10가지 WordPress 보안 문제 및 해결 방법

팁 #8: SQL 주입 및 URL 해킹 방지

SQL 인젝션은 공격자가 웹사이트의 다양한 영역(특히 주석 상자 및 텍스트 영역)에 SQL 명령을 삽입하는 공격입니다. 이러한 명령은 SQL 데이터베이스를 손상시킬 수 있으며 데이터베이스에 저장된 중요한 정보를 드러낼 수 있습니다.

PHP 문을 추가하여 URL을 수정하는 것은 공격자가 데이터베이스 및 기타 웹 사이트 구성 요소에 대한 공격을 유발할 수 있는 WordPress 보안에 대한 또 다른 잠재적 위협입니다.

대부분의 WordPress 웹 사이트는 이러한 공격에 대응하는 영리한 트릭이 있는 Apache 서버에서 호스팅됩니다. 모든 Apache 서버에는 웹 사이트에 대한 액세스 규칙을 정의하는 .htaccess 파일이 있습니다.

SQL 인젝션 및 URL 해킹의 발생을 줄이려면 다음 코드를 .htaccess 파일에 추가하여 강력한 규칙 집합을 설정합니다.

 <IfModule mod_rewrite.c>
다시 쓰기 엔진 켜기
RewriteBase /
RewriteCond %{REQUEST_METHOD} ^(HEAD|TRACE|DELETE|TRACK) [NC]
RewriteRule ^(.*)$ - [F,L]
RewriteCond %{QUERY_STRING} \.\.\/ [NC,OR]
RewriteCond %{QUERY_STRING} boot\.ini [NC,OR]
RewriteCond %{QUERY_STRING} 태그\= [NC,OR]
RewriteCond %{QUERY_STRING} ftp\: [NC,OR]
RewriteCond %{QUERY_STRING} http\: [NC,OR]
RewriteCond %{QUERY_STRING} https\: [NC,OR]
RewriteCond %{QUERY_STRING}(\<|%3C).*스크립트.*(\>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D) [NC,OR]
RewriteCond %{QUERY_STRING} base64_encode.*\(.*\) [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(\[|\]|\(|\)|<|>|e|"|;|\?|\*|=$).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(&#x22;|&#x27;|&#x3C;|&#x3E;|&#x5C;|&#x7B;|&#x7C;).* [NC,OR ]
RewriteCond %{QUERY_STRING} ^.*(%24&x).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(%0|%A|%B|%C|%D|%E|%F|127\.0).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(globals|encode|localhost|loopback).* [NC,OR]
RewriteCond %{QUERY_STRING} ^.*(요청|선택|삽입|결합|선언).* [NC]
RewriteCond %{HTTP_COOKIE} !^.*WordPress_logged_in_.*$
RewriteRule ^(.*)$ - [F,L]
</IfModule>

보시다시피, 코드는 입력 필드로 들어가는 데이터를 "삭제"합니다. 또한 이러한 모든 입력은 SQL 쿼리 문 대신 문자열로 처리됩니다.

팁 #9: WordPress에서 민감한 파일에 대한 액세스 거부

WordPress 설치에는 wp-config.php , install.php 및 readme.html 파일과 같은 몇 가지 중요한 파일이 포함되어 있습니다. 이러한 파일은 모든 외부 액세스로부터 숨겨져 있어야 합니다.

다시 말하지만, .htaccess는 가장 친한 친구입니다. 중요한 파일이 손상되는 것을 방지하기 위해 파일에 다음 줄을 추가할 수 있습니다. 다음 코드 조각은 또한 사용자 디렉터리 목록에 대한 액세스를 방지하고 무단 액세스로부터 민감한 서버 및 WordPress 파일을 숨깁니다.

 옵션 전체 - 인덱스

<파일 .htaccess>
주문 허용, 거부
모두 거부
</파일>

<파일 readme.html>
주문 허용, 거부
모두 거부
</파일>

<라이센스.txt 파일>
주문 허용, 거부
모두 거부
</파일>

<파일 install.php>
주문 허용, 거부
모두 거부
</파일>

<파일 wp-config.php>
주문 허용, 거부
모두 거부
</파일>

<파일 error_log>
주문 허용, 거부
모두 거부
</파일>

<fantasy_fileslist.txt 파일>
주문 허용, 거부
모두 거부
</파일>

<파일 fantversion.php>
주문 허용, 거부
모두 거부
</파일>

WordPress를 최적화하기 위해 .htaccess 파일을 사용하는 방법에 대해 자세히 알아보려면 WordPress .htaccess 파일에 대한 자세한 설명을 참조하세요.

팁 #10: 데이터베이스의 기본 접두사 변경

워드프레스 버전 숨기기 : 기본적으로 워드프레스는 현재 버전 번호를 테마의 헤드 섹션에 자동으로 추가합니다. 훌륭한 보안 팁은 공격자가 헤더에 언급된 버전의 알려진 모든 취약점에 대해 공격을 시작할 수 있다는 사실 때문에 WordPress 버전을 공개적으로 표시하지 않는 것입니다.

WordPress 버전을 숨기려면 다음과 같은 간단한 코드 줄을 테마의 functions.php 파일에 포함해야 합니다.

 remove_action( 'wp_head', 'wp_generator' );

데이터베이스에 대한 기본 WordPress 접두사 변경 : WordPress 데이터베이스의 모든 테이블에는 접두사 이것은 훌륭한 기능인 것처럼 보이지만 WordPress 해커의 경우 추측을 일부 제거하여 작업을 크게 단순화합니다.

사용자는 WordPress를 설치하는 동안 사용자 데이터베이스 테이블의 기본 WordPress 접두사를 변경하여 이 예측 가능성을 제한할 수 있습니다. 이것은 여러 위치에서 사용자 데이터베이스를 조작하여 이미 활성화된 웹사이트에 대해서도 수행할 수 있습니다. WordPress 웹 사이트에 대한 다양한 방어 기능을 구현하는 최고의 WordPress 보안 플러그인 중 하나를 사용하는 것이 좋습니다.

Cloudways는 WordPress 사이트 보안을 지원합니다.

WordPress 웹 사이트 보안에 대한 이 자세한 가이드 후에 WordPress를 단독으로 보호할 수 없다는 점을 언급할 가치가 있습니다. WordPress 사용자는 웹사이트에 안전한 환경을 제공하는 안전한 호스팅 환경을 선택해야 합니다.

Cloudways가 안전한 WordPress 호스팅 환경을 제공하는 방법은 다음과 같습니다.

• 일류 클라우드 인프라 : Cloudways는 보안을 최우선으로 하는 최고 수준의 클라우드 인프라 제공업체와 파트너 관계를 맺었습니다. 클라우드에서 WordPress 사이트를 호스팅하면 높은 수준의 보안이 보장됩니다.
• 방화벽 : Cloudways를 통해 시작된 모든 서버에는 웹사이트의 첫 번째 방어선 역할을 하는 방화벽이 사전 설치된 상태로 제공됩니다.
• 서버 모니터링 : 서버를 모니터링 하면 웹사이트를 다운시킬 수 있는 예상치 못한 높은 트래픽 스파이크를 식별하는 데 도움이 됩니다.
• 봇 보호: 봇 보호는 악성 트래픽을 식별 및 차단하고 사전 공격, 웹 스크래핑 및 무차별 대입 공격과 같은 공격으로부터 보호하는 것을 목표로 합니다. 또한 WordPress 애플리케이션의 서버 리소스 사용량을 줄이는 데 도움이 됩니다. 이러한 공격은 웹 사이트에 대한 무단 액세스 권한을 얻거나 웹 사이트를 압도하는 것을 목표로 하지만 Bot Protection은 이러한 모든 활동을 모니터링하고 탐지 시 사전에 차단합니다.
• SSH 및 SFTP 액세스 : 많은 호스팅 제공업체는 여전히 FTP를 사용하여 파일에 액세스합니다. 그러나 Cloudways SFTP(Secure File Transfer Protocol)를 사용하면 연결이 암호화되고 안전합니다. 여러 팀이 서버에서 호스팅되는 프로젝트에서 작업하는 경우 전체 서버 대신 특정 애플리케이션에 대한 액세스 권한을 할당받을 수 있습니다.
• 업데이트된 OS 및 응용 프로그램 : Cloudways의 전문가는 최신 릴리스를 주시하고 안정성 및 호환성 테스트 후 가용성을 보장합니다.
• 무작위로 생성된 자격 증명 : Cloudways를 통해 시작된 모든 애플리케이션에는 추측하기 어려운 무작위로 생성된 기본 자격 증명이 있습니다.
• 백업 : 재해 발생 시 사이트 백업은 보다 빠른 재해 복구를 위한 최선의 방법입니다. 백업 빈도를 1시간 이내로 설정할 수 있습니다.
• 무료 SSL 인증서 : Cloudways는 자동 갱신 기능이 있는 원클릭 SSL 인증서 설치를 제공합니다.
• 무료 스테이징 환경: Cloudways는 모든 것이 의도한 대로 계속 작동할 수 있도록 무료 WordPress 스테이징 환경을 제공합니다.
• 24/7 라이브 채팅 지원 : 여전히 서버 보안 및 성능에 대해 걱정하십니까? Cloudways 지원은 항상 24시간 대기합니다.
• 전화 지원: 도움이 필요한 경우 연락할 수 있는 프리미엄 지원 애드온이며 언제든지 직접 응답할 수 있는 선임 엔지니어입니다.

자주 묻는 질문

Q: WordPress가 안전하지 않음을 어떻게 수정합니까?

A: 이 가이드를 따르고 제가 언급한 모든 사항을 확인하십시오. 많은 도움이 되기를 바랍니다.

Q: SSL 인증서를 사용하여 WordPress 웹사이트를 보호해야 합니까?

A: 예, 대부분의 호스팅 회사에서 원클릭 SSL 인증서를 무료로 제공합니다.

Q: WordPress에 보안 문제가 있습니까?

A: WordPress는 오늘날 가장 많이 사용되는 콘텐츠 관리 시스템(CMS)입니다. 수많은 테마와 플러그인을 사용하여 취향과 선호도에 따라 웹사이트를 쉽게 사용자 지정할 수 있습니다. 그러나 WordPress 보안은 많은 사람들이 우려하는 주요 문제 중 하나입니다.

결론

WordPress 보안 팁은 효과적이고 안전한 웹사이트를 보장합니다. 그러나 많은 사람들은 WordPress 웹사이트를 방어하는 것이 사이버 공간에서 등장하는 새로운 도구와 속임수에 직면하여 지속적인 관심이 필요한 지속적인 프로세스라는 사실을 잊습니다.

WordPress 사용자는 보안 감사 플러그인을 사용하여 WordPress에서 발생한 일에 대한 로그를 유지하고 보안 위협으로부터 WordPress 환경을 강화하는 기본 WordPress 보안 플러그인을 사용하는 것이 좋습니다.

내가 놓친 것이 있다고 생각되면 자유롭게 추가하십시오. 최대한 빨리 목록에 추가하겠습니다. 질문이 있는 경우 아래 의견에 게시하십시오.