Как се хакват уебсайтове

Модул 7: Сигурност · Време за четене: 8 минути

Учебна цел: След този урок ще можете реалистично да обясните как обикновено се хакват WordPress сайтовете, защо и малките сайтове са мишена и какво целят нападателите с тях.

Ключови понятия: уязвимост, пропуск в разширение или тема, автоматично сканиране, credential stuffing, brute force, nulled софтуер, заразен компютър, последствия (спам, пренасочване, фишинг, malware), повърхност за атака

„Моят сайт е твърде малък, за да представлява интерес“

Това е най-често срещаната заблуда. Почти никоя WordPress хак атака не е насочена към конкретен сайт. Нападателите използват програми, които автоматично проверяват хиляди сайтове на час и търсят само едно нещо: известна слаба точка. Ако програмата я намери, тя прониква в сайта, без значение дали той принадлежи на мултинационална компания или на местния футболен клуб.

Това, което искат, не е Вашият сайт, а това, което сайтът Ви може:

• Спам и злоупотреба с търсачки: хиляди скрити страници или линкове за лекарства, хазарт или фалшиви магазини, които се възползват от доброто име на Вашия домейн в Google.
• Пренасочване: посетителите (често само тези от Google или от телефон) биват пренасочвани към фалшив сайт или измамна страница. Вие не забелязвате нищо, защото влизате чрез отметка в браузъра.
• Фишинг: фалшива страница за вход на банка или куриерска служба, скрита във Вашата папка uploads, с Вашето име на домейн в линка.
• Разпространяване на malware към посетителите.
• Изпращане на поща: Вашият сървър изпраща спам, а след това собствената Ви поща вече не пристига.
• Изчислителна мощност: Вашият пакет се използва за атаки срещу други сайтове или за добив на криптовалута.
• Данни: при онлайн магазин или сайт с членство, данните на Вашите клиенти.

Вход 1: пропуск в разширение или тема

Това е безспорно най-важният вход. Според годишния доклад на Patchstack, компания, която следи пропуските в WordPress, през 2024 г. са открити 7 966 нови уязвимости в екосистемата на WordPress. 96% от тях са били в разширения, 4% в теми, а в самия WordPress само седем. Повечето пропуски не могат лесно да бъдат използвани, но част от тях могат, и точно тях масово сканират само часове или дни след оповестяването им.

Моделът е почти винаги един и същ:

1. Открива се пропуск във версия 3.2 на популярно разширение.
2. Разработчикът издава версия 3.2.1 с поправка. Пропускът става публично известен.
3. За кратко време програми сканират интернет за сайтове с версия 3.2 или по-стара.
4. Който все още не е обновил, бива атакуван.

Опасността следователно не е в тайна дупка, за която никой не знае, а в известен пропуск, за който вече има обновление, но то не е инсталирано. Затова актуализациите (урок 7.2) са най-важната мярка, а премахването на неизползваното (урок 5.4) също е от значение: всяко разширение, което е инсталирано, дори деактивирано, увеличава Вашата повърхност за атака.

Особен случай са изоставените разширения: разработчикът е спрял да работи по тях, вече не излизат поправки. И nulled софтуер (урок 5.3): открадната копия на платено разширение, често с вграден таен достъп (backdoor).

Вход 2: пароли

Вторият голям вход е влизането с валидна парола:

• Credential stuffing: при изтичане на данни от друга услуга в мрежата изтичат милиони комбинации от имейл адрес и парола. Програми изпробват тези комбинации на различни сайтове, включително страници за вход в WordPress. Ако използвате същата парола като при изтеклата услуга, нападателите влизат лесно.
• Brute force: програма просто изпробва огромен брой пароли, често с често срещани потребителски имена като admin. С дълга, уникална парола това е практически безнадеждно, но все пак натоварва Вашия сървър изчислително.
• Фишинг: фалшив имейл „Вашият WordPress трябва да бъде актуализиран, влезте тук“ с линк към фалшива страница за вход.

Урок 7.3 разглежда защитата: мениджър на пароли, двуфакторно удостоверяване и ограничаване на опитите за вход.

Вход 3: всичко около WordPress

Не всяка хак атака започва в самия WordPress:

• Заразен компютър на Вас или на Вашия уеб разработчик, с програма, която краде пароли, например запазени в FTP програма.
• Обикновен FTP без криптиране, използван в обществена мрежа.
• Друг сайт в същия пакет: забравена стара тестова инсталация, стар Joomla в подпапка. Всички сайтове в един пакет обикновено споделят един и същ потребител на сървъра. Ако старият сайт бъде хакнат, нападателят може да стигне и до Вашия WordPress.
• Изтекла парола за базата данни, например чрез копие на wp-config.php във уеб папката (урок 1.3).
• Формуляри без проверка, използвани за изпращане на спам.

При добър хостинг доставчик Вашият пакет е изолиран от пакетите на други клиенти на същия сървър (например при DirectAdmin сървъри с CloudLinux чрез CageFS). Това, което се случва в рамките на собствения Ви пакет, обаче остава Ваша отговорност.

Какво забелязвате (и какво не)

Добра хак атака в началото не забелязвате. Нападателите искат да използват сайта Ви възможно най-дълго. Сигнали (урок 7.5 разглежда това подробно):

• Google съобщава „Този сайт може да е бил хакнат“, или виждате странни страници от Вашия домейн в резултатите от търсенето (потърсете например site:example.com);
• посетители съобщават, че попадат на друго място;
• има администратори или файлове, които не разпознавате;
• Вашият хостинг доставчик или скенер за malware подава сигнал;
• Вашата поща внезапно спира да пристига, или пакетът Ви е препълнен или бавен.

Защита на пластове

Нито една мярка не е непробиваема. Сигурността е наслагване на пластове, така че грешка в един пласт не отваря веднага всичко:

1. Актуализиране (урок 7.2): затваря известните пропуски. Безспорно най-важното.
2. Малко компоненти (урок 5.3 и 5.4): по-малко неща за обновяване, по-малко пропуски.
3. Защита на входа (урок 7.3): дълги уникални пароли, двуфакторно удостоверяване, минимални права (урок 3.3).
4. Закаляване (hardening) (урок 7.4): права, настройки и хедъри, които ограничават щетите.
5. Резервни копия (урок 8.1): ако все пак нещо се обърка, можете да се върнете назад.
6. Да знаете какво да правите, ако нещо се обърка (урок 7.5).

Обобщение

• Почти всички хак атаки са автоматични и ненасочени; малките сайтове са също толкова удобна мишена.
• Нападателите искат това, което сайтът Ви може да прави: спам, пренасочване, фишинг, поща, изчислителна мощност, данни.
• Най-големият вход е известен пропуск в разширение или тема, за който вече е имало обновление (през 2024 г. 96% от новите уязвимости са били в разширения).
• Вторият вход са паролите: използвани повторно, познати или откраднати чрез измама.
• Също и заразен компютър, обикновен FTP или забравен стар сайт в същия пакет могат да бъдат входна точка. Защитавайте се на пластове.

Тест (quiz)

Задача

Задача D7.1: Вашият собствен списък с рискове. Направете списък на всичко във Вашия хостинг пакет, което може да бъде вход: всяка WordPress инсталация (включително тестови и стари сайтове), всяко разширение и всяка тема (включително неактивни), всеки акаунт с администраторски права (WordPress, FTP, хостинг панела) и компютрите, от които се влиза. За всеки елемент отбележете: кога за последно е актуализиран, все още ли е необходим (да/не) и кой е отговорен. Отбележете кои три неща ще премахнете или актуализирате тази седмица и запишете защо точно тях.

Допълнително четене

Тези статии описват стъпките в панелите на WebOké; в други панели те работят по подобен начин.

• Помощ! Сайтът ми е хакнат. Как да го поправя и как да го предотвратя?
• Ръководство за DirectAdmin 18.2: Моят сайт е хакнат: план за действие
• State of WordPress Security in 2025 (Patchstack, на английски): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• Сигурност на WordPress (developer.wordpress.org, на английски): https://developer.wordpress.org/advanced-administration/security/hardening/