Bạn lo hacker tấn công trang WordPress? Chúng tôi muốn nói "đừng lo" nhưng sự thật: WordPress liên tục bị nhắm mục tiêu. Chủ yếu do phổ biến – WordPress chạy hơn 1/3 trang web toàn cầu.
WordPress nền tảng xây dựng web an toàn, nhưng không hoạt động đơn độc. Cần plugin và theme. Plugin/theme thường phát sinh lỗ hổng – hacker khai thác để xâm nhập.
Khi đã có quyền truy cập, hacker chạy mọi hoạt động độc hại: cắp thông tin nhạy cảm, lừa đảo khách hàng, hiển thị nội dung bất hợp pháp. Trang web bị cảnh báo trong kết quả tìm kiếm, bị Google blacklist, hoặc hosting treo tài khoản. Mất khách, mất doanh thu.
Lập trình viên WordPress giữ nền tảng an toàn tối đa, nhưng chủ web cũng phải tự bảo vệ. Bài viết thảo luận 5 tấn công phổ biến nhất và biện pháp phòng ngừa.
Tại Sao WordPress Là Mục Tiêu Phổ Biến Của Hacker?
WordPress cho phép ai cũng xây web không cần code. Miễn phí. Do đó chạy hơn 1,3 tỷ trang web hoạt động.
Mặt trái: WordPress bị nhắm mục tiêu nhiều hơn mọi nền tảng khác.
Nhiều cách hacker xâm nhập. Chúng tôi lọc ra 5 cách phổ biến nhất. Giải thích cơ chế và cách bảo vệ.
5 Tấn Công Phổ Biến Nhất Trên WordPress
1. Plugin & Theme Có Lỗ Hổng
Trang WordPress gồm 3 yếu tố: core, theme, plugin. Cả ba đều có thể tạo lỗ hổng.
Nhiều năm nay, core WordPress không có lỗ hổng lớn. Được duy trì bởi đội ngũ lập trình viên giỏi, đảm bảo an toàn tuyệt đối.
Tuy nhiên, plugin/theme do nhà phát triển thứ ba tạo – thường phát sinh lỗ hổng.
Khi phát hiện lỗ hổng, nhà phát triển sửa và phát hành bản cập nhật.
Chủ web cần cập nhật lên bản mới – web sẽ an toàn. Cài đặt bản cập nhật bảo mật ngay lập tức cực kỳ quan trọng. Vì khi phát hành cập nhật, nhà phát triển cũng công bố lý do – tức là công khai lỗ hổng. Hacker biết lỗ hổng tồn tại, biết không phải chủ web nào cũng cập nhật ngay. Họ lập trình bot/quét tìm web dùng plugin/theme lỗi, khai thác dễ dàng, chèn mã độc (như wp feed malware...).
Cách Bảo Vệ Tránh Plugin & Theme Lỗ Hổng
- Chỉ dùng theme/plugin uy tín từ kho WordPress hoặc ThemeForest, Code Canyon.
- Kiểm tra danh sách plugin thường xuyên, chỉ giữ plugin đang dùng. Xóa plugin không cần/không hoạt động.
- Quét theme định kỳ, lý tưởng chỉ giữ theme đang dùng.
- Không dùng theme/plugin pirated (null/crack) – thường chứa mã độc lây lan web.
- Đảm bảo nhận biết tất cả plugin/theme trên web. Đôi khi hacker cài plugin/theme riêng có backdoor – cho truy cập bí mật.
2. Tấn Công Brute Force (Dò Mật Khẩu)
Đăng nhập WordPress cần tên người dùng và mật khẩu.
Nhiều chủ web dùng tên/mật khẩu dễ nhớ. Nhiều giữ mặc định 'admin'. Mật khẩu phổ biến: 'password123', '1234567'.
Hacker biết rõ, tấn công trang đăng nhập.
Hacker xây cơ sở dữ liệu tên/mật khẩu phổ biến. Lập trình bot tấn công WordPress, thử các tổ hợp trong cơ sở dữ liệu.
Nếu thông tin đăng nhập yếu, bot dễ đoán đúng và xâm nhập. Đây gọi là 'Brute Force Attack' – ước tính tỷ lệ thành công 10%!
Cách Bảo Vệ Tránh Brute Force
- Mặc định user WordPress là admin. Đổi thành tên duy nhất hơn.
- Dùng mật khẩu mạnh. Đề xuất cụm từ (passphrase) kết hợp số và ký tự đặc biệt:
Birdsofafeather123$. - Dùng thông tin đăng nhập duy nhất, không dùng chung trang khác.
- Giới hạn lần đăng nhập. User chỉ có số lần nhập sai cho phép (3 hoặc 5 lần). Sau đó phải dùng 'quên mật khẩu'. Cài MalCare – tự động áp dụng bảo vệ đăng nhập này.
- Bật xác thực 2 yếu tố (2FA): nhập thông tin + mã OTP trên điện thoại/email.
3. Tấn Công Tiêm Mã (Injection Attacks)
Gần như mọi web có ô nhập liệu: form liên hệ, thanh tìm kiếm, bình luận... Cho người truy cập nhập dữ liệu. Một số cho tải file.
Dữ liệu thường được chấp nhận, gửi về database xử lý/lưu trữ. Các ô này cần cấu hình đúng để xác thực và làm sạch dữ liệu trước khi vào database. Chỉ chấp nhận dữ liệu hợp lệ. Nếu thiếu biện pháp, hacker khai thác chèn mã độc.
Ví dụ: web WordPress có form liên hệ. Lý tưởng: trường tên chỉ nhận chữ cái, email đúng định dạng example@mysite.com, điện thoại chỉ số.
- Trường tên: chỉ chữ cái.
- Trường email: định dạng email hợp lệ.
- Trường điện thoại: chỉ chữ số.
Nếu thiếu cấu hình, hacker chèn script độc hại như:
String userLoginQuery = "SELECT user_id, username, password_hash FROM users WHERE username = '" + request.getParameter("user") + "'";Mã này ra lệnh database thực thi hàm nhất định. Hacker chạy script độc hại trên web, chiếm quyền kiểm soát toàn bộ.
Tấn công tiêm phổ biến nhất trên WordPress: SQL Injection và Cross-Site Scripting (XSS).
Cách Bảo Vệ Tránh Tấn Công Tiêm Mã
- Nhiều tấn công tiêm từ theme/plugin cho phép nhập liệu. Chỉ dùng theme/plugin uy tín. Luôn cập nhật plugin/theme mới nhất.
- Kiểm soát nhập liệu và gửi dữ liệu. Kỹ thuật, cần hỗ trợ lập trình viên.
- Dùng tường lửa WordPress. Cài MalCare – tự động dựng tường lửa mạnh chống hacker.
4. Lừa Đảo Online (Phishing) & Cắp Dữ Liệu
Khách truy cập tương tác web nhiều cách: đọc blog, gửi form liên hệ, mua hàng (cần đăng nhập, nhập thẻ tín dụng).
Khi nhập thông tin thẻ, dữ liệu chuyển và lưu trên server. Có thể bị chặn khi truyền. Dữ liệu thẻ cũng có thể bị cắp trực tiếp.
Hacker cũng có thể xâm nhập, mạo danh bạn. Gửi email hoặc chuyển hướng khách đến web khác, lừa كشف thông tin cá nhân và thanh toán.
Cách Bảo Vệ Tránh Phishing & Cắp Dữ Liệu
- Dùng chứng chỉ SSL. Mã hóa dữ liệu truyền từ/đến web. Hacker chặn được cũng không giải mã được. Xem hướng dẫn SSL/HTTPS. Cũng gỡ cảnh báo "WordPress site not secure".
- Dùng Plugin Bảo Mật WordPress nhận cảnh báo hoạt động đáng ngờ. Plugin cũng chặn попытки hack.
5. Cắp Cookie (Cookie Stealing)
Bạn thấy trình duyệt hỏi "ghi nhớ mật khẩu" khi đăng nhập? Để không phải nhập lại mỗi lần truy cập. Cho phép trình duyệt lưu thông tin.
Trình duyệt lưu được nhờ cookie. Cookie = mẩu dữ liệu nhỏ ghi lại tương tác khách với web. Ví dụ: web bán hàng theo dõi hành trình khách: tìm sản phẩm gì, mua gì. Dữ liệu dùng cho phân tích, quảng cáo cá nhân hóa. Cookie cũng lưu ngân hàng, thông tin cá nhân.
Nếu hacker cắp cookie web của bạn, họ truy cập dữ liệu nhạy cảm doanh nghiệp và khách. Dùng để lừa đảo: dùng thông tin thẻ tín dụng khách.
Đọc thêm hướng dẫn Cookie Stealing và Session Hijacking.
Cách Bảo Vệ Tránh Cắp Cookie & Session Hijacking
- Thay đổi WordPress keys và salts định kỳ. Keys/salt mã hóa an toàn thông tin trong cookie trình duyệt. Kỹ thuật – khuyến nghị dùng tính năng cứng hóa MalCare: từ bảng điều khiển MalCare, vào Security > WordPress hardening > Change WordPress Security Keys and Salts.
- Cũng khuyến nghị cài SSL bảo vệ dữ liệu web.
Kết thúc 5 tấn công phổ biến. Trước khi kết thúc, xem thêm biện pháp cứng hóa WordPress chống tấn công.
Cách Cứng Hóa (Harden) WordPress Chống Tấn Công?
Bên cạnh biện pháp cụ thể cho từng tấn công, có biện pháp chung tăng cường bảo vệ – gọi là WordPress hardening. Tóm tắt ở đây, chi tiết xem hướng dẫn WordPress Hardening.
1. Vô hiệu hóa trình soạn thảo file
WordPress cho chỉnh sửa file theme/plugin trực tiếp từ bảng điều khiển. Nhiều chủ web không cần, chủ yếu dành cho lập trình viên. Nhưng hacker xâm nhập wp-admin có thể chèn mã độc vào file theme/plugin. Nếu không cần, hãy vô hiệu hóa.
2. Vô hiệu hóa cài đặt plugin/theme
Khi hacker truy cập web, họ cài plugin/theme riêng. Thường chứa backdoor – cho hacker "cửa sau" bí mật.
Như đã nói, plugin/theme lỗ hổng là nguyên nhân hàng đầu hack web. Nếu nhiều user trên web, họ có thể cài plugin/theme không an toàn – mở cửa cho hacker. Muốn tránh, hãy vô hiệu hóa cài đặt plugin/theme.
Nếu không thường xuyên cài plugin/theme, hãy tắt tùy chọn cài đặt.
3. Giới hạn lần đăng nhập
Như đã nói, giới hạn số lần user nhập sai thông tin đăng nhập. Loại bỏ rủi ro brute force.
4. Thay đổi security keys và salts
Keys/salt mã hóa thông tin trong trình duyệt. Hacker cắp cookie cũng không giải mã. Nhưng hacker lấy được keys/salt thì giải mã được cookie. Thay đổi định kỳ keys/salt giúp chống cắp cookie.
5. Chặn thực thi PHP trong thư mục lạ
Chỉ một số file/thư mục WordPress thực thi code. Thư mục khác chỉ lưu thông tin (Uploads lưu ảnh/video).
Khi hacker truy cập, họ chèn code PHP vào thư mục ngẫu nhiên hoặc tự tạo thư mục.
Chặn hoạt động này bằng cách vô hiệu hóa thực thi PHP trong thư mục không xác định.
Triển khai các biện pháp này đòi hỏi chuyên môn. Không khuyến nghị làm thủ công. An toàn và dễ dàng hơn: dùng plugin như MalCare – làm tất cả chỉ vài cú click.
Với các biện pháp này, chúng tôi tin trang WordPress của bạn đã an toàn, bảo vệ trước hacker.
Tóm Lại
Hacker có vô số cách xâm nhập WordPress, liên tục tìm ra cách mới!
Bạn cần biện pháp bảo mật chủ động bảo vệ web, đảm bảo an toàn trước tấn công.
Khuyến nghị dùng MalCare Security Plugin bảo vệ WordPress. Nó chặn hacker và bot độc hại. Bạn yên tâm web được giám sát và bảo vệ.
Ngăn Chặn Hack Với MalCare Security Plugin!