वेबसाइट खोलता है (जो हैकर द्वारा चलाई जाती है)।
साइट B पर, उन्हें छूट का दावा करने के लिए एक फॉर्म भरने या अपना ईमेल पता दर्ज करने की आवश्यकता होती है। यूज़र फॉर्म 'सबमिट' करने के लिए एक प्रतीत होता है सामान्य बटन पर क्लिक करता है।
लेकिन इस 'सबमिट' बटन के पीछे साइट B पर, एक हैकर ने अपनी दुर्भावनापूर्ण स्क्रिप्ट डाल दी है।
अब याद रखें साइट A जो दूसरे टैब पर खुली है। यह स्क्रिप्ट साइट A पर एक अनुरोध भेजती है और उस पर दुर्भावनापूर्ण कार्य चलाती है। इसीलिए इसे 'क्रॉस-साइट' के रूप में जाना जाता है।
2. 'रिक्वेस्ट' को समझना
हैकर्स की स्क्रिप्ट यूज़र की ओर से साइट B से साइट A पर एक अनुरोध भेजती है। अवांछित दुर्भावनापूर्ण कार्य एडमिन पासवर्ड बदलने से लेकर बैंक खातों से धन हस्तांतरित करने तक कुछ भी हो सकता है!
3. 'फोर्जरी' को समझना
अंत में, क्योंकि हैकर साइट A को बेवकूफ बनाने के लिए यूज़र के प्रमाणीकरण का उपयोग करता है, यह एक 'फोर्जरी' है। इस प्रकार नाम 'क्रॉस-साइट रिक्वेस्ट फोर्जरी'।
संक्षेप में, हैकर साइट A को यह सोचने पर मजबूर करता है कि उनका दुर्भावनापूर्ण निर्देश प्रमाणित यूज़र द्वारा भेजा गया एक वैध अनुरोध है। लेकिन साइट B के लिए साइट A पर अनुरोध भेजना कैसे संभव है? हम अगले भाग में इसके बारे में गहराई से जानेंगे।
नोट: यह भाग तकनीकी है और अनुभवी वर्डप्रेस यूज़र्स या डेवलपर्स के लिए है। यदि आप इसे छोड़कर सीधे अपनी साइट पर CSRF हमलों को रोकने पर जाना चाहते हैं, तो आगे बढ़ें वर्डप्रेस साइट मालिकों के लिए CSRF निवारक उपाय।
[शीर्ष पर वापस ↑]
आपकी साइट पर वर्डप्रेस CSRF भेद्यता कैसे हुई?
यह समझाने के लिए कि भेद्यता कैसे होती है, हमें यह समझने की आवश्यकता है कि यूज़र का ब्राउज़र और एक वेबसाइट कैसे संचार करते हैं।
1. ब्राउज़र अनुरोधों को समझना
यहां, हम दो प्रकार के HTTP अनुरोधों और ब्राउज़र कुकीज़ पर चर्चा करेंगे:
i. HTTP GET अनुरोध
जब आप किसी वेबसाइट पर जाते हैं, तो आप उस वेबसाइट के सर्वर पर एक HTTP GET अनुरोध भेजते हैं। यह अनुरोध साइट के फ्रंट-एंड को प्रदर्शित करने के लिए आवश्यक डेटा मांगेगा। वेब सर्वर प्रतिक्रिया देगा और अनुरोधित डेटा भेजेगा। फिर, वेबसाइट की सामग्री आपके ब्राउज़र पर लोड होगी।
जब कोई व्यक्ति किसी साइट में लॉग इन नहीं होता है, तो वे एक अनधिकृत यूज़र होते हैं। इसलिए जब GET और POST अनुरोध भेजे जाते हैं, तो कोई कुकीज़ उपयोग नहीं की जाती हैं। इस परिदृश्य में कोई सुरक्षा समस्या नहीं है। लेकिन जब यूज़र लॉग इन कर लेता है, तो वे अब एक प्रमाणित यूज़र हैं।
वेबसाइट इस यूज़र को पहचानने और पूरा करने के लिए कुकीज़ का उपयोग करती है। यह इन कुकीज़ का उपयोग केवल उस अद्वितीय आईडी के लिए प्रासंगिक डेटा उत्पन्न करने के लिए कर सकती है। यह उन्हें यूज़र में आसानी से लॉग इन करने, यूज़र की प्राथमिकता के अनुरूप विज्ञापन प्रदर्शित करने, या उन उत्पादों को प्रदर्शित करने में मदद करता है जो यूज़र को पसंद हैं, आदि।
ii. CSRF प्रक्रिया
अब वापस आते हैं कि CSRF भेद्यता कैसे होती है। इस हमले को प्रभावी बनाने के लिए, हैकर को एक प्रमाणित यूज़र का उपयोग करने की आवश्यकता होती है जो कुकीज़ का उपयोग करता है।
हम इसे एक उदाहरण से समझाएंगे। यहां, हम आपको दिखाएंगे कि कैसे एक हैकर यूज़र के अकाउंट पर नियंत्रण ले सकता है और फिर इसका उपयोग CSRF भेद्यता का उपयोग करके आपकी वेबसाइट को हैक करने के लिए कर सकता है।
→ यूज़र पक्ष पर क्या होता है?
- एक यूज़र अपने ब्राउज़र पर targetwebsite.com में लॉग इन है।
- अगला, हैकर इस यूज़र को trickwebsite.com पर क्लिक करने के लिए लुभाता है, उन्हें एक ईमेल भेजकर जो उन्हें इस साइट पर जाने और अपने अकाउंट में $50 प्राप्त करने के लिए साइन अप करने के लिए कहता है। (ये लिंक targetwebsite.com पर अन्य कमजोरियों का उपयोग करके भी डाले जा सकते हैं)
- हम मान लेंगे कि पीड़ित को लगता है कि यह ट्रिक वेबसाइट वैध है और घोटाले का शिकार हो जाता है। यहां, वे अपने विवरण के साथ एक फॉर्म भरते हैं और 'सबमिट' पर क्लिक करते हैं।
- trickwebsite.com पर, हैकर ने पहले से ही इस 'सबमिट' बटन के पीछे HTML कोड रखा है। क्लिक करने पर, यह targetwebsite.com पर एक POST अनुरोध भेजेगा (जहां यूज़र पहले से लॉग इन है) इस यूज़र की ओर से।
→ वेबसाइट पक्ष पर क्या होता है?
- कुकीज़ का उपयोग करके, targetwebsite.com यूज़र (और ब्राउज़र) को सत्यापित करता है और अनुरोध की अनुमति देता है। यह अनुरोध वैध लगेगा क्योंकि यह प्रमाणित यूज़र से आ रहा है।
- लेकिन भेजा गया POST अनुरोध दुर्भावनापूर्ण स्क्रिप्ट रखता है जो वेबसाइट को नुकसान पहुंचा सकता है। उदाहरण के लिए, स्क्रिप्ट में वर्तमान अकाउंट पासवर्ड को "newpassword123" में बदलने का आदेश हो सकता है।
- जब targetwebsite.com द्वारा अनुरोध स्वीकार किया जाता है, तो कोड चलेगा और पासवर्ड बदल देगा। फिर, हैकर नए पासवर्ड का उपयोग करके अकाउंट में लॉग इन कर सकेगा और पूर्ण नियंत्रण ले लेगा।
- अब, हैकर वेबसाइट पर आगे के हमले चला सकता है। इस यूज़र को दिए गए विशेषाधिकारों के आधार पर, वे targetwebsite.com's डेटाबेस तक पहुंच सकते हैं और कार्यक्षमता पर नियंत्रण ले सकते हैं।
यह सिर्फ एक उदाहरण है कि हैकर CSRF हमलों का उपयोग करके क्या कर सकता है। ऐसे कई अन्य परिदृश्य हैं जो हो सकते हैं। लेकिन यूज़र और वेबसाइट दोनों इस हैक से प्रभावित होंगे।
[शीर्ष पर वापस ↑]
वर्डप्रेस वेबसाइट पर CSRF हमले को कैसे रोकें?
वर्डप्रेस वेबसाइट्स CSRF हमलों के संपर्क में आती हैं क्योंकि प्लगइन्स में कमजोरियां होती हैं जो ऐसा होने देती हैं।
PluginVulnerabilities.com द्वारा एक पूर्ण प्रकटीकरण रिपोर्ट के अनुसार, उनके द्वारा जांचे गए कई लोकप्रिय प्लगइन्स में सुरक्षा मुद्दे थे जो वेबसाइट्स को CSRF हमलों के प्रति संवेदनशील बनाते थे। CSRF हैक्स को रोकने के लिए, प्लगइन्स के डेवलपर्स को कुछ सुरक्षा उपाय लागू करने की आवश्यकता है। हम इन उपायों को संक्षेप में छूएंगे और फिर आपको बताएंगे कि आप, एक वर्डप्रेस साइट मालिक के रूप में, CSRF हमलों को रोकने के लिए क्या कर सकते हैं।
- प्लगइन डेवलपर्स के लिए CSRF निवारक उपाय
- वर्डप्रेस साइट मालिकों के लिए CSRF निवारक उपाय
i. प्लगइन डेवलपर्स के लिए CSRF निवारक उपाय
यदि आप एक प्लगइन डेवलपर हैं, तो यहां कुछ उपाय हैं जो आप CSRF हमलों को रोकने में मदद के लिए कर सकते हैं:
1. एंटी-CSRF टोकन
एक एंटी-CSRF टोकन एक छिपा हुआ मान है जो विशेष यूज़र की कुकीज़ और अनुरोध के साथ भेजा जाता है। यह इस तरह काम करता है:
- वेब सर्वर इस टोकन को उत्पन्न करता है और इसे फॉर्म पर छिपे हुए फ़ील्ड के रूप में रखता है।
- जब यूज़र फॉर्म भरता है और सबमिट करता है, तो टोकन POST अनुरोध में शामिल होता है।
- सर्वर तुलना करेगा उत्पन्न टोकन और यूज़र द्वारा भेजे गए टोकन की।
अगर यह मेल खाता है, तो अनुरोध वैध होगा। अगर यह मेल नहीं खाता, तो अनुरोध को अमान्य माना जाता है। यह CSRF हमलों को होने से रोकता है।
एक डेवलपर अपने प्लगइन को बनाते या अपडेट करते समय इन टोकन को जोड़ सकता है।
2. नॉन्स का उपयोग
हालांकि इन्हें परस्पर विनिमय के लिए उपयोग किया जाता है, एंटी-CSRF टोकन और नॉन्स अलग हैं। एक नॉन्स मान (एक बार उपयोग की जाने वाली संख्या) अनुरोध के लिए उत्पन्न एक वन-टाइम पासवर्ड की तरह है।
जब एक HTTP अनुरोध सबमिट किया जाता है, तो अनुरोध को सत्यापित करने के लिए नॉन्स उत्पन्न होता है। लेकिन एक बार उपयोग होने के बाद, नॉन्स अमान्य हो जाता है और यूज़र उसी नॉन्स मान का उपयोग करके फॉर्म को फिर से सबमिट नहीं कर सकता।
3. सेम-साइट कुकीज़
CSRF हमले उसी कुकीज़ का उपयोग करके क्रॉस-साइट अनुरोध किए जाने के कारण संभव हैं। एक सेम-साइट कुकी का मतलब है कि कुकी केवल तभी भेजी जा सकती है जब अनुरोध उसी वेबसाइट से किया गया हो जहां कुकी बनाई गई थी।
इस विधि के साथ समस्या यह है कि क्रोम और फ़ायरफ़ॉक्स और कुछ अन्य ब्राउज़रों को छोड़कर, सभी ब्राउज़र सेम-साइट कुकीज़ का समर्थन नहीं करते हैं।
इसे एक अतिरिक्त रक्षा परत के रूप में उपयोग किया जा सकता है लेकिन CSRF हमलों को रोकने के लिए अकेले इस पर भरोसा नहीं किया जाना चाहिए।
हम इन निवारक उपायों के आगे के विवरण में नहीं जाएंगे क्योंकि उनमें से लगभग सभी को आजकल हैकर्स द्वारा बायपास किया जा सकता है। हैकर्स दिन-ब-दिन केवल स्मार्ट हो रहे हैं और हमारे द्वारा लिए गए निवारक उपायों को पार करने के लिए नई तकनीक विकसित कर रहे हैं।
हम इस पर आगे बढ़ेंगे कि आप एक वर्डप्रेस साइट मालिक के रूप में CSRF हमलों से खुद को बचाने के लिए क्या सक्रिय और प्रतिक्रियात्मक उपाय कर सकते हैं।
[शीर्ष पर वापस ↑]
ii. वर्डप्रेस साइट मालिकों के लिए CSRF निवारक उपाय
जैसा कि हमने ऊपर उल्लेख किया है, प्लगइन्स के निर्माताओं को अपने एप्लिकेशन को सुरक्षित बनाने के उपाय करने चाहिए। लेकिन क्या होगा अगर वे नहीं करते? आप कैसे जानेंगे कि किन प्लगइन्स ने एंटी-CSRF उपाय लागू किए हैं?
वर्डप्रेस शायद ही कभी अपने दम पर खड़ा होता है। प्लगइन्स वेबसाइट की कार्यक्षमता और डिज़ाइन में महत्वपूर्ण भूमिका निभाते हैं। इसलिए जबकि वर्डप्रेस साइट्स को प्लगइन्स की आवश्यकता होती है, क्या आप केवल आंख मूंदकर भरोसा करते हैं कि इन प्लगइन्स ने उचित सुरक्षा उपाय किए हैं?
नहीं! वेबसाइट मालिकों को सतर्क रहने और अपनी सुरक्षा उपाय करने की आवश्यकता है भले ही प्लगइन डेवलपर्स न करें।
यहां बताया गया है कि आप CSRF हमलों से खुद को बचाने के लिए क्या कर सकते हैं:
1. एंटी-CSRF प्लगइन्स का उपयोग करें
वर्डप्रेस रिपॉजिटरी में CSRF हमलों के लिए समर्पित कई प्लगइन्स उपलब्ध नहीं हैं। यहां दो हैं जो हमने पाए:
(A) कमेंट फॉर्म CSRF प्रोटेक्शन - यह वर्डप्रेस प्लगइन आपके कमेंट फॉर्म में एक एंटी-CSRF टोकन जोड़ता है। टोकन का एक अद्वितीय मान होता है जिसे गुप्त रखा जाता है और अनुमान लगाना अव्यावहारिक है। इसलिए अगर कोई यूज़र फॉर्म सबमिट करता है, तो गुप्त टोकन उसके साथ सबमिट होगा। केवल अगर यह मेल खाता है, तो फॉर्म सबमिशन अनुरोध स्वीकार किया जाएगा।
(B) सेम-साइट कुकीज़ - यह प्लगइन समर्थित ब्राउज़रों पर काम करता है जिनमें क्रोम, फ़ायरफ़ॉक्स, IE और एज शामिल हैं। यह सुनिश्चित करता है कि जब HTTP अनुरोध सबमिट किए जाते हैं, तो भेजी गई कुकीज़ उसी साइट से हैं। यह किसी भी क्रॉस-साइट अनुरोध को ब्लॉक करता है और इसलिए, सभी CSRF हमलों को ब्लॉक करता है।
2. एक ऑल-राउंड वर्डप्रेस सुरक्षा प्लगइन इंस्टॉल करें
वर्डप्रेस वेबसाइटों के लिए बहुत सारे सिक्योरिटी प्लगइन्स उपलब्ध हैं। ये प्लगइन्स आपकी साइट को CSRF प्रकार के सहित सभी प्रकार के हैकर्स से सुरक्षित रख सकते हैं। लेकिन सभी सुरक्षा प्लगइन्स आपको सुरक्षा का समान स्तर प्रदान नहीं करते हैं।
प्लस, CSRF हमला ढूंढना मुश्किल है। हैकर्स इसे साइट मालिक और यूज़र से अच्छी तरह से छिपाते हैं, इसलिए यह अनदेखा रह जाता है। आपको एक ऐसा प्लगइन चाहिए जो ऐसे प्रच्छन्न मैलवेयर का पता लगा सके।
सुरक्षा प्लगइन चुनते समय, आपको यह सुनिश्चित करने की आवश्यकता है कि यह CSRF हमलों से सुरक्षित रहने के लिए निम्नलिखित करता है:
- नियमित रूप से स्कैन करता है आपकी वेबसाइट को किसी भी दुर्भावनापूर्ण स्क्रिप्ट के लिए।
- आपकी वेबसाइट की सभी फाइलों और डेटाबेस को खंगालता है।
- किसी भी प्रकार के मैलवेयर को पहचानने की क्षमता रखता है - नए, छिपे हुए या प्रच्छन्न सहित। (कुछ प्लगइन्स केवल पहले से खोजे गए मैलवेयर की खोज करते हैं।)
- आपको अलर्ट करता है अगर आपकी वेबसाइट पर कोई संदिग्ध गतिविधि है।
- आपको एक स्वतंत्र डैशबोर्ड देता है ताकि आप अपनी वेबसाइट को साफ कर सकें भले ही कोई हैकर आपको आपके अपने एडमिन अकाउंट से लॉक आउट कर दे।
एक प्लगइन जो आपको ऐसी सुरक्षा और सुविधाएं देता है वह है मालकेयर। एक बार जब आप अपनी वर्डप्रेस वेबसाइट पर प्लगइन इंस्टॉल करते हैं, तो यह आपको किसी भी CSRF हमले से छुटकारा पाने में सक्षम करेगा। यह वर्डप्रेस मैलवेयर से भी छुटकारा दिलाएगा जो एक हैकर ने हैक के दौरान आपकी साइट पर जोड़ा होगा।
आपकी वेबसाइट एक सक्रिय फायरवॉल के साथ संरक्षित होगी जो दुर्भावनापूर्ण IP पतों और खराब बॉट्स को आपकी वेबसाइट पर जाने से ब्लॉक करेगा।
यदि कोई हैकर दुर्भावनापूर्ण क्रॉस-साइट अनुरोध का उपयोग करके आपकी साइट को हैक करने में सफल होता है, तो यह वर्डप्रेस सिक्योरिटी प्लगइन आपको तुरंत अलर्ट करेगा। आप तब उसी प्लगइन का उपयोग करके तुरंत कार्रवाई कर सकते हैं।
3. अपनी वेबसाइट को हार्डन करें
वर्डप्रेस अनुशंसा करता है कि आप अपनी वेबसाइट को हार्डन करने के लिए कुछ उपाय करें। इससे हैकर्स के लिए अंदर घुसना बेहद मुश्किल हो जाएगा। हमने कुछ बिंदुओं को संक्षेप में कवर किया है लेकिन हम वर्डप्रेस हार्डनिंग के हमारे व्यापक गाइड को पढ़ने की सलाह देते हैं।
चूंकि इनमें से कई बिंदु थोड़े तकनीकी हैं, विस्तृत गाइड आपको इसकी बेहतर समझ प्राप्त करने में मदद करेगा। CSRF हमलों को रोकने या नुकसान कम करने के लिए यहां कुछ हार्डनिंग उपाय दिए गए हैं:
a. दो-कारक प्रमाणीकरण का उपयोग करें
दो-कारक प्रमाणीकरण होने से यूज़र्स की पुष्टि की एक अतिरिक्त परत जुड़ जाती है। एक यूज़र को अपने लॉगिन क्रेडेंशियल्स दर्ज करने होंगे, जिसके बाद दूसरे पासवर्ड की आवश्यकता होगी। यह पंजीकृत ईमेल या फोन नंबर पर भेजा गया वन-टाइम पासवर्ड हो सकता है। यह Google Authenticator जैसे ऐप द्वारा उत्पन्न एक प्रमाणीकरण संख्या भी हो सकती है।
b. अविश्वसनीय फ़ोल्डर्स में PHP एक्जीक्यूशन ब्लॉक करें
यदि CSRF हमला किसी हैकर को आपकी वेबसाइट की फाइलों तक पहुंचने में सक्षम बनाता है, तो वे दुर्भावनापूर्ण कार्य करने के लिए PHP फ़ंक्शन्स को निष्पादित कर सकते हैं। (PHP फ़ंक्शन एक प्रोग्राम में लिखा गया कोड का एक ब्लॉक है)। आप उन स्थानों पर PHP एक्जीक्यूशन को भी अक्षम कर सकते हैं जहां इसकी आवश्यकता नहीं है।
c. फ़ाइल एडिटर अक्षम करें
यदि कोई हैकर आपके वर्डप्रेस एडमिनिस्ट्रेटर अकाउंट तक पहुंच प्राप्त करता है, तो वे आपकी वेबसाइट पर पूर्ण नियंत्रण ले सकते हैं। डैशबोर्ड पर, वे आपके प्लगइन्स या थीम्स के तहत "एडिटर" तक पहुंच सकते हैं। यहां, वे अपने स्वयं के स्क्रिप्ट को संपादित या अपलोड कर सकते हैं ताकि उनकी सामग्री प्रदर्शित हो, आपकी साइट को विकृत करें, आपके यूज़र्स को SEO स्पैम करें, आदि।
d. सुरक्षा कुंजियाँ बदलें
आपने देखा होगा कि आपको हर बार अपने वर्डप्रेस अकाउंट तक पहुंचने के लिए अपने लॉगिन क्रेडेंशियल्स दर्ज करने की आवश्यकता नहीं होती है। यह पहले से ही निर्दिष्ट फ़ील्ड में भरा हुआ है। यह सुनिश्चित करने के लिए कि यह जानकारी हैकर्स से सुरक्षित है, वर्डप्रेस सुरक्षा कुंजियों का उपयोग करता है जो इस डेटा को एन्क्रिप्ट और स्टोर करता है। अगर कोई हैकर CSRF हमले का उपयोग करके आपकी साइट में सेंध लगाता है, तो उन्हें इस जानकारी तक पहुंच मिल सकती है। वे फिर इसे कुछ और में बदल सकते हैं और जब चाहें आपकी वेबसाइट के एडमिन अकाउंट में लॉग इन करने के लिए इसका उपयोग कर सकते हैं।
- आप इन हार्डनिंग उपायों को मैन्युअली लागू कर सकते हैं जैसा कि हमारे द्वारा अनुशंसित गाइड में समझाया गया है। या आप मालकेयर का उपयोग करके उन्हें कुछ ही क्लिक में लागू कर सकते हैं।
4. सभी अनुपयोगी थीम्स और प्लगइन्स डिलीट करें
आपकी वेबसाइट पर जितने अधिक प्लगइन्स और थीम्स इंस्टॉल हैं, हैकर्स के पास शोषण करने के उतने ही अधिक अवसर हैं। किसी भी अनुपयोगी प्लगइन्स और थीम्स को डिलीट करना और केवल उन्हीं को रखना सबसे अच्छा है जिनका आप उपयोग करते हैं।
इनके अलावा, आप कुछ और सुरक्षा उपाय भी कर सकते हैं जैसे अपनी साइट को HTTP से HTTPS पर ले जाना, एक सिक्योरिटी प्लगइन इंस्टॉल करना, और लॉगिन पेज की रक्षा करना।
[शीर्ष पर वापस ↑]
अंतिम विचार
CSRF हमलों के यूज़र और वेबसाइट दोनों के लिए गंभीर परिणाम हैं।
यदि कोई हैकर HTTP अनुरोध के माध्यम से अपने स्क्रिप्ट चलाने में सफल होता है, तो वे आपकी वेबसाइट पर कब्जा कर सकते हैं। इसके बाद, यह बताना मुश्किल है कि वे क्या कर सकते हैं। वे अपनी खुद की प्रचार प्रदर्शित करने या अवैध उत्पादों या ड्रग्स बेचने के लिए आपकी वेबसाइट को विकृत कर सकते हैं। वे आपकी वेबसाइट के विज़िटर्स को अपनी वेबसाइट्स पर भी रीडायरेक्ट कर सकते हैं।
ये साइट्स आमतौर पर वयस्क साइट्स, अवैध उत्पाद बेचने वाली, या विज़िटर्स को मैलवेयर डाउनलोड करने में धोखा देने वाली होती हैं।
- एक वेबसाइट मालिक के रूप में, आपको इन हमलों से सुरक्षित रहने के लिए उपाय करने की आवश्यकता है। हम आपको सलाह देते हैं कि मालकेयर जैसे सुरक्षा प्लगइन को अपनी वर्डप्रेस साइट पर सक्रिय रखें क्योंकि यह आपको सर्वांगीण सुरक्षा प्रदान करेगा।
- हम वेबसाइट हार्डनिंग उपायों को लागू करने की सलाह देते हैं ताकि हैकर्स के लिए अंदर घुसना मुश्किल हो।
- अंत में, प्लगइन्स और थीम्स का उपयोग करते समय सावधानी बरतें। विश्वसनीय थीम्स और प्लगइन्स इंस्टॉल करें वर्डप्रेस रिपॉजिटरी या ThemeForest और CodeCanyon जैसे मार्केटप्लेस से।
हम आश्वस्त हैं कि एक बार जब आप इन उपायों को अपनी वर्डप्रेस वेबसाइट पर लागू करते हैं, तो आप हैकर्स से सुरक्षित रहेंगे!
मालकेयर के साथ अपनी वर्डप्रेस साइट की रक्षा करें!
