نصائح مهمة لحماية مدونتك من الاختراق (متجدّد)

رشيد بيدوسي · #1 01-18-2008, 06:00 PM

السلام عليكم ورحمة الله وبركاته

ملاحظة: جميع النصائح التي يتم ذكرها في هذا الموضوع لن تكون مجدية في حال كان السيرفر الذي يستضيف مدونتك غير محمي بشكل مناسب. النصائح التالية هي على مستوى السكربت. يجب أن يكون السيرفر محمي أيضاً حتى تكون الحماية مجدية. الاختراق قد يتم بسبب ثغرة في السكربت (المدونة / الاضافات ... الخ) وقد يتم بسبب ثغرة في السيرفر لا سيطرة لك عليها لذك اهتم أن تختار استضافة محميّة ومفضّل أن تكون استضافة تقدّم نسخ احتياطي يومي/أسبوعي/شهري ويكون النسخ الاحتياطي محلي وخارجي.

هذه بعض النصائح أقدمها لكم على أمل أن تفيدكم في حماية مدوناتكم من عبث العابثين:

1. ضع حماية على المجلد wp-admin من خلال السي بانل بحيث اذا حاول أي شخص أن يدخل على اي ملف في هذا المجلد سوف يطلب منه اسم مستخدم ورقم سري.

2. استعمل ملف .htaccess حتى تحدد أي ip توجد له صلاحية للوصول الى مجلد wp-admin وذالك عن طريق وضع ملف .htaccess داخل مجلد wp-admin وتكتب به الامر التالي:

كود:

<LIMIT GET>
order deny,allow
deny from all
# whitelist home IP address
allow from 00.000.00.000
</LIMIT>

00.000.00.000 : هنا تضع الاي بي الخاص بك وهو الاي بي الوحيد المسموح له بالوصول للمجلد. تستطيع أن تضيف أكثر من اي بي في قائمة السماح بواسطة اضافة أسطر جديدة. مثال:

كود:

<LIMIT GET>
order deny,allow
deny from all
# whitelist home IP address
allow from 00.000.00.000
allow from 11.111.11.111
allow from 22.222.22.222
</LIMIT>

أيضا هناك إضافة خاصة تفي بهذا الغرض اسمها wp-adminprotection
http://wordpress.org/extend/plugins/wp-adminprotection/

3. ضع ملف index فارغ بداخل مجلد ال plugins حتى لا يعرف احد ما هي الاضافات الموجودة في مدونتك حتى لا يستغل وجود اضافة معينة بها ثغرة. يمكنك ايضا أن تمنع عرض محتويات أي مجلد في موقعك بسهولة بواسطة ملف ال htaccess وذالك عن طريقة اضافة ملف htaccess للمجلد المطلوب وتكتب به الامر التالي:

كود:

Options All -Indexes

4. ادخل على مجلد القالب الذي تستعمله وافتح ملف header.php واحذف منه السطر:

كود:

****** name=”generator” content=”WordPress <?php bloginfo(’version’); ?>” /> <!-– leave this for stats please -->

لا يوجد أي سبب أن يعرف أحد ما هي نسخة الووردبريس التي تستعملها.

5. قم بتغيير اسم المستخدم الافتراضي للوورديرس من admin الى اسم مستخدم اخر. العملية تتم من خلال ال phpmyadmin وهي مشروحة هنا:
http://blog.bindanaku.com/2007/03/ho...ault-username/
اذا لم ترغب بالتعديل من ال phpmyadmin هناك طريقة أخرى وهي إنشاء اسم مستخدم جديد بالمدونة وأن تعطيه كافة الصلاحيات ثم تسجل الدخول باسم المستخدم الجديد ومن ثم تحذف اسم المستخدم القديم (admin). عند الحذف يمكنك نقل جميع التدوينات والصفحات للمستخدم الجديد.

6. اضافة Login LockDown

7. اشترك بخدمة ال rss لتحصل على اخر الملاحظات بخصوص اصدارات ووردبريس وهل توجد ثغرات أمنية.

الرابط:
http://wordpress.org/development/feed/

أيضا اعمل بحث في هذا الموقع عن كلمة wordpress حتى تفحص اذا في ثغرات معينة.

الرابط: http://www.exploit-db.com/search.php

8. متابعة موقع blogsecurity.

9. ترقية الاضافات اول بأول وعدم التهاون. السبب الرئيسي في اختراق المدونات هو وجود ثغرات بالاضافات. حاول ان تستعمل الاضافات التي يتم تحديثها بشكل دوري اي بمعنى انها تنال على متابعة وتحديث من مبرمجها.

10. قم بإضافة المفاتيح الى ملف ال wp-config

كود:

define('AUTH_KEY',        'مفتاح');
define('SECURE_AUTH_KEY', 'مفتاح');
define('LOGGED_IN_KEY',   'مفتاح');
define('NONCE_KEY',       'مفتاح');

مولد مفاتيح: http://www.ar-wp.com/t8849.html

11. يمكنك نقل ملف ال wp-config الى مجلد أعلى بحيث لا يستطيع أن يصل إليه أي زائر.
مثلا اذا قمت بتركيب مدونتك بداخل مجلد ال public_html وملف ال wp-config كان بداخل ال public_html , قم بنقله إلى مجلد واحد فوق ال public_html. ووردبريس يستطيع أن يجد الملف حتى لو قمت بنقله.
شاهد الشرح بالصورة: http://www.ar-wp.com/attachment.php?...1&d=1233273025

ملاحظة: قبل الترقية التلقائية للمدونة إذا كنت تحتفظ بالملف wp-config.php خارج مجلد ال public_html عليك أن تعيده مؤقتاً إلى داخل المجلد حتى يتم التعرف على اللغة المستخدمة في لوحة التحكم الخاصة بك أثناء الترقية.

12. أضف الكود التالي لملف ال htaccess للمزيد من الحماية لملف wp-config

كود:

<files wp-config.php>
Order deny,allow
deny from all
</files>

وبنفس الملف ضع الكود التالي للمزيد من الحماية لملف htaccess

كود:

<Files .htaccess>
order allow,deny
deny from all
</Files>

13. ضع رقم سري للمدونة بحيث يكون مكون من أرقام وحروف انجليزية صغيرة وكبيرة ومن رموز مختلفة. لا تضع باسوورد سهل مثل عنوان مدونتك أو أرقام/حروف متتالية أو بجانب بعضها على الكيبورد. هنالك روبوتات يمكن تشغيلها لمحاولة الدخول الى لوحة تحكم المدونة وهذه الروبوتات تستعمل طريقة ال brute force بحيث تحاول ان تتكهن ما هو الباسوورد مستعملة ملايين التكهنات بل وأكثر.

الباسوورد يجب أن يكون شكله بهذا النمط:
dsDFG345@346!!dsf&e - يحتوي أرقم + حروف صغيرة وكبيرة + رموز + مكون من أكثر من 12 خانة

14. يمكنك أن تستعمل ssl في لوحة التحكم.
ما هو ال ssl ؟ اقرأ هنا: http://ar.wikipedia.org/wiki/%D8%B4%...85%D9%8A%D8%A9

لاستعمال ال ssl في لوحة التحكم أضف السطر التالي إلى ملف ال wp-config.php

كود:

define('FORCE_SSL_ADMIN', true);

طبعاُ يجب أن يسمح مستضيفك لإمكانية إضافة ال ssl وإلا فلن تعمل معك.

15. تغيير بادئة الجداول الافتراضية في قاعدة البيانات.
الشرح: http://www.ar-wp.com/t18807.html

المزيد من النصائح هنا.
وهنا أيضاً: http://www.ar-wp.com/t16486.html

بالتوفيق.

A.M.J.A.D · #2 01-18-2008, 06:18 PM

مشكور اخوي رشيد

افكار ممتازه للحمايه

أبو مروان · #3 01-18-2008, 06:21 PM

بارك الله فيك أخي رشيد

أولا بخصوص الايباهات فلا يمكني استخدام هذه الطريقة حيث أن الايبي الخاص بجهازي يتغير دوريا لأن اتصالي تابع للشبكة داخلية تستخدم dsl واحد لجميع الاجهزة

ثانيا اخي كيف يمكن لأحدهم الوصول للاضافة أو شئ داخل المجلدات أنا جربت هذا من قبل ولكن تعطيني صفحة الخطا في المدونة التى تخبر أن الرابط خاطي

هذه بعض الاستفسارات

بخصوص موضوع تغيير الادمن جميل جدا بارك الله فيك

رشيد بيدوسي · #4 01-18-2008, 06:43 PM

A.M.J.A.D :
أشكرك.

أبو مروان:
بخصوص الاي بي هذه مشكلة انه يوجد اي بي واحد. ايضا هنالك فئة عندها اي بي دينامي يتغير في كل مرة يفصل النت. لكن يمكن شراء اي بي ثابت وتكلفته 100-150 ريال شهريا.

بخصوص الاضافات شاهد الرابط:
http://abo-marwan.com/wp-content/plugins/

وشاهد هذا الرابط:
http://www.rasheed-b.com/wp-content/plugins/

ارجو ان تكون قد وصلت الفكرة.

أبو مروان · #5 01-18-2008, 06:50 PM

بوركت اخي الفاضل بالتوفيق دوما

وصلتني الفكرة

Pen · #6 01-19-2008, 12:36 PM

يعطيك العافية..

ربي يحفظنا من عبثهم

gumidou · #7 01-19-2008, 12:50 PM

بارك الله فيك اخي رشيد
نصائح مهمة للحماية

أبو مروان · #8 01-19-2008, 09:12 PM

أخوتي بارك الله فيكم لقد تم التعديل كما أخبر الأخ رشيد حفظه الله

A.M.J.A.D · #9 01-20-2008, 08:04 AM

اقتباس:

المشاركة الأصلية كتبت بواسطة أبو مروان

بارك الله فيك أخي رشيد

أولا بخصوص الايباهات فلا يمكني استخدام هذه الطريقة حيث أن الايبي الخاص بجهازي يتغير دوريا لأن اتصالي تابع للشبكة داخلية تستخدم dsl واحد لجميع الاجهزة

اظن تقدر تحدد البلد اللي يمكن الدخول منه على لوحه التحكم على الاقل بانك تحط اول ثلاثه ارقام من الاي بي مثلا للسعوديه

allow from 212

MRG2002 · #10 02-06-2008, 01:43 PM

يعطيك العافية

لكن الايبي مشكلة
لأنه افرض انا دخلت من شبكة غير شبكة البيت
مارح يسمح لي بالدخول

عمومـا يعطيك العافية ، وجاري عمل التحذيرات

:d

KaWaii GiRl · #11 02-06-2008, 07:22 PM

يعطيك الف عافيه خيوو رشيد ماقصرت

مصطفى البازي · #12 03-18-2008, 04:59 AM

اخب الفاضل رشيد مشكور على النصائح
المفيدة
ولكن عندي استفيار واحد

وهو لما اشيل

الكود من القابل والي هو يخص الاصدار

القالب يخرب ويصير عندي كلام فقط ولكن لا

يضهر القالب او التصميم

هل من حل لهاذا ؟

mwafi · #13 03-24-2008, 01:44 AM

بارك الله فيك اخي الكريم

sqarra · #14 05-20-2008, 07:50 PM

شكرا على الموضوع
مع التحية

tooooot · #15 06-27-2008, 10:52 PM

موضوع اكثر من رائع ..
اشكرك يا رشيد

SilVeR · #16 07-26-2008, 09:12 AM

يعطيك ألف عافية اخوي رشيد ،،

ما قصرت والله

Angle · #17 07-26-2008, 07:37 PM

يعطيك العافيه شرح وافي

مهندس أحمد · #18 08-09-2008, 05:54 PM

بارك الله فيك اخ رشيد

هذا رابط اخر للافادة
http://www.mattcutts.com/blog/three-...-installation/

nabdalmatar · #19 09-01-2008, 09:05 AM

شكرا أخي رشيد

refaat · #20 09-01-2008, 01:31 PM

السلام عليكم اخي رشيد وكل عام وانت و اعضاء المنتدي بخير
شكرا علي هذا الشرح المفيد جدا
بخصوص ip المدفوع القيمة هل سوف يسجل علي خط dsl واحد فقط ام يمكن الدخول مثل من المنزل و المكتب بهذا ip علي شرط ان تكون الشركة المزودة واحدة في كل من المكانين

saminoby2 · #21 09-05-2008, 01:09 PM

جميل جدا أخ رشيد كنت أيضا أريد أن أفتح موضوع بهذا الشان ولكن وجدت هذا الموضوع لك وهو موضوع جميل
سأقوم بإضافة التحديث لاحقا

$ahmad$ · #22 09-14-2008, 04:55 AM

بارك الله فيك اخي رشيد
نصائح مهمة للحماية

HTML clipboard الابداع - الابداع

dr-turki · #23 09-16-2008, 11:07 AM

جزاك الله خير

ناصر راشد · #24 09-19-2008, 07:02 AM

جزاكم الله خيرا أخي الكريم وجعله في ميزان حسناتك

aaid · #25 11-07-2008, 08:55 PM

اقتباس:

المشاركة الأصلية كتبت بواسطة irish hacker

اخب الفاضل رشيد مشكور على النصائح
المفيدة
ولكن عندي استفيار واحد

وهو لما اشيل

الكود من القابل والي هو يخص الاصدار

القالب يخرب ويصير عندي كلام فقط ولكن لا

يضهر القالب او التصميم

هل من حل لهاذا ؟

نعم نفس مشكلتي ولكن تم حلها بأن تعطي التصريح 666 للهيدر وتقوم بالتعديل عليه من لوحة تحكم المدونة وليس من خلال ftp وراح يضبط معاك

وشكرا للاخ رشيد معلومات رائعة

أدوات الموضوع
مشاهدة صفحة طباعة الموضوع أرسل هذا الموضوع إلى صديق
انواع عرض الموضوع
العرض العادي الانتقال إلى العرض المتطور الانتقال إلى العرض الشجري

المواضيع المتشابهه
الموضوع	كاتب الموضوع	المنتدى	مشاركات	آخر مشاركة
الدليل الشامل لحماية مدونتك من الإختراق	saminoby2	مناقشة عامة	24	04-30-2010 04:41 PM
[Login LockDown] لحماية اختراق مدونتك	رشيد بيدوسي	معرض الإضافات	46	04-06-2010 08:44 PM
اضافات أمنيه جديده لحماية مدونتك من الإختراق 1	egyptawy	مقتطفات تدوينية	0	07-03-2009 05:48 PM
[موضوع مهم جداً] ,, نصائح مهمة لكل مبتدئ في عالم الـووردبريس	ALI-X	الدعم الفني المتقدّم	0	12-18-2008 09:16 AM
نصائح مهمة إليك	kadksa	مقتطفات تدوينية	0	12-08-2008 10:45 AM

هؤولاء الاعضاء يشكرونك يا رشيد بيدوسي على هذه المشاركة:
Abadi22 (10-09-2009), aBoomrang 03 (06-25-2009), aeroman (08-03-2010), أبوعماد (08-06-2010), أحمد الزنارى (11-27-2009), alansari (12-18-2008), alaseef (08-14-2009), almusammem (04-02-2010), ANAS (12-01-2008), Ayman - Jo (11-29-2009), ayman_bat (04-22-2010), منيره المطيري (07-21-2010), bader_max (06-25-2010), bord2an (06-09-2010), الدليل المجهول (07-13-2010), الشوق (06-11-2010), العمرين (07-31-2009), d-tech (07-18-2010), elhddad (01-24-2010), EngMK (07-12-2009), gaza1234 (04-10-2009), Hessein (12-26-2008), Hisham (04-27-2009), hxteam (07-02-2010), IbRaHiM.J (12-08-2009), iCoNzZz (04-26-2009), jo11 (06-13-2010), K.S.A (04-17-2010), majed54 (10-25-2009), Mdwen (12-04-2008), mesh (09-12-2009), mr-aa5 (09-06-2009), mwafi (01-28-2009), NAAAIF (11-01-2009), رائــع (01-04-2009), OmEna (03-06-2010), oner (06-18-2010), osamadivid (07-05-2010), شفوق (09-15-2009), زهور الحب (01-30-2009), PeaceMaker (05-13-2010), Professor (05-15-2010), silent_7eart (01-27-2010), sunflower (11-26-2009), syriaheart (09-22-2009), Tech_Pioneer (01-26-2010), top9webhost.com (06-22-2010), غير الناس (11-04-2009), غراب (01-30-2009), webdev (03-28-2010), WebPlus (11-08-2009), إحساسـ (02-26-2009), وليد نت (01-30-2009), نجم المحبه (06-18-2010), قة الرقة الإسلامية (12-29-2008)

هؤولاء الاعضاء يشكرونك يا A.M.J.A.D على هذه المشاركة:
aBoomrang 03 (06-25-2009), bader_max (06-25-2010)

أبو مروان, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

هؤولاء الاعضاء يشكرونك يا رشيد بيدوسي على هذه المشاركة:
bader_max (06-25-2010), غير الناس (11-04-2009)

Pen, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

gumidou, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

A.M.J.A.D, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

هؤولاء الاعضاء يشكرونك يا MRG2002 على هذه المشاركة:
bader_max (06-25-2010), nasrmedia (03-16-2010)

KaWaii GiRl, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

مصطفى البازي, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

mwafi, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

sqarra, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

tooooot, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

SilVeR, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

Angle, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

مهندس أحمد, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

nabdalmatar, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

refaat, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

saminoby2, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

$ahmad$, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

dr-turki, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

ناصر راشد, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

aaid, تمّ شُكرك على هذه المشاركة من قبل الأعضاء:
bader_max (06-25-2010)

الذين يشاهدون محتوى الموضوع الآن : 1 ( الأعضاء 0 والزوار 1)