如何为WordPress做安全防护?

最近看了infosec 出品的<<Protecting WordPress Installations in an IaaS Environment》决定给裸奔的wordpress做做安全加固。

wordpress是国人搭建个人博客的首选,其地位等同于论坛搭建首选discuz(话说,discuz才报出全局变量绕过导致的命令执行大洞,唉,开源的APP都是不产蜜而产getshell的蜂巢)

wordpress以丰富的插件(插件漏洞)闻名,因此攻击者一般会对wordpress来个指纹识别(除去找暴力破解/社工后台登陆口的快捷方法)

一、wpscan  – WordPress指纹识别及漏洞检查工具

该网站被丧心病狂的GFW封掉了,翻墙吧psiphon搔年,或者使用渗透套装kali(重点不是wpscan,了解攻击才能给出相应防御措施)

a.安装

以ubuntu安装为例

b.基本使用

枚举站点信息:用户名、插件、样式等信息

察看详细的探测信息

(注意:wpscan 默认User-Agent为WPScan v2.5.1 (http://wpscan.org),扫描器使用常识之一使用正常变化的ua,避免触发WAF之类的防御部署)
基本察看LOG,我们就可以知道wpscan是如何收集信息
例如检查响应头X-Pingback: http://www.tanjiti.com/xmlrpc.php 头 (xmlrpc漏洞)
检查xmlrpc.php (xmlrpc漏洞)
检查robots.txt文件 (敏感信息泄露)
检查readme.html文件(敏感信息泄露)
检查/wp-content/debug.log(敏感信息泄露)
检查配置文件(能够明文读取配置文件基本就是挂掉了),wp-config.php.swo,%23wp-config.php%23,wp-config.orig,wp-config.php_bak,wp-config.original,wp-config.php.orig,wp-config.php.old,.wp-config.php.swp,wp-config.php.save,wp-config.bak,wp-config.txt,wp-config.php~ ,wp-config.save ,wp-config.old,wp-config.php.swp (敏感信息泄露)
识别指纹后,一般会去漏洞信息库中查找可以利用的漏洞,例如MSF

二、MSF-wordpress漏洞利用(已方使用就是漏洞扫描)

以前段时间有名的XMLRPC DoS为例(漏洞说明见 《[科普]什么是 billion laughs-WordPress与Drupal的DoS攻击有感》)

(再次强调,重点不是Metasploit,了解攻击才能给出相应防御措施)

三、wordpress防护——使用ModSecurity进行防护

安装及规则编写的基础知识见《[科普文]ubuntu上安装Apache2+ModSecurity及自定义WAF规则》

(1) 添加防御xmlrpc漏洞的规则

使用MSF发送攻击包

可以看到拦截日志如下

(2) 添加防御wpscan默认扫描头的规则

再次运行wpscan,可以看到拦截日志如下

大伙可以针对性地添加规则,对个人网站而已,添加白规则较之黑规则会事半功倍,这里的示例规则仅仅是抛砖引玉。

四、wordpress防护——屏蔽敏感信息访问

五、wordpress防护——启用安全头

vim /etc/apache2/conf-available/security.conf

(1) 防止在IE9、chrome和safari中的MIME类型混淆攻击

Header set X-Content-Type-Options: "nosniff"
(2) 防止clickjacking,只允许遵守同源策略的资源(和站点同源)通过frame加载那些受保护的资源。

Header set X-Frame-Options: "sameorigin"
(3) 开启xss防护并通知浏览器阻止而不是过滤用户注入的脚本。

Header set X-XSS-Protection "1;mode=block"
service apache2 restart

六、wordpress防护——登陆口防爆破

一般的方法是设置一个登陆口白名单,但现在越来越多的网站使用CDN服务,明显不再是个好的防护方案
安装Login LockDown 插件,wordpress后台插件管理处搜索即可,设置也超级简单
设置实例:
8821414553178
如果在5分钟失败3次就会封锁IP60分钟
49941414553180