Bạn có lo lắng rằng hacker đang cố gắng khám phá tên người dùng trên trang web WordPress của bạn để hack nó?
Có lẽ đó không phải là phản ứng đầu tiên của bạn, đúng không?
Nhưng đây là sự thật: Dò tìm trang web để tìm tên người dùng là một chiến thuật khá phổ biến mà hacker sử dụng.
Khi hacker tìm thấy tên người dùng hợp lệ, họ chỉ cần đoán mật khẩu để truy cập trang web của bạn. Hacker sau đó sẽ sử dụng cái gọi là 'Tấn Công Brute Force' để đoán đúng mật khẩu vào bảng điều khiển WordPress của bạn.
Tiếp theo, họ kiểm soát hoàn toàn trang web của bạn và gây rối loạn. Hacker đánh cắp dữ liệu, chuyển hướng người truy cập, spam khách hàng, trong một danh sách dài các hoạt động độc hại khác.
Đừng lo lắng vì bạn có thể ngăn chặn hacker khám phá tên người dùng bằng cách thực hiện các biện pháp chống lại lỗ hổng liệt kê người dùng.
Trong hướng dẫn này, bạn sẽ tìm hiểu liệt kê người dùng là gì và cách ngăn chặn nó không bị khai thác bởi hacker.
TL;DR: Liệt kê người dùng có thể tăng cơ hội tấn công brute force thành công trên trang web WordPress của bạn. Để ngăn chặn điều này, bạn có thể cài đặt Plugin Bảo Mật MalCare. Nó sẽ phát hiện và tự động chặn các lần thử brute force trên trang web của bạn.
Liệt Kê Người Dùng Là Gì?
Liệt kê tên người dùng là quá trình mà hacker có thể tìm thấy người dùng của một trang web WordPress. Họ quét trang web và thu thập thông tin người dùng (như tên, email) mà họ dùng để thử đăng nhập vào trang web.
Lưu ý: Bằng người dùng, chúng tôi không có nghĩa là người truy cập hoặc khách hàng. Chúng tôi có nghĩa là những người dùng có quyền truy cập vào bảng điều khiển quản trị WordPress của bạn.
Tại sao đây là vấn đề? Hacker sử dụng kỹ thuật gọi là tấn công brute force, trong đó họ cố gắng đoán tên người dùng và mật khẩu của bạn. họ lập trình bot để nhập hàng nghìn tổ hợp tên người dùng và mật khẩu trong vài giây.
Nhưng nếu họ biết tên người dùng của bạn, có nghĩa là họ chỉ còn một bước để truy cập trang web của bạn.
Đây là lúc liệt kê người dùng xuất hiện. Hacker cố gắng tìm ra tên người dùng bằng cách xem tên tác giả và địa chỉ email trên trang web của bạn.
Có nhiều cách khác nhau mà hacker có thể tìm thấy tên người dùng trên trang web của bạn. Việc hiểu các phương pháp hacker sử dụng rất quan trọng để thực hiện các biện pháp chống lại liệt kê người dùng.
Các Loại Liệt Kê Người Dùng
Tên người dùng được lưu trữ trong cơ sở dữ liệu của trang web WordPress của bạn. Tuy nhiên, hacker không nhất thiết phải truy cập cơ sở dữ liệu của bạn để tìm thông tin này.
Chúng tôi chi tiết hai kỹ thuật chính mà hacker sử dụng để liệt kê người dùng trên trang web WordPress:
1. Sử Dụng Lưu Trữ Tác Giả
Mọi người dùng trên trang web WordPress của bạn có một ID duy nhất được phân bổ cho họ. ID này được WordPress dùng để tham chiếu đến tài khoản người dùng tương ứng trong cơ sở dữ liệu.
Tiếp theo, khi người dùng trang web của bạn tạo trang và bài viết, WordPress lưu trữ dữ liệu này trong lưu trữ tác giả.
Lưu trữ tác giả về cơ bản phân loại trang và bài viết theo người tạo ra nó.
Hacker có thể chạy kịch bản trên trang web của bạn để tải lưu trữ tác giả có thể tiết lộ ID người dùng. Tiếp theo, họ chạy thêm kịch bản để tìm ra tên người dùng liên kết với ID người dùng.
2. Sử Dụng Form Đăng Nhập
Khi bạn nhập tên người dùng không hợp lệ trên trang đăng nhập WordPress, nó hiển thị thông báo này:
Trong khi đó, nếu bạn nhập tên người dùng hợp lệ và mật khẩu không đúng, WordPress hiển thị thông báo này:
Điều này cho thấy tên người dùng 'user1@example.com' là tên người dùng hợp lệ và chỉ có mật khẩu là không đúng.
Hacker sử dụng các công cụ như Burp Intruder để tải danh sách các tên người dùng có thể có để tìm tên người dùng hợp lệ bằng cách kiểm tra phản hồi này từ WordPress.
Sử dụng các phương pháp này, hacker có thể khám phá tên người dùng của bạn và điều này khiến họ gần hơn với việc hack trang web của bạn. Bạn có thể thực hiện các biện pháp bảo mật để đảm bảo điều này không xảy ra.
Ngăn Chặn Cố Gắng Liệt Kê Người Dùng
Bạn có thể ngăn chặn liệt kê người dùng bằng cách sử dụng plugin hoặc bằng cách thủ công chèn một đoạn mã vào các tệp WordPress của bạn. Chúng tôi không khuyến khích phương pháp thủ công vì nó cực kỳ rủi ro. Sai lầm nhỏ nhất có thể làm hỏng trang web của bạn. Tuy nhiên, chúng tôi sẽ chi tiết các bước cho cả hai phương pháp.
1. Cài Đặt Plugin Stop User Enumeration
Đây là cách dễ dàng và hiệu quả nhất để ngăn chặn liệt kê người dùng trên trang web WordPress của bạn. Bạn có thể cài đặt Plugin Stop User Enumeration này trên trang web của bạn từ kho WordPress.
Như tên gọi, plugin được thiết kế để ngăn chặn hacker quét trang web của bạn tìm tên người dùng.
Nó cũng có tính năng tiện lợi là ghi lại địa chỉ IP đang cố gắng liệt kê người dùng của bạn. Địa chỉ IP là mã duy nhất được phân bổ cho thiết bị kết nối internet. Các plugin tường lửa WordPress như MalCare được thiết kế để phát hiện địa chỉ IP thực hiện hoạt động độc hại và chặn chúng truy cập trang web của bạn.
Nếu bạn đã cài đặt tường lửa trên trang web, bạn có thể đối chiếu nhật ký địa chỉ IP do plugin Stop User Enumeration cung cấp với những địa chỉ IP mà tường lửa của bạn đang chặn. Trong trường hợp nó không chặn, hầu hết các tường lửa cho phép bạn nhập thủ công địa chỉ IP và đưa vào danh sách đen. Tường lửa sau đó sẽ tự động ngăn chặn địa chỉ IP đó truy cập trang web của bạn vĩnh viễn.
2. Chèn Mã Thủ Công Để Ngăn Chặn Liệt Kê Người Dùng
LƯU Ý: Nhớ rằng, chúng tôi KHÔNG KHUYẾN NGHỊ sử dụng phương pháp này. Trong trường hợp bạn muốn tiếp tục, chúng tôi khuyên bạn nên sao lưu trang web WordPress của bạn. Nếu có gì sai sót, bạn có thể khôi phục trang web về trạng thái bình thường.
Bước 1: Đăng nhập vào tài khoản hosting của bạn, vào cPanel > File Manager. (Bạn cũng có thể truy cập tệp của mình bằng FTP như FileZilla.)
Bước 2: Mở thư mục public_html, vào wp-content và truy cập thư mục theme của bạn. Nhớ chọn theme đang hoạt động trên trang web của bạn.
Bước 3: Tại đây, bạn có thể tìm thấy tệp function.php của theme. Nhấp chuột phải và chỉnh sửa tệp này.
Bước 4: Chèn mã sau:
/** * Chặn Cố Gắng Liệt Kê Người Dùng */ function kl_block_user_enumeration_attempts() { if ( is_admin() ) return; $author_by_id = ( isset( $_REQUEST['author'] ) && is_numeric( $_REQUEST['author'] ) ); if ( $author_by_id ) wp_die( 'Lưu trữ tác giả đã bị vô hiệu hóa.' ); } add_action( 'template_redirect', 'kl_block_user_enumeration_attempts' ); Lưu thay đổi và đóng tệp. Liệt kê người dùng nên bị chặn trên trang web của bạn.
Với điều đó, chúng ta kết thúc việc bảo vệ trang web của bạn chống lại liệt kê người dùng. Chúng tôi cũng mạnh mẽ khuyên bạn nên sử dụng tên người dùng không dễ dàng có sẵn trên trang web của bạn. Ví dụ, nếu bạn có thành viên nhóm và tên tác giả blog hiển thị trên trang web, việc giữ tên admin khác biệt sẽ khôn ngoan.
Tổng Kết
Bằng cách chặn liệt kê người dùng trên trang web WordPress, bạn giảm thiểu cơ hội tấn công brute force. Hacker thường nhắm mục tiêu vào các trang web dễ hack. Bot của họ sẽ thực hiện một vài lần thử không thành công và rời khỏi trang web của bạn.
Tuy nhiên, tấn công brute force chỉ là một trong những mối đe dọa bảo mật mà bạn cần bảo vệ trang web WordPress khỏi hacker.
Chúng tôi mạnh mẽ khuyên bạn nên kích hoạt plugin bảo mật sẽ quét trang web của bạn thường xuyên để đảm bảo nó sạch và không có malware. Nó cũng sẽ chủ động chặn hacker truy cập trang web của bạn.
Bạn có thể vận hành trang web với sự an tâm biết rằng trang web của bạn được bảo mật.
Bảo Vệ Trang Web WordPress Của Bạn Với MalCare!