Почему хакеры любят ломать молодые блоги?

Обновление:  С марта 2014 года плагин распространяется под названием  iThemes Security, о чем писал вот здесь: http://ideafox.ru/pro-blog/ithemes-security.html. Учтите этот момент, когда будете искать его в репозитории WordPress для установки. 

Привет, элита блоггинга! : – )

Вот представьте себе, что Вы типичный уличный хулиган. Ростом Вы не удались, и вообще у вас сильно пошатнувшееся здоровье и карма. У Вас закончились деньги, и Вы отправились на свой традиционный вечерний промысел.

Идете, значит, по темной улице, а навстречу идут две потенциальных источника дохода:

1. Марья Ивановна. Безобидная бабушка-блоггер. Проповедует терпимость.

2. Звероподобный боец спецназа. Весь в орденах и проповедуют очень понятную жизненную позицию: “дам отпор любому мудаку”

Вот на кого Вы поднимите руку? Только честно?

К чему это я?

К моей последней статье о безопасности блога появились весьма расслабленные комментарии в стиле: “Ну, кому мой бложик нужен…”

image

Неверно, думаешь, Дарья : – )

image

Александр, ты ошибаешься : – )

image

Правильно делаешь, FIL :- )

Друзья, хочу Вас огорчить.

Теперь представьте другую ситуацию :

Вы школьник протуберантного периода. Вы до рвоты обчитались журналом “Хакер” и решили поиграть в опасные игры, пока родители не вернулись с работы. Сердце забилось, ладони вспотели и потянулись к клавиатуре для самоутверждения среди своих одноклассников…

На ком Вы будете тренироваться?

1. На блоге безобидной бабушки, которая пишет “про блины и саморазвитие”?

2. Или на сайте звероподобного блоггера-многотысячника, который будет биться до последнего за свой проект? Вплоть до того, что напишет заявление в отдел “К”?

Думаю, что никто не хочет лично познакомиться в тюрьме со знатоками хакинга собственной задницы и предпочтет связаться с безобидной бабушкой, которая лишь тяжко вздохнет и горестно промолчит. А скорее всего даже не заметит взлома.

Если не поняли, то поясняю:

Молодые блоги представляют легкую добычу для злоумышленника ввиду общей неграмотности молодых сайтовладельцев. Они используют легкие пароли, боятся обновляться, боятся сделать резервную копию. Многие ведут блоги и даже не подозревают, что являются источником заразы.

И вообще, расслабленно думают о том, что “мой бложик никому не нужен”

Мой антивирус периодически орет на блоги моих комментаторов и естественно, я не пропускаю такие ссылки на мой блог. Если такое случается, то я сообщаю об этом своему коллеге. И, заметьте, такое наблюдаю 2-3 раза в неделю!

Мне кажется очень легкомысленным занятием рассуждать в том же духе: “я мелочь пузатая и никому не нужен”.

Дело в том, что существуют программные сканеры, которые массово проверяют блоги на уязвимости, проверяют версии WP, ломятся в админку сайта использую наиболее тупые пароли навроде admin 123qwerty.

Сканируют каталоги на наличие “трех топоров” и так далее…

Что делать? Куда бежать?!

Прочтите вот эти четыре статьи, и Вы значительно повысите безопасность своего блога:

Better WP Security — мощная защита блога за 5 минут. Как настроить и на что обратить внимание?

Как Вы думаете, сколько раз сегодня пытались взломать Ваш блог?

Антивирус Касперского на 6 месяцев бесплатно! Экономим 1120 рублей

7 способов проверить сайт на вирусы, вредоносные ссылки и прочую нечисть + 3 полезных плагина для WordPress

У меня есть видеоурок по безопасности, который рекомендую посмотреть, и все станет понятно.

 

Мой курс по безопасности WordPress
boxzashitasini

Уважаемые блогеры!

Обратите внимание на мой курс по безопасности WordPress, который так и называется:

"Защита блога на движке WordPress за два часа"

В этом небольшом курсе я систематизировал наиболее простые, но надежные методы защиты блога на WP от вирусов и хакеров.

Он будет полезен как начинающим, так и продвинутым блогерам.

Я сам пользуюсь этими методами на всех своих проектах.

Посмотрите вот это небольшое обзорное видео о курсе:

Для того, чтобы более подробно познакомиться с этим курсом, достаточно пройти регистрацию на моем закрытом сайте для блогеров:

Защищайте свои блоги!

Друзья, не расслабляйте свои булки, пожалуйста, и принимайте заранее все меры защиты!

А не когда станете популярными, но с насквозь взломанным блогом.

И ни в коем случае не заниматься грязными делами в Интернет, так как нужно быть очень самонадеянным вьюношей и думать, что все сойдет с рук. Занимайтесь нормальными делами, а не чтением кулцхакеров.

Обновление

Инструкция по установке и настройке iThemes Security

Вернулся к статье и добавил небольшое видео. Дело в том, что теперь плагин называется iThemes Security и появилось несколько новых функций. Особое внимание обратите на настройку, связанную с блокировкой русских символов.

Уже обращалось несколько человек, которые видят «белые экраны смерти» в админке своего блога..

Видео писал без дублей, с первого раза. Есть некоторые заминки и слова-сорняки : ) Но основной смысл понятен : )

Только для блогеров и вебмастеров:

Один комментарий к «Почему хакеры любят ломать молодые блоги?»

  1. Умеешь Дмитрий жути нагнать на читателей (((
    Я заражался уже трижды и согласен с тобой на 99% :)
    Спасибо за ссылки, пополз изучать

  2. Не про все плагины рассказал и могу порекомендовать хороший плагин безопасности WP Security Scan, который сканирует каталоги на права 777 и ищет слабые места и тоже делает резервную копию базы данных.

    • Согласен, хороший плагин WP Security Scan.
      Он позволяет делать базовые настройки. Точнее, он хорош для поиска папок с плохими правами доступа. Остальной функционал весьма скудный…
      Не настолько суров как Better WP Security )
      http://ideafox.ru/pro-blog/better-wp-security.html

      • Тоже много читал на эту тему и поделюсь:
        Очень часто ломают используя дырки в хостинге и тут ничего не поделаешь. Часто ломают через соседние сайты на одном виртуальном хостинге и лично я был жертвой редиректа через .htaccess и пока не проверил через Оперу-мини не знал про этот косяк.

        • Кстати, верно, Иван. Наиболее популярный вид взлома сейчас — это редирект мобильного трафика на сомнительные сайты типа «Скачать Оперу», «Обновить Flash» и просто зараженные сайты.
          Это происходит незаметно для блоггера и пока он не зайдет проверить свой сайт через коммуникатор, то ничего не узнает.
          Обязательно проверьте свои сайты через телефон)))
          Антивирусы здесь не помогают и не фиксируют эту проблему (Ну, может ДокторВеб еще просигнализирует)

          • Мобильный редирект — очень опасная штука, так как она незаметная.
            Как это происходит:
            1. Ломают сайт и вносят изменения в содержимое файла .htaccess
            2. Когда человек заходит с обычного компа, то все нормально
            3. Когда человек заходит с мобильника, то происходит перенаправление на зараженный сайт.
            Антивирусы часто молчат.
            Лечится удалением строк вредоносного кода в файле .htaccess и выставлением прав 444. Естественно, меняем все пароли и проводим полную проверку сайта.

    • Галина, привет!
      Мне очень понравилась твоя последняя статься про конфликты. Впечатляет. Как раз сейчас нахожусь на распутье и прямо в тему написала.
      Насчет безопасности блога подумай обязательно — будут вопросы, задавай, помогу.

      • Дима, спасибо!
        Мне очень приятно, что ты ко мне заглядываешь. Я тоже была на мощнейшем перепутье. Выбрала отойти от бизнеса совсем. Полностью погружаюсь в терапию, только из-за радости, которая приходит в этом процессе. Боязно без племени остаться. Хочу написать «мы купили контент-маркетинг по твоей рекомендации», но приходится тормозить, отвыкать от «мы» =).
        Пока отодвигалась от компании, бузила. И другие бузили. Поэтому вся статья — из собственного опыта =).
        Этому процессу помог мой блог, а моему блогу сильно помогаешь ты. Спасибо тебе за пример. Не только за технические штучки, но за энергию, которые ты вкладываешь в контакт, за дух на твоем блоге. Мне очень важно его ощущать.

  3. НАчиталась и пошла проверять. Ты не просто нагонятель жути)))Вроде все ок. У меня на компе стоит аваст лицензия, пока живу, касперский мне почему то не нравится.
    Лимит логенс не обновлялся два года, жаль что его забросили. WP Security Scan тормоз жуткий, может только у меня так?

    • Татьяна, привет!
      Уже тот факт, что Лимит Логин Аттемпт не обновляется, должен вызывать настороженность и лично я ушел от него в пользу BWPS, так как там есть встроенный механизм блокировки перебора паролей.
      WP Security Scan — ну, не знаю. У меня вроде не тормозит на VPS-хостинге.

      • И тебе привет! Я от Лимит Логин Аттемпт ушла после обновления ВП, у меня там глюк случился. Только после этого начала искать информацию о плагине и обновлениях. Лучше поздно, чем никогда… Может у меня ноут тормозит, фиг его знает, но пару раз этот плагин включала, и странные висы меня напугали. Так что пока — не решаюсь.

  4. Я тоже обратила внимание на комменты о «молодых бложиках» :-) И тоже раньше думала также… пока хостер не отключил мой сайт на полдня из-за атак.

      • Да, не то слово. Поначалу я подумала, что проблемы у самого хостера (хотя до этого не было вообще никаких нареканий к нему) — написала в тех.поддержку. Ответили вот что (не поленилась даже найти то письмо):

        Причина в большом кол-ве запросов на Ваши ресурсы
        Статистика по запросам — …

        Вам необходимо следить за запросами на Ваши сайты,и своевременно блокировать подозрительные запросы.
        Заблокировать их можно данным способом: …

        И т.д. О как!

        • Да, уж Ольга…
          Жестко у тебя там все… Небольшое уточнение — запросы были со многих IP или с одного?

          • Вообще аккуратнее, если видишь, что постоянно заходят с одного IP (и это не поисковые боты), то возможен парсинг статей. Смело бань таких умников.

          • Ага, баню) По поводу перчинок даже не думала, а и правда…

          • Ольга, каких перчинок?)
            Не совсем уловил)

          • Ох, уж эта автозамена (я через айпад отвечаю почти всегда:-)): ПАРСИНГ, конечно же. Прошу прощения))

  5. Не пощадили вы нас, бабушек блоггеров, которые пищут о саморазвитии и фанатеют по Иисусу)) Пора переходить на культ А. Борисова. Пошла разбираться с плагином)

    • Дарья, не хотел обидеть, если что)
      Могу убрать твой коммент из картинок. Но уж больно он показательный в своем заблуждении о том, что молодые блоги никому не интересны.
      Будут вопросы по плагину — задавай, помогу)

      • Да какие обиды, на дураках же учаться, если сами дураки учиться не хотят. Да и Иисусу нынче доверяют меньше, чем плагинам.
        Статья у вас, считаю, вышла закономерной и полезной)

  6. Дмитрий, спасибо Вам. Я свой блог недавно создал. Засветил ссылку только в паре мест. И у меня уже была одна попытка подбора пароля. Это ужас :D И это я только утром плагин поставил

      • Хорошо, Дмитрий, но я бы рекомендовал Беттер ВП Секьюрити. Он регулярно обновляется и в разы мощнее

    • Пожалуйста, Дмитрий) Лучше заранее решить такие вопросы, чем потом себе локти кусать)

      • Пока о Вашем блоге не узнал, никогда не думал о безопасности. Хотя логин и пароль всегда были сложными)
        Будет интересно узнать о попытках взлома — ведь тот, кто подбирает пароль может и комментировать.

  7. Просканил Security Scanом директории и он мне сказал что я слишком суров :) предложил дать больше прав на некоторые папки… что-то не нравится мне такая защита))

  8. Так вот ты какая, популярность! :-) Моё фото на страницах! Иногда оставить идущий вразрез с «согласными» комментарий мегаполезно ))) Главное не переборщить ))

    • Привет, Александр) Так я и говорю, что главное в блоггере-это его собственное мнение)

  9. Спасибо, Дмитрий за статью, тема безопасности для меня сейчас актуальнейшая.Написала статью об установке плагина и забанила ip адреса ворюг. Позавчера не смогла зайти на свой блог, испугалась, уж думала сама себя забанила. Написала хостеру, ответили: зафиксировано большое количество обращений к административной панели сайтов. Вот теперь изучаю все по безопасности. Спасибо за ссылки на статьи, почитаю, что еще можно сделать

    • Рашида, привет)
      Рад, что помогла статья) Ворюг-копипастеров действительно очень хорошо банить при помощи Беттер ВП Секьюрити.
      1. УЗнаешь IP-сайта, с которого воруют статьи
      2. Заносишь IP в бан лист.

  10. Да уж, это точно! Если воровать нечего, то это не значит, что не нужно защищаться)

  11. Привет, Дмитрий! Есть информация для особо сомневающихся в том, имеет ли смысл серьезно отнестись к защите своего блога.
    По данным авторитетного сайта Хабабр http://habrahabr.ru/post/176577/
    — с прошлой недели начались активные атаки на сайты, созданные на CMS WordPress.
    У самого админка блога два раза блокировалась из-за слишком частых попыток подбора пароля. Благодаря плагину, описанному в предыдущей статье и своему хостингу, все прошло гладко.
    Так что дело не в том, кому нужен молодой блог, а в спортивном интересе из серии «получиться-не получиться»

    • Спасибо, Артем)
      Отрадно, что в этой заметке тоже ссылаются на Беттер ВП Секьюрити.
      Кстати, комментаторы тоже отмечали увеличение подбора паролей к их админкам. Кого-то даже хостер забанил на некоторое время.

  12. из вашей статьи делаю неутешительный вывод — я потенциальная добыча?!

  13. Спасибо за статью. Придется все пересмотреть у себя. Интересно, а как они ищут наши молодые блоги? Неужели перелопачивают каждый блог на статистике?

    • Татьяна, это делается программными средствами. Просто ломают наиболее известные уязвимости, про которые новички не сном ни духом )

  14. Дмитрий,спасибо Вам за мудрые советы!Когда подойдет время,я обязательно обращусь к ним.Пока у меня нет сайта,я новичок в этом деле,всему только учусь(в силу своего возраста).Всего Вам доброго!

  15. Вот за что люблю своего хостера, так это за то что когда начинается подозрительная активность вокруг админки он сразу меняет адрес. Один раз когда об этом не знала. Решила зайти на свой блог. Ввожу адрес в браузере. Хая, а где админка? Меня в жар, думаю ну все увели блог. Бегом писать хостеру так мол и так. Они мне объяснили. У вас сегодня была активность приняли меры, поменяли адрес.

  16. Моему блогу чуть больше недели, а уже пытаются взломать. Сообщения на почту о попытках подбора пароля приходят почти каждый день. Скрытие не использовал, потому что требует включить permalinks (так понимаю вместо стандартных адресов настроить свои), но мне нравятся эти адреса и я не хочу их менять.

    Еще есть Stealth Login, он добавляет к форме входа еще одно поле с кодом, который задается в админке. В итоге надо подобрать 2 пароля, что гораздо сложнее.

    • Агент, в таком случае лучше поставить пароль на каталог administrator. Такое решение лучше, чем использовать еще один плагин.

  17. Почему бомбят молодые блоги понятно, для меня загадкой осталось как вычисляют эти молодые блоги? Я недавно сменил доменное имя, меня еще ни яндекс, ни гугел не проиндексировали. Зато на второй день меня бимбили так яростно, словно я e-кошелек какой-то… Если бы не Ваш, Дмитрий, урок про защиту, у меня бы наверное админов на сайте было бы штук десять)))))) Но плагины достойно и атаку отразили, и начинающий мой блог мне сберегли…

Оставить комментарий