WordPress ist eins der beliebtesten PHP Projekte, um Seiten zu erstellen. Es ist kostenlos, schnell, einfach und sehr anpassungsfähig. Von einer Blog Software hat es sich über die Jahre zu einem vollwertigen CMS gemausert. Immer mehr Firmen erstellen ihre Firmenseite mit WordPress. Mit einigen Modulen kann man daraus sogar einen Webshop machen.
Da es so beliebt ist, probieren immer mehr Hacker & Script-Kiddies dort natürlich Zugang zu erhalten, und das mit unterschiedlichen Methoden. Eine beliebte Methode ist, einfach das Passwort mit Brute-Force-Attacken raus zu bekommen. WordPress hat keinen eigenen Schutz dagegen. Dazu befindet sich der Admin-Login meistens unter /wp-admin, wodurch es relativ einfach ist, Zugang zu finden. Bei der Installation wird der Benutzername Admin automatisch vorgeschlagen, wodurch viele wahrscheinlich auch diesen Benutzernamen einfach verwenden.
Wie schützt man sich bei WordPress:
Erst einmal sollte man sein WordPress Blog immer Updaten. Da auch schon dort einige Sicherheitslücken gefunden wurden und mit einem Update geschlossen werden kann. Es gibt viele Module, die einen Schutz versprechen. Mein Favorit-Modul ist Better WP Security. Es bietet viele Funktionen und die deutsche Übersetzung ist auch gleich dabei (beim Screenshot hier jetzt nicht, da es direkt vom Plugin Schreiber kommt).
Bei der Übersicht werden unterschiedliche Punkte angezeigt, die unsicher sind bzw. vielleicht geändert werden sollen.
Mit einer automatischen Funktion kann mein seine Seite oder seinen Blog einfach und schnell sichern. Bevor man diese Funktion aber verwendet, sollte man ein Backup auf seine Blogs machen.
Sobald man so viel wie möglich bei WordPress sicher gemacht hat, kann man sich durch die unterschiedliche Einstellungen klicken. Wo es meistens noch Zusatzoptionen gibt. Eine Funktion die ich aktiviert habe, ist, dass ich automatisch E-Mails bekomme, wenn sich jemand mit einem falschen Passwort anmeldet. Es ist schon sehr interessant wie viele E-Mails auf einmal dadurch kommen und man sieht, dass dieses Modul funktioniert.
Wie ihr seht, wird die IP gesperrt und es kommt aber wenige Sekunden/Minuten später eine neue E-Mail mit einer anderen IP. Also wird probiert mit einem Botnetz das Passwort raus zu bekommen. In der E-Mail kann man dann direkt die IP Tracen, um zu prüfen, wo die meisten Angriffe herkommen.
Ich reiße jetzt nur einen kleinen Teil vom Modul an. Am besten ihr schaut einfach selbst mal rein. Ihr werdet erkennen, wie wichtig es eigentlich ist, seinen Blog abzusichern. Am besten ihr installiert es gleich von Anfang an, dann startet man sicher durch.