Một lỗi bảo mật quan trọng của Wordpress

Cách đây khoảng 1 tháng ,công động  Wordpress ở Việt Nam chứng kiến blog của HieuDt bị hack. Khi truy cập HieuDt’blog sẽ gặp màn hình như sau :

Theo sự giải thích sau đỏ của chính HieuDt

Số là em vừa upload code WP lên host (chỉ cần truy cập vào hieudt.info là WP nó hiện ra trang install ngay) em đang chuẩn bị vào phpMyAdmin để import database thì có việc phải ra ngoài, nào ngờ trong lúc đó có người truy cập vào và install WP hộ em luôn, sau đó bác hacker kia còn sửa lại file index để dòng chữ “Hacked by …

Thiết nghĩ em cũng thật may mắn khi gặp phải một bác hacker hiền hậu, nếu không có thể blog của em sẽ bị sập tiệm luôn rồi.

Vấn đề đặt ra là khi Wordpress không thể kết nối được với MySQL database hoặc database bị mấy hoàn toàn , thì Wordpress sẽ hiểu là  Wordpress chưa được cài đặt và sẽ load trang cài đặt mặc định của Wordpress

Và giả sử lúc đó bạn đang làm gì đấy , đi chơi với bạn gái , hay có việc ra ngoài như bác Hiếu ) , tin tôi đi bạn sẽ gặp rắc rối lớn nếu gặp một Hacker không có thiện ý .

Giải pháp

Cách 1 : Đơn giản nhất là xóa béng file wp-admin/Install.php đi

Cách 2 : Dùng HTAccess để bảo vệ file Install.php , sẽ không ai được sử dụng file đó ngoài bạn .

# PROTECT install.php

<Files install.php>

Order Allow,Deny

Deny from all

Satisfy all

</Files>

Cách 3 : Thay thế file Install.php bằng một thông điệp có tính thông tin hơn .

- đổi tên file install.php sang 1 tên khác tùy ý bạn .

- tạo mới file install.php với nội dung tùy bạn.

Tagged as: Wordpress