Có website WordPress tuyệt vời, nhưng trong thế giới số, luôn có cuộc chiến giữa "người tốt" và "người xấu"... nghe như kịch bản phim, nhưng đây là thực tế! Người tốt – nhà nghiên cứu bảo mật và developer, muốn giữ an toàn website. Người xấu – hacker và spammer, muốn dùng website trái phép cho mục đích độc hại.
Hãy đi sâu hơn...
"Mỗi 39 giây có một cuộc tấn công vào website và 98% lỗ hổng WordPress liên quan đến plugin"
Khi bạn đọc dòng này, một kẻ tấn công ở đâu đó đang cố gắng truy cập trái phép trang WordPress bằng cách khai thác lỗ hổng plugin.
Tháng 4/2019, người tốt (nhà nghiên cứu bảo mật) phát hiện lỗ hổng Cross-site Scripting (XSS) bền vững trong Plugin WP Live Chat Support. Điều này báo động cho người xấu (hacker) khai thác lỗ hổng và tiêm mã độc vào website, từ đó kiểm soát trang web. WP Live Chat Support là plugin WordPress miễn phí thay thế các live chat plugin đầy đủ tính năng cho tương tác và chuyển đổi. Plugin có hơn 60.000 active installs, đặt hàng nghìn user dưới rủi ro.
Lỗ hổng này là gì và ảnh hưởng thế nào đến bạn?
Lỗ hổng trong WP Live Chat Support cho phép attacker thực hiện tấn công XSS trên website mục tiêu.
Trong tấn công XSS, hacker tiêm mã/script độc hại vào website mà bạn không hay biết. Mã này có thể thu thập dữ liệu user, sửa nội dung website hoặc chuyển hướng đến trang web bị compromise khác. Nếu hacker tiêm mã vào phần lưu trữ trên server (ví dụ: bình luận user), nó trở thành XSS bền vững (Persistent XSS).
'Bền vững', vì mỗi khi user tải trang bị nhiễm, trình duyệt thực thi mã độc đó, hoàn thành cuộc tấn công.
Chúng ta biết Google rất coi trọng bảo mật site. Lỗ hổng này ảnh hưởng xấu đến SEO, tạo vấn đề niềm tin cho user. Trường hợp xấu: mất quyền truy cập website hoặc bị hosting suspend do có spam link và malware.
Lý do lỗ hổng này nghiêm trọng: nó không yêu cầu xác thực và có thể bị khai thác bởi user thậm chí không có tài khoản trên website bị nhiễm. Với không yêu cầu auth, dễ dàng tự động hóa tấn công ảnh hưởng hàng loạt site, hơn 60.000 trong trường hợp này!
Cơ chế tấn công
Tấn công khả thi do 'admin_init hook' không được bảo vệ. Đây là điểm bắt đầu phổ biến của attacker trong tấn công plugin WordPress.
Hook là cơ chế cho một đoạn code tương tác và thay đổi đoạn code khác. WordPress gọi hook khi ai đó truy cập trang admin. Developer dùng hook để gọi các hàm tại thời điểm đó. Vấn đề: hook không yêu cầu xác thực, bất kỳ ai truy cập URL admin đều có thể dùng nó để chạy code. Hook admin của WP Live Chat gọi action wplc_head_basic không kiểm tra quyền user, chỉ cập nhật cài đặt plugin.
Hacker khai thác lỗ hổng để cập nhật option JavaScript wplc_custom_js điều khiển nội dung hiển thị khi cửa sổ live chat xuất hiện. Widget live chat theo dõi user trên hầu như mọi trang, nên hacker dễ dàng nhắm nhiều trang bằng phương pháp này!
Cách bảo vệ site khỏi lỗ hổng này?
Developer của WP Live Chat Support đã phát hành bản vá khắc phục lỗ hổng. Giải pháp tốt nhất: cập nhật lên phiên bản mới nhất.
Giải pháp tốt nhất để tránh bị hack là cập nhật plugin WP Live Chat Support lên phiên bản mới nhất.
Mọi phiên bản sau 8.0.27 đều an toàn, nhưng khuyến khích cập nhật thường xuyên lên phiên bản gần nhất. Phiên bản mới nhất là 8.0.33 và có sẵn tại đây.
Cách giữ an toàn site trong tương lai?
Bước 1: Chỉ cài Plugin & Theme từ nguồn tin cậy!
Rất hấp dẫn khi tải plugin premium miễn phí từ web/torrent, nhưng bạn chấp nhận rủi ro chúng chứa malware/virus. Có thể tiết kiệm vài đô nhưng có thể mất hàng nghìn đô để khôi phục site. Luôn cài từ nguồn tin cậy, tốt nhất là công ty chính thống, kiểm tra đã được chuyên gia và cộng đồng kiểm duyệt mã độc.
Marketplace plugin WordPress tin cậy:
- WordPress.org
- CodeCanyon
- PickPlug-ins
- Mojo Marketplace
- MyThemeshop
- Themeisle
- ThemeForest
Bước 2: Cài Plugin bảo mật đáng tin cậy
WordPress có hệ thống bảo mật khá tốt. Nhưng lỗ hổng như trên có thể bypass mọi kiểm tra. Do đó plugin bảo mật là then chốt.
Nên chọn plugin không chỉ quét sau khi nghi ngờ tấn công, mà plugin chủ động đảm bảo site an toàn 24/7: quét malware, xóa malware, tường lửa WordPress, quản lý website... tất cả trong một, giá hợp lý!
MalCare được phát triển chính xác cho những điều này và đảm bảo hệ thống phòng thủ luôn sẵn sàng.
MalCare cung cấp:
Quét Malware:
MalCare quét website với 100+ tín hiệu và vượt quá xác minh chữ ký (signature). Điều này giúp phát hiện malware tốt hơn bất kỳ plugin nào trên thị trường. Có thể nhận diện cả malware chưa biết chưa có trong database.
MalCare đồng bộ toàn bộ site và theo dõi mọi thay đổi 24/7. Mọi thay đổi trái phép được truy vết đến vị trí chính xác, giúp xác định nguồn malware. Zero load trên server của bạn vì MalCare quét tất cả file trên server riêng của nó. Website không bao giờ chậm!
Thiết lập quét tự động hàng ngày bằng cách chỉ định lịch trong settings. Cũng có tùy chọn quét on-demand không giới hạn bất cứ khi nào muốn và nhận thông báo tức thì nếu tìm thấy malware.
MalCare giải quyết cả false positives (cảnh báo sai). Có tỷ lệ false positives thấp nhất ngành – chỉ cảnh báo sau khi kiểm tra kỹ.
Xóa Malware:
Với xóa malware 1-click của MalCare, site sạch malware dưới 60 giây!
MalCare không ảnh hưởng website khi dọn dẹp. Nếu file bị nhiễm, MalCare chỉ xóa phần bị nhiễm, giữ nguyên dữ liệu của bạn. Website không bao giờ bị hỏng ngay cả khi MalCare đang làm việc cật lực ở backend.
Khi MalCare xác định và xóa một malware, nó không bao giờ có thể nhiễm lại site của bạn. Bao giờ. Chúng tôi cam kết. Giống như cơ thể miễn dịch với thủy đậu sau khi mắc, MalCare biết cách bảo vệ site khỏi tấn công và malware tương tự nếu quay lại. Bạn có miễn dịch với tấn công tương lai.
Tường lửa WordPress:
Giữ kẻ xấu ngoài, chỉ cho traffic tốt vào – MalCare firewall làm chính xác điều đó, và hơn nữa!
Firewall theo dõi traffic đến 24/7 đối chiếu với danh sách IP độc hại đã biết trong mạng lưới và chặn IP nguy hiểm truy cập site. Nếu attacker không truy cập được site, khó tấn công. Hỗ trợ geo-blocking cho bảo vệ thêm. Cũng có bảo vệ đăng nhập dựa trên CAPTCHA chống brute force. Nếu phát hiện đăng nhập đáng ngờ, bạn được thông báo ngay.
Cũng có xác thực 2 yếu tố (2FA) đảm bảo không ai truy cập site nếu không có mật khẩu và mã đúng.
Quản lý Website:
Cần giữ plugin/theme luôn phiên bản mới. Như đã thấy, giải pháp đơn giản cho lỗ hổng WP Live Chat là cập nhật ngay khi developer ra bản vá. Công cụ quản lý MalCare sẽ cập nhật tất cả theme và plugin trên mọi website của bạn. Dùng WordPress core manager để cập nhật core, nâng cấp WordPress, kiểm tra phiên bản PHP.
Trong trường hợp muốn cấp quyền cho client nhưng không muốn họ can thiệp chức năng site, công cụ quản lý MalCare cho phép gán vai trò và quyền truy cập cụ thể để không ai làm thay đổi ngoài ý muốn. Dễ dàng thêm thành viên team và client cho mọi website.
Hơn nữa, bạn có thể quản lý không giới hạn website với MalCare.
Bạn còn giám sát uptime site, nhận cảnh báo downtime trên Slack và kiểm tra hiệu suất website. Với báo cáo client theo yêu cầu và theo lịch trình, tiết kiệm thời gian bằng cách tập trung dữ liệu và insight.
Điều khiển tất cả từ bảng điều khiển tập trung!
Về bảo mật web, không thể có sự thỏa hiệp. Website là danh tính của bạn trong thế giới số. Cần đảm bảo không bị tổn hại bởi malware, virus hay hack. MalCare bảo vệ website chống lại mọi mối đe dọa hiện tại và tương lai. Chỉ từ $8.25/tháng! Tất cả tính năng trên có sẵn miễn phí với mọi gói.
MalCare giúp giữ site an toàn khỏi mọi mối đe dọa 24/7.