अपनी वर्डप्रेस साइट सुरक्षित करें: X-XSS HTTP हेडर्स कॉन्फ़िगर करने की चरण-दर-चरण मार्गदर्शिका

क्या आपकी वेबसाइट बिना किसी कारण के धीमी हो गई है और आपका ट्रैफ़िक गिर गया है? क्या आपकी वेबसाइट अवांछित विज्ञापन प्रदर्शित कर रही है? क्या आप ऐसे पॉप-अप देख रहे हैं जो आपने नहीं डाले? शायद आपको वर्डप्रेस में X-XSS-सुरक्षा की आवश्यकता है।

यह आपकी वर्डप्रेस साइट पर XSS हमले का परिणाम हो सकता है। ये हमले काफी आम हैं लेकिन उनका प्रभाव विनाशकारी होता है।

CVE विवरण ने 2009 से 9,903 प्रमुख XSS हमले दर्ज किए हैं। लेकिन यह बताने का कोई तरीका नहीं है कि इनमें से कितने हमले अनरिपोर्टेड रह गए हैं।

हैकर्स XSS शोषण का उपयोग डेटा चुराने, अपने स्वयं के विज्ञापन प्रदर्शित करने (आमतौर पर अवैध दवाओं या वयस्क सामग्री के), अपने ग्राहकों को धोखा देने, दुर्भावनापूर्ण गतिविधियों की एक लंबी सूची के लिए करते हैं।

लेकिन आप चिंता करना बंद कर सकते हैं क्योंकि आपकी वेबसाइट को XSS से बचाने के आसान तरीके हैं। आज, हम देखते हैं कि वर्डप्रेस में X-XSS सुरक्षा हेडर्स कैसे जोड़ें क्योंकि यह किसी भी XSS प्रयास को जबरन ब्लॉक कर देगा।

आप सीखेंगे कि ये रिस्पॉन्स हेडर्स क्या हैं और उन्हें कैसे लागू करें। उसके बाद, हम आपको कुछ और वर्डप्रेस सुरक्षा टिप्स देंगे ताकि आपकी वर्डप्रेस वेबसाइट XSS और किसी भी अन्य हमले के खिलाफ चट्टान की तरह मजबूत हो!

संक्षेप में: हमारे ऑल-इन-वन MalCare सुरक्षा समाधान के साथ अपनी वर्डप्रेस वेबसाइट को XSS हमलों और मैलवेयर के किसी भी अन्य रूप से सुरक्षित रखें। प्लगइन को अपनी वर्डप्रेस वेबसाइट पर इंस्टॉल करें और निश्चिंत रहें कि आपकी साइट की नियमित रूप से निगरानी और स्कैन की जाती है ताकि इसे किसी भी दुर्भावनापूर्ण हमले से बचाया जा सके।

वर्डप्रेस में XSS (क्रॉस-साइट स्क्रिप्टिंग) क्या है?

क्रॉस-साइट स्क्रिप्टिंग (XSS) एक प्रकार का इंजेक्शन हमला है जिसमें हैकर्स सुरक्षा कमजोरियों का फायदा उठाते हैं जो वेबसाइट पर उपयोगकर्ता इनपुट में उत्पन्न होती हैं। एक उपयोगकर्ता इनपुट कोई भी क्षेत्र हो सकता है जो वेबसाइट उपयोगकर्ता से डेटा स्वीकार करता है जैसे साइट सर्च बार, एक टिप्पणी अनुभाग, एक संपर्क फ़ॉर्म, या एक लॉगिन फ़ील्ड।

वे विभिन्न तरीकों से उपयोगकर्ता द्वारा इन फ़ील्ड में दर्ज की जा सकने वाली जानकारी के प्रकार का लाभ उठाते हैं। इसलिए, क्रॉस-स्क्रिप्टिंग हमलों के विभिन्न प्रकार हैं। यहां, हम दो सबसे आम XSS हमलों का विवरण देंगे:

स्टोर्ड या पर्सिस्टेंट XSS हमला

इस प्रकार का हमला वेबसाइट के विज़िटर्स को लक्षित करता है। आइए देखें कि यह कैसे होता है।

मान लीजिए examplesite.com अपनी वेबसाइट पर ब्लॉग पोस्ट पर टिप्पणियों के रूप में उपयोगकर्ता इनपुट स्वीकार करता है। एक विज़िटर टिप्पणी छोड़कर अपने विचार साझा कर सकता है और प्रश्न पूछ सकता है। टिप्पणी सबमिट होने के बाद, इसे डेटाबेस में भेजा जाता है और संग्रहीत किया जाता है।

आमतौर पर, इस टिप्पणी फ़ील्ड में डेटा को डेटाबेस में भेजे जाने से पहले मान्य करने के लिए कॉन्फ़िगरेशन होना चाहिए।

लेकिन यदि कॉन्फ़िगरेशन सही नहीं हैं, तो यह एक नियमित टेक्स्ट टिप्पणी और कोड की एक पंक्ति के बीच अंतर नहीं कर पाएगा।

तो, मान लीजिए एक हैकर ने पता लगा लिया कि इस साइट का टिप्पणी अनुभाग किसी भी इनपुट को स्वीकार करता है। वे एक जावास्क्रिप्ट कोड दर्ज कर सकते हैं लेकिन आउटपुट एक नियमित टिप्पणी की तरह दिखाई देगा। 

वेबसाइट मालिक जो नोटिस नहीं कर सकता है वह यह है कि हैकर एक "मुझे क्लिक करें" बटन भी दर्ज करने में सक्षम है, जिसे आदर्श रूप से अनुमति नहीं दी जानी चाहिए।

अगला, वेबसाइट का एक नियमित विज़िटर (लक्ष्य) इस पेज पर आता है। यदि यह उपयोगकर्ता बटन पर क्लिक करता है, तो दुर्भावनापूर्ण कोड चलेगा और विज़िटर के ब्राउज़र को संक्रमित करेगा। हैकर तब विज़िटर के ब्राउज़र कुकीज़ से डेटा निकालने में सक्षम होगा।

कुकीज़ सभी प्रकार की जानकारी संग्रहीत करती हैं जैसे संग्रहीत लॉगिन क्रेडेंशियल्स, क्रेडिट कार्ड जानकारी, या व्यक्तिगत डेटा। जब आप किसी वेबसाइट में लॉग इन करते हैं, तो आप इस तरह एक पॉप-अप देखेंगे, जिसमें पूछा जाएगा कि क्या आप ब्राउज़र को पासवर्ड याद रखना चाहेंगे: 

अब एक नियमित उपयोगकर्ता (लक्ष्य) के पास आमतौर पर ब्राउज़र पर कई टैब खुले होते हैं जैसे फेसबुक, ईमेल, एक शॉपिंग साइट, एक कार्य वेबसाइट, यूट्यूब, आदि। यदि कोई हैकर XSS हमला चलाने में सक्षम है, तो वे ब्राउज़र पर खुली सभी साइटों की कुकीज़ चुरा लेंगे। इसीलिए इसे 'क्रॉस-साइट' कहा जाता है। वे इस जानकारी का उपयोग ग्राहक को धोखा देने या बड़े हमले चलाने के लिए करते हैं।

भले ही यह हमला आपकी वेबसाइट को सीधे प्रभावित नहीं करता, इसके गंभीर परिणाम हैं। यह आपके हर एक विज़िटर को खतरे में डालता है। साथ ही, Google आपकी साइट को तुरंत ब्लैकलिस्ट कर देगा और आपका वेब होस्ट आपके होस्टिंग खाते को निलंबित कर देगा।

रिफ्लेक्टिव या नॉन-पर्सिस्टेंट XSS हमला

इस हमले में, हैकर्स वेबसाइट को स्वयं लक्षित करते हैं ताकि पहुंच प्राप्त कर सकें। आइए आपको दिखाते हैं कि यह कैसे काम करता है:

मान लीजिए आपकी वेबसाइट पर एक सर्च टैब है जहां ग्राहक जल्दी से ढूंढ सकते हैं कि वे क्या चाहते हैं। इस टैब को आदर्श रूप से केवल वर्णमाला के अक्षरों को स्वीकार करना चाहिए। लेकिन इसे सही ढंग से कॉन्फ़िगर नहीं किया गया है और यह विशेष वर्णों और संख्याओं को भी स्वीकार करता है। साइट का सर्च इंजन उपयोगकर्ता से टेक्स्ट इनपुट और हैकर द्वारा दुर्भावनापूर्ण कोड इनपुट के बीच अंतर नहीं कर पाएगा।

एक बार डाले जाने पर, दुर्भावनापूर्ण कोड वेबसाइट के डेटाबेस में जाता है और निष्पादित हो जाता है। जब ऐसा होता है, तो हैकर वेबसाइट तक पहुंच प्राप्त करता है और अपने दुर्भावनापूर्ण कार्य शुरू कर सकता है! इससे भी बदतर, वे आपकी वेबसाइट का उपयोग DDoS हमले जैसे बड़े हैक हमले शुरू करने के लिए कर सकते हैं।

अब हम जानते हैं कि XSS हमला कितना गंभीर हो सकता है और हमें अपनी वेबसाइटों को इससे बचाने की आवश्यकता क्यों है। तो आइए जानें कि HTTP सुरक्षा हेडर्स XSS हमलों को कैसे रोकते हैं।

HTTP सुरक्षा हेडर्स क्या हैं?

HTTP का अर्थ हाइपरटेक्स्ट ट्रांसफर प्रोटोकॉल है और यह परिभाषित करता है कि संदेशों को इंटरनेट पर कैसे स्वरूपित और प्रेषित किया जाता है।

Google Chrome या Mozilla Firefox जैसे आधुनिक वेब ब्राउज़र में HTTP रिस्पॉन्स हेडर्स एन्कोडेड होते हैं। ये HTTP सुरक्षित हेडर्स आमतौर पर मेटाडेटा से बने होते हैं – जैसे स्टेटस एरर कोड, कंटेंट-एन्कोडिंग, कंटेंट सिक्योरिटी, और कैश कंट्रोल।

रिस्पॉन्स हेडर ब्राउज़र को निर्देश देता है कि जब वह किसी वेबसाइट के साथ इंटरैक्ट करता है तो उसे कैसे कार्य करना चाहिए। उदाहरण के लिए, एक उपयोगकर्ता Google Chrome खोलता है और एक वेबसाइट पर जाता है, HTTP हेडर्स यहां ब्राउज़र, वेबसाइट और उसके वेब सर्वर के संचार को निर्धारित करने में भूमिका निभाते हैं।

हम आपको इसे बेहतर ढंग से समझने में मदद करने के लिए एक ऐसे HTTP रिस्पॉन्स हेडर की व्याख्या करने जा रहे हैं।

यदि आपने अपनी वेबसाइट पर SSL या TLS प्रमाणपत्र सेट किया है, तो इसका मतलब है कि आपकी वेबसाइट केवल HTTPS (जो एक सुरक्षित कनेक्शन है जो डेटा को स्थानांतरित करते समय एन्क्रिप्ट करता है) पर पहुंच योग्य है। लेकिन हैकर्स आपकी साइट को HTTP पर एक्सेस करने के तरीके ढूंढ सकते हैं। इंटरनेट पर कई स्क्रिप्ट आसानी से उपलब्ध हैं जिनका उपयोग एक हैकर आपकी साइट को HTTP पर खोलने और डेटा चुराने के लिए कर सकता है।

अपने SSL प्रमाणपत्र को सुदृढ़ करने और यह सुनिश्चित करने के लिए कि आपकी साइट कभी भी HTTP पर एक्सेस नहीं की जाती, आप 'स्ट्रिक्ट ट्रांसपोर्ट सिक्योरिटी' नामक एक रिस्पॉन्स हेडर जोड़ सकते हैं। यह Safari, Chrome और Firefox जैसे सभी नवीनतम ब्राउज़रों को आपकी वेबसाइट के साथ केवल HTTPS पर संचार करने के लिए मजबूर करेगा। यह कंटेंट स्निफिंग और पैकेट स्निफिंग की संभावना को समाप्त करता है।

यदि कोई हमलावर आपकी साइट को HTTP पर खोलने की कोशिश करता है, तो ब्राउज़र बस पेज लोड नहीं करेगा।

आप अपनी वर्डप्रेस वेबसाइट पर विभिन्न HTTP सुरक्षा हेडर्स जोड़ सकते हैं। आज, हम X-XSS सुरक्षा पर ध्यान केंद्रित कर रहे हैं जो क्रॉस-साइट स्क्रिप्टिंग को कम/रोकेगा।

HTTP सुरक्षा हेडर में X-XSS सुरक्षा कैसे सेट करें 

HTTP सुरक्षा हेडर्स सेट करने के लिए, आपको .htaccess फ़ाइल को एक्सेस और संपादित करना होगा और कोड की लाइनें जोड़नी होंगी। किसी भी समय वर्डप्रेस फ़ाइलों को बदलना उच्च जोखिम वाला होता है। एक मामूली गलत कदम पूरी तरह से टूटी हुई वेबसाइट का कारण बन सकता है।

इसलिए, हम आपकी वर्डप्रेस साइट का पूर्ण बैकअप लेने की दृढ़ता से अनुशंसा करते हैं। आप BlogVault प्लगइन का उपयोग करके कुछ ही मिनटों में अपनी वेबसाइट का पूर्ण बैकअप ले सकते हैं। यदि इस प्रक्रिया के दौरान कुछ भी गलत होता है, तो आप अपनी वेबसाइट को जल्दी से सामान्य स्थिति में बहाल कर सकते हैं।

वर्डप्रेस फ़ाइलों को बदलने से पहले अपनी वर्डप्रेस वेबसाइट का बैकअप लें। आप BlogVault के साथ एक विश्वसनीय बैकअप प्राप्त कर सकते हैं। ट्वीट करने के लिए क्लिक करें

चरण 1: जांचें कि क्या हेडर पहले से मौजूद है

हम जांचने की सलाह देते हैं कि क्या आपकी वेबसाइट पर हेडर पहले से सक्षम है। आप अपने प्रबंधित वर्डप्रेस होस्ट से जांच सकते हैं या securityheaders.com जैसी वेबसाइट का उपयोग कर सकते हैं।

अपनी वेबसाइट का URL दर्ज करें और अभी स्कैन करें। आपको इस तरह एक रिपोर्ट दिखाई देगी: 

हम सुनिश्चित हो सकते हैं कि कोई X-XSS सुरक्षा हेडर सेट नहीं है।

नोट: अधिकांश ब्राउज़रों में X-XSS सुरक्षा डिफ़ॉल्ट रूप से सक्षम होती है। लेकिन इस सुरक्षा हेडर को वर्डप्रेस में जोड़ने से ब्राउज़र को XSS हैक प्रयासों को ब्लॉक करने का निर्देश मिलेगा।

चरण 2: अपनी वर्डप्रेस .htaccess फ़ाइल तक पहुंचें

अपने वर्डप्रेस होस्टिंग खाते में लॉग इन करें। यहां, cPanel > फ़ाइल प्रबंधक पर जाएं। 

अंदर, आपको फ़ोल्डरों की एक सूची मिलेगी। दाएं पैनल पर, public_html फ़ोल्डर का पता लगाएं। आपको यहां .htaccess फ़ाइल मिलेगी। 

टिप: यदि आप .htaccess फ़ाइल नहीं देख सकते हैं, तो सेटिंग्स पर जाएं और "छिपी हुई फ़ाइलें दिखाएं" चुनें।

चरण 3: वर्डप्रेस सुरक्षा हेडर डालें

इस फ़ाइल को संपादित करने के लिए, बस इस पर राइट-क्लिक करें और आपको इसे संपादित करने का विकल्प दिखाई देगा। 

अपनी .htaccess फ़ाइल के अंत में निम्नलिखित कोड की लाइन जोड़ें:

Header set X-XSS-Protection "1; mode=block"

फ़ाइल को सेव करें।

चरण 4: जांचें कि HTTP रिस्पॉन्स हेडर काम करता है या नहीं

हम आपकी साइट को स्कैन करने के लिए securityheaders पर जाने की सलाह देते हैं ताकि यह जांचा जा सके कि हेडर काम कर रहा है या नहीं।

और बस। आपने XSS हमलों को ब्लॉक करने के लिए सुरक्षा हेडर को लागू करके अपनी वेबसाइट में सुरक्षा की एक परत सफलतापूर्वक जोड़ दी है।

मैंने MalCare की इस गाइड का उपयोग करके अपनी वर्डप्रेस साइट पर सुरक्षा हेडर्स को आसानी से सेट किया ताकि X-XSS हमलों को ब्लॉक किया जा सके। ट्वीट करने के लिए क्लिक करें

निष्कर्ष: सभी हमलों से सुरक्षा

इस वर्डप्रेस सुरक्षा हेडर को लागू करने के बाद, हम आश्वस्त हैं कि आपकी साइट अब XSS हमलों से सुरक्षित है। लेकिन XSS एकमात्र कमजोरी नहीं है जिसके बारे में चिंता करने की जरूरत है। आपकी वेबसाइट एक डिजिटल क्षेत्र में रहती है जहां यह हैक और मैलवेयर संक्रमण जैसे जोखिमों की बाढ़ के संपर्क में है।

आपको हैक प्रयासों को ब्लॉक करने और अपनी वेबसाइट को सुरक्षित रखने के लिए पर्याप्त सुरक्षा उपाय करने की आवश्यकता है। MalCare इंस्टॉल करके अपनी वर्डप्रेस साइट के लिए ऑल-राउंड सुरक्षा प्राप्त करें। यह नियमित रूप से आपकी वेबसाइट को स्कैन और मॉनिटर करेगा। यह एक फ़ायरवॉल भी प्रदान करता है जो दुर्भावनापूर्ण IP पतों को ब्लॉक करेगा। MalCare इंस्टॉल होने के साथ, आप निश्चिंत हो सकते हैं कि आपकी वेबसाइट सुरक्षित है। आप हमारी गाइड देख सकते हैं कि वर्डप्रेस साइट को कैसे सुरक्षित करें।

अपनी वर्डप्रेस वेबसाइट को MalCare से सुरक्षित रखें!