Ich habe viele WordPress Security-Blog-Artikel gelesen, in denen die Sicherheitsexperten einige spezielle Schritte empfehlen, um vorsichtig zu sein, wenn jemand über die Sicherheit seiner WordPress-Site besorgt ist. Einer von ihnen ist:
WordPress-Sicherheitstipps:
Entfernen Sie unnötige Plugins, die nicht verwendet werden.
Ein Plugin mit Sicherheitslücken, sei es durch Code, Struktur oder Datenbankverbindungen, kann für eine Site schwerwiegend sein, selbst wenn es auf einer Site aktiviert ist. Andererseits weist ein gut strukturiertes, gut codiertes und sicher mit der Datenbank verbundenes Plugin möglicherweise keine Sicherheitslücke auf, selbst wenn es deaktiviert ist. Wo genau liegt das Problem?
Ich habe eine Seite, auf der es einige Plugins gibt, die ich gelegentlich benutze. Ich möchte sie eigentlich nicht löschen, aber wenn sie nicht benötigt werden, deaktiviere ich sie einfach von der Site. Muss ich sie löschen, um meine Website zu sichern, und wenn ja, warum?
Antworten:
Ein Plugin mit Sicherheitslücken ist ein Problem, unabhängig davon, ob es aktiviert ist oder nicht. Hier sind einige Gründe, warum es oft empfohlen wird, Plugins zu entfernen, die Sie nicht verwenden.
Wenn Sie Plugins haben, die Sie nicht verwenden, ist es Ihnen oft egal, ob Sie sie auf dem neuesten Stand halten. Infolgedessen erhalten sie keine Sicherheitsupdates, und dies ist eine Sicherheitslücke auf Ihrer Website. Die Leute denken oft, dass ein Plugin, das nicht ausgeführt wird, Ihre Site nicht negativ beeinflussen kann. Im Falle der Sicherheit kann ein Angreifer eine Sicherheitslücke in einem installierten Plugin ausnutzen, selbst wenn es nicht aktiviert ist.
Überlegen Sie, warum das Plugin überhaupt nicht ausgeführt wird. Wenn es sich um ein Plugin handelt, das Sie regelmäßig verwenden und das Sie bei Bedarf ein- und ausschalten, ist das in Ordnung. Es könnte sich jedoch um ein Plugin handeln, das nicht richtig funktioniert hat oder nicht mehr gewartet wird. Diese zweite Kategorie von Plugins ist insbesondere ein Sicherheitsproblem, da sie häufig die Ursache für Sicherheitslücken sind.
Wenn Ihre deaktivierten Plugins aktiv gepflegt und aktualisiert werden, sind sie kein Problem. Wenn Sie jedoch Plugins installiert haben, die nicht verwendet und nicht aktualisiert werden, entfernen Sie sie am besten.
quelle
Ich habe einige ziemlich beschissene Plugins gesehen, einige können eigenständige Skripte enthalten, die Angriffsvektoren sein können, und wenn Sie diese nicht aktualisieren oder entfernen, können Sie für Angriffe offen bleiben.
Deaktivierte Plugins aus Repositorys von Drittanbietern erhalten keine Update-Benachrichtigungen, da sie aktiviert werden müssen, damit der Update-Prüfcode ausgeführt werden kann. Wenn also eine Sicherheitsanfälligkeit in einem deaktivierten Plugin entdeckt wird, wird keine Update-Benachrichtigung ausgegeben - aber Hacker müssen darauf testen.
Ich habe eine Site gesehen, die mehrfach durch einen SQL-Injection-Angriff angegriffen wurde, der über ein Galerie-Vorlagen-Plugin ausgeführt wurde, das von wordpress.org entfernt wurde. Da es keine neuere Version im Repository gab, wurden keine Warnungen generiert, dass das Plugin "veraltet" / anfällig für Angriffe war.
Am besten halten Sie nur Plugins, die aktiv sind und auf dem neuesten Stand gehalten werden. Es ist auch eine gute Idee, Schwachstellenhinweise und eine Matrix von Plugins zu verfolgen, die auf welchen Websites installiert sind, damit Sie auf eine Bedrohung reagieren können, bevor sie zu einem Problem wird. Ich schaue mir diesen RSS-Feed für WP-bezogene Schwachstellen an:
http://rss.packetstormsecurity.com/search/files/?q=wordpress
quelle
Wenn Sie Ihre Fehlerprotokolle überprüfen, sehen Sie Computer, die Ihre Site nach Plugins mit Sicherheitslücken durchsuchen. Es spielt also keine Rolle, ob Plugins aktiviert sind oder nicht, da sie direkt zu den Problemdateien gehen und nicht versuchen, über diese zuzugreifen Ihre WP-Installation per se.
quelle