Bilgisayar Güvenliği Bilgi Merkezi

bilgisayar,mail,web,site,şifre,network,güvenlik,hack,security,ddökümanları


Bağlı değilsiniz. Bağlanın ya da kayıt olun

Wordpress .htaccess ile Wp-login.php ‘yi Şifrelemek

Önceki başlık Sonraki başlık Aşağa gitmek  Mesaj [1 sayfadaki 1 sayfası]

Admin

avatar
Admin
[Resimleri görebilmek için üye olun veya giriş yapın.]
u wordpress’in admin hack, Xss hack, SQL injection hackleri yüzünden bir sürü güncelleme yaptık. Hala da yeni bir güvenlik açığı ortaya çıkabilmekte. Wordpress’i yıllardır kullanmaktayım ve bu hack olaylarına karşı herkes gibi bende extra güvenlik önlemleri alıyorum.

Bunlardan bir tanesi wp-admin girişine .htaccess ile extra şifre koymak..!

En kesin ve en güvenli yöntemlerden birtanesi olduğunu söylemek isterim. Wordpress admin hack konusunda nasıl bir açık çıkarsa çıksın yada admin şifrenizi kim çalarsa çalsın .htaccess ile şifreleyeceğimiz wp-login.php dosyasına erişemeyeceklerdir. Wp-login.php dosyamızı aşağıda anlattığım şekilde .htaccess ile şifrelediğimizde wp-admin girişine gelen isteklerde Apache sunucumuz extra olarak koyduğumuz şifreyi soracaktır. Öncelikle apache’yi aşmak gerkecek. Ondan sonra wp-admin girişi karşısına gelerek wordpress admin paneline giriş yapılabilir.

Google üzerinden aradığınız zaman .htaccess ile şifreleme hakkında bilgi bulabilirsiniz. Bu yöntemler işe yaramayacaktır. Standart .htaccess ile şifreleme Wordpress’in .htaccess dosyasına takılacak ve şifrelemeye izin vermeyecektir.

Şimdi anlatacağım yöntemde Wordpress’in .htacess dosyasına ekleyeceğimiz kodlar ile şifrelemeyi gerçekleştireceğiz.

Öncelikle hostunuzda public_html , www yada alanadınız.com olan klasörlerimizin bir üst dizinine çıkarak .htpasswd dosyamızı oluşturmamız gerekiyor.

1. . htpasswd dosyasını oluşturmak ;

Bu dosyada Apache’nin bize soracağı şifreyi belirteceğiz. Yalnız bu şifreyide güvenli bir dizinde saklamamız gerekmekte. Benim hostingimde wordpress dosyalarım

/home/teakolik.com/www dizininde sizinkinde farklı olacaktır. Cpanel yada Plesk ile dosyalarınıza erişerek bir üst dizine yani /home klasörüne veya /home/teakolik.com gibi hesap klasörümüze ulaşıyoruz. Bu klasör içerisine .htpasswd dosyamızı oluşturacağız. (www içerisine atmıyoruz..!)

teakolik:asasdas324235235sdfasdf

gibi bir user ve şifre belirteceğiz. Burada dikkat ederseniz şifremiz aslında şifrelenmiş bir şekilde yani bir nevi apache üzerinde de şifreleme yapıyoruz. Direk olarak kullanıcı adından sonra şifreyi yazamayız. Bir şifre oluşturmak için

[Linkleri görebilmek için üye olun veya giriş yapın.]

adresine giriyoruz ve bir user pass belirliyoruz. Encrypt butonuna bastığımızda bize bir kod üretiyor. Bu kodu .htpasswd adıyla bir dosya olarak ftp dosyalarımızın üst dizinimize (/home/teakolik.com gibi) kayıt ediyoruz.

2. Wordpress .htaccess dosyasını düzenlemek ;

Wordpress’in kurulu olduğu dizindeki .htacess dosyamızı açıp içerisine şu kodları yerleştiriyoruz.
Kod:
ErrorDocument 401 default

AuthUserFile /home/teakolik.com/.htpasswd
AuthName "Blog"
AuthType Basic

<Files "wp-login.php">
    require valid-user
</Files>
Bu işlemi yaparken .htaccess içerisindeki diğer kodlara dokunmuyoruz. Aynen olduğu gibi kalıyorlar ve alt satırlara bu kodu yapıştırıyoruz. Bu kodda dikkat etmeniz gereken /home/teakolik.com/ dosya yolumuz. Wordpress wp-login dosyasına erişildiğinde .htpasswd üzerinden şifreyi okuyacak ve doğrulayacaktır. Dosya yolumuzu dikkatle giriyoruz. 1. Adımda belirttiğimiz .htpasswd dosyası neredeyse aynı yolu girmemiz gerekiyor. Aryıca yine bu kodların altına
Kod:
<Files "xmlrpc.php">
    require valid-user
</Files>

kodlarını girersek bu kod sayesinde xmlrpc yani wordpress’in pingleme servisinin çalışmaması için gerekli kodlar eğer Genelde, eğer pingback ve trackback kullanmıyorsanız bu dosyayı da güvenliğe almanız ekstra güvenlik önlemi olacaktır. Eğer yukarıdaki gibi koduda eklersek sistem ping alış-verişi yapmayacak biraz daha güvenli olabilecek. Ben kullanmıyorum. Eğer wordpress’in pingleme servisini kullanmıyorsanız bu koduda .htacess e ekleyerek sistemin güvenliğini extra olarak artırabilirsiniz. (Düzeltme için Emre Erkan‘a teşekkürlerimi iletirim.)

Örnek .htacess dosyamızın şekli şöyle oldu ;
Kod:
# BEGIN WordPress
 <IfModule mod_rewrite.c>
 RewriteEngine On
 RewriteBase /
 RewriteCond %{REQUEST_FILENAME} !-f
 RewriteCond %{REQUEST_FILENAME} !-d
 RewriteRule . /index.php [L]
 </IfModule>

 # END WordPress

 ErrorDocument 401 default

 AuthUserFile /home/ottoman-guvenlik.tk/.htpasswd  # Şifremizin bulunduğu dosya yolunu belirttik
 AuthName "Blog"
 AuthType Basic

 <Files "wp-login.php">
 require valid-user  #Şifreledik
 </Files>
Dosyamızı kayıt ettik ve işlemler bitti. Atık Wordpress’i biraz daha kafanız rahat bir şekilde kullanabilirsiniz. En azından yeni bir admin XSS açığı çıktığında kafanız rahat olur Kolay gelsin..!


Teknik Destek : cixturk@amasyateknoloji.tk
[Resimleri görebilmek için üye olun veya giriş yapın.]
[Resimleri görebilmek için üye olun veya giriş yapın.]
[Resimleri görebilmek için üye olun veya giriş yapın.]
Kullanıcı profilini gör http://www.hacktebugun.com

Önceki başlık Sonraki başlık Sayfa başına dön  Mesaj [1 sayfadaki 1 sayfası]

Bu forumun müsaadesi var:
Bu forumdaki mesajlara cevap veremezsiniz