WordPress erfreut sich grösster Beliebtheit bei Bloggern. Aufgrund der hohen Verbreitung im Web ist es auch gleichzeitig ein beliebtes Angriffsziel. Aktuell vermehren sich Hinweise und Meldungen über Botnetze welche WordPress-Blogs weltweit attackieren.
Dieser Beitrag beschreibt die Absicherung der WordPress-Installation um gegen Angriffe zu schützen, einige einfache Massnahmen die jeder umsetzen kann.
Angreifer gehen fast immer nach dem selben Muster vor. Anhand von automatisierten Tools wird versucht Zugang in schlecht geschützte Bereiche zu erlangen, oder es werden Schwachstellen in WordPress Plugins ausgenutzt, um Schadcode einzuschleusen.
Brute-Force Angriffe werden vom Webserver geloggt und durch Logwatch ausgewertet.
WordPress 4 bietet die Möglichkeit bei einer Neuinstallation einen individuellen Benutzernamen anzulegen. Frühere WordPress Versionen legten noch automatisch den Benutzer Admin an. Damit hatte man bereits schon das erste Sicherheitsleck.
Möchte ein Angreifer Zugang zum System erlangen verwendet er meist Benutzernamen wie admin, Administrator oder root, Namen die üblicherweise für Logins die über erhöhte Rechte verfügen. Ändert man Standard Benutzernamen, erschwert dies einem Angreifer den Zugriff. Er benötigt neben dem korrekten Passwort nun auch noch den Benutzername. Dieser Umstand gilt nicht nur für WordPress sondern für alle Systeme die Authentifizierung aus dem Internet ermöglichen.
Benutzt Du den Admin für deine Postings ?
Folgende schritte helfen ein WordPress-Blog vor Angreifer zu schützen. An dieser stelle sei noch erwähnt das jetzt der richtige Zeitpunkt ist ein aktuellen Backup anzulegen.
- Im WordPress Dashboard unter Benutzer legt man ein zusätzlichen Admin an. Verwendet dabei einen Benutzername wie zum Beispiel superadm-blog14.
- Danach wieder abmelden.
- Mit diesem soeben erstellen Admin wieder anmelden.
- Zusätzlich legen wir einen weiteren Benutzer an, dieser mit der Rolle Autor.
- Anschliessend löscht man den Benutzer mit dem Name Admin. Beim Löschvorgang fragt WordPress was mit den Beiträgen des Benutzers Admin passieren soll, jetzt überträgt man alle Beiträge an den neu angelegten Benutzer mit der Rolle Autor.
Von nun an erstellt man alle Beiträge mit dem neu angelegten Autor. Der Admin-Account „superadm-blog14“ dient lediglich für die Wartung und Verwaltung von WordPress.
Die jetzt publizierten oder kommentierten Beiträge erscheinen lediglich mit dem Benutzername des Autors. Es wird damit vermeiden dass der Admin-Account irgendwo auf der Seite erwähnt wird oder über einen Link abgreifbar ist, ein Angreifer soll keine Informationen finden. Nun muss er neben dem Passwort auch noch alle möglichen Kombinationen von Benutzernamen durchprobieren, bevor er sich Zugriff in den Admin-Bereich verschaffen kann. Somit laufen die meisten Angriffsversuche ins Leere, der Benutzer admin existiert nicht.
Damit nun bei Brute-Force Attacken der Benutzername des Autors in den Beiträgen und in den Links nicht preisgegeben wird, muss noch eine Anpassung in der SQL-DB vorgenommen werden, da WordPress standardmässig der Name bei user_login auch bei user_nicename verwendet, wird hier der Name im SQL geändert, der Name der bei user_login steht, soll nicht der selbe wie bei user_nicename sein, da dieser in den Links vorkommt, somit wird mit phpMyAdmin unter wp_user der Name im Feld user_nicename editiert und mit dem Name des Feldes display_name ersetzt, dies bedeutet auch das man als display_name nicht jener von user_login verwendet.
Weiter sichert das LockDown Plugin vor Angriffe, dieses blockiert IP-Adressen von diesen eine erhöhte Anzahl fehlgeschlagene Logins gemacht wurde.
Standardmässig lässt WordPress bei fehlerhaften Anmeldeversuche einem nicht im ungewissen, ob man gerade das Passwort für ein existierenden Benutzer eingegeben hat, mit der LockDown Option Mask Login Errors lässt sich verhindern das bei fehlerhaften Anmeldeversuche sich das Passwort nicht auf den Benutzername in der Error Meldung bezieht. Invalid username or incorrect password resultiert unabhängig von falschen Benutzer oder Passwort.
Natürlich wurde hier nicht alles ausgeschöpft was zur Absicherung von WordPress nötig wäre, es sol vielmehr als Arbeitsgrundlage und zur Sensibilisierung dienen, dabei wird ein Blog mit höherem Ranking und guter Bekanntheit die meisten Angriffe abwehren können. Auch spielt eine wichtige rolle wie der Webserver selbst abgesichert ist, und welche WordPress Plugins und Themes installiert sind. Das ein sicheres Passwort verwendet wird braucht an dieser stelle nicht weiter erwähnt zu werden. Zu viele Gimmicks und nicht wirklich benötigte features sollten nicht auf kosten der Sicherheit gehen, auch hier gilt, weniger ist oft mehr.
Ein weiter wichtiger Punkt abschliessend. Halte die WordPress-Installation stehts auf dem neusten Stand. WordPress macht es hier einem besonders einfach. Sicherheitsupdates für den WordPress-Core werden automatisch eingespielt, die Plugins und Themes sollten ebenfalls regelmässig aktualisiert werden.
Was hältst du von Firewall Plugins? Ich habe mir, für meine Blogs vor Kurzem eines angelacht, nachdem ich diese sehr fleissig durchgetestet hatte.
Bin nun das für mich passende gerade fleissig am durch Konfigurieren durch alle Blogs. Ist das wie ein Virenschutz am Mac (und teilweise auch unter Windows) nur falsches Gefühl von Sicherheit, oder sinnvoll?
Ein Firewall Plugin muss per se nicht schlecht sein, habe selber keines gründlich analysiert, grundsätzlich ist ein solches Plugin keine Firewall, auf Linux wo die meisten WP gehostet sind, ist ufw oder firewalld die eigentliche Kernel Firewall, für Firewalls gilt der Grundsatz, eine Firewall ist nur so gut wie sie konfiguriert ist, bei Linux ist als userspace-programm iptables OnBoard, als GUI basierte Tools gibt es Fwbuilder oder Shorewall u.w. Hier kann es auch ein WP-Plugin sein, jedoch sollte dieses die Kernel Firewall steuern, insbesondere für Brute-Force-Angriff kann es dann wirkungsvoll sein, wenn nach einigen fehlgeschlagenen anmeldeversuche die verdächtige Quelle für eine bestimmte Dauer blockiert wird, wenn jedoch auf dem host bereits fail2ban im Einsatz ist, braucht es das nicht mehr, das müsste man mit seinem hosting Provider klären, vielleicht gibt es Plugins die explizit im Blog nach verdächtigen Aktivitäten Ausschau halten und entsprechende Massnahmen auslösen, so was wäre sicher möglich.