Idag har vi Dan Paulsson på Kalbynet AB som gästbloggare. Kalbynet är en webbyrå med Wordpress och Joomla som expertområde och Dan bloggar idag om DDOS-attacker riktade mot hemsidor i WordPress och vad man kan göra för att skydda sig mot det. 

WordPress under attack

Att det dagligen sker hackerattacker runt om i världen och att det är svårt att skydda sig mot dem vet nog många. Men hur går det till, vad gör hackern för att komma åt just din hemsida?

Om du kör WordPress som många faktiskt gör idag finns det sätt för en hackare att exempel utföra en Distributed Denial of Service (DDOS)-attack mot din hemsida eller använda din hemsida mot en annan. Och många WordPress-installationer har något som heter Pingback aktivt från start, vilket beror på att det är en grundinställning i WordPress.

En DDOS-attack sänker en server med stor säkerhet på bara några timmar, vad som händer är att servern bombaderas med anrop viket gör att den inte klarar av det och kraschar. Webbhotellet jobbar aktivt med att motverka dessa attacker men är de riktigt stora så hjälper inget skydd mot dessa. Mindre attacker gör ofta bara att servern har längre svarstider än normalt.

Genom att skicka ett enkelt pingback-kommando till XML-RPC filen:

 $ curl -D –  “www.enwordpressida.com/xmlrpc.php” -d ‘<methodCall><methodName>pingback.ping</methodName><params><param><value><string>http ://offer.com</string></value></param><param><value><string>www.enwordpressida.com/postcho sen</string></value></param></params></methodCall>’

så kan man göra tillräcklig skada, detta är en start på en DDOS-attack.

Hur skyddar man sig
Det bästa sättet att skydda sin WordPress-sida är att stänga av denna pinbackfunktion. Den finns under Inställningar/- Diskussion. Sedan finns det ju andra saker som kan vara bra och det kan till exempel vara att skapa ett plugin eller lägg in detta i din functions.php fil som finns i ditt tema.

add_filter( ‘xmlrpc_methods’, function( $methods ) {
unset( $methods[‘pingback.ping’] );
return $methods;
} );

Men då säger du att WordPress inte är säkert. Varför skall man jobba i ett system som inte är säkert?
WordPress är ett säkert system, så länge man ser till att uppdatera WordPress till senaste versionen och uppdatera alla tillägg som är installerade. Och inte installera tillägg som har den funktion du är ute efter men kanske har skadlig kod eller är så gammalt att koden är inaktuell.

Mer information
Vad är DDOS?
http://cloudproxy.sucuri.net/ddos-protection

Sätt att skydda sig
http://perishablepress.com/category/security/

/Dan Paulsson, Kalbynet AB