Kuidas veebisaite häkitakse

Moodul 7: Turvalisus · Lugemisaeg: 8 minutit

Õpieesmärk: Pärast seda õppetundi oskad realistlikult selgitada, kuidas WordPress-saite enamasti häkitakse, miks ka väikesed saidid on sihtmärgiks ja mida ründajad nendega teha tahavad.

Põhimõisted: turvaauk, viga pluginas või teemas, automaatsed skannimised, credential stuffing, brute force, nulled tarkvara, nakatunud arvuti, tagajärjed (rämpspost, ümbersuunamine, õngitsus, pahavara), ründepind

„Minu sait on liiga väike, et huvitav olla“

See on kõige levinum väärarusaam. Peaaegu ükski WordPress-häkk ei ole suunatud ühele kindlale saidile. Ründajad kasutavad programme, mis käivad automaatselt läbi tuhandeid saite tunnis ja otsivad üht asja: teadaolevat nõrkust. Kui programm selle leiab, murrab ta sisse, olenemata sellest, kas sait kuulub suurettevõttele või kohalikule jalgpalliklubile.

Nad ei taha mitte sinu saiti, vaid seda, mida su sait suudab:

• Rämpspost ja otsingumootorite kuritarvitamine: tuhanded peidetud lehed või lingid ravimite, hasartmängude või valepoodide jaoks, mis parasiteerivad sinu domeeni hea nime peal Google'is.
• Ümbersuunamine: külastajad (sageli ainult need, kes tulevad Google'ist või kasutavad telefoni) suunatakse valesaidile või petulehele. Sina ei näe midagi, sest sina lähed saidile järjehoidja kaudu.
• Õngitsus: panga või kullerteenuse järeletehtud sisselogimisleht, peidetud sinu uploads-kausta, sinu domeeninimega lingis.
• Pahavara levitamine külastajatele.
• Kirjade saatmine: sinu server saadab rämpsposti ning seejärel ei jõua sinu enda kirjad enam kohale.
• Arvutusvõimsus: sinu pakett võetakse kasutusele teiste saitide ründamiseks või krüptorahade kaevandamiseks.
• Andmed: veebipoe või liikmete saidi puhul sinu klientide andmed.

Sissepääs 1: viga pluginas või teemas

See on kaugelt kõige olulisem. Patchstacki, WordPressi turvaauke jälgiva ettevõtte aastaraporti järgi leiti 2024. aastal WordPressi ökosüsteemist 7966 uut turvaauku. 96% neist oli pluginates, 4% teemades ja WordPressis endas vaid seitse. Enamikku turvaauke ei saa lihtsalt ära kasutada, aga osa saab, ning neid skannitakse massiliselt juba tundide või päevade jooksul pärast avalikustamist.

Muster on peaaegu alati sama:

1. Populaarse pluginа versioonist 3.2 leitakse turvaauk.
2. Autor avaldab versiooni 3.2.1 koos parandusega. Turvaauk saab avalikuks.
3. Lühikese aja jooksul skannivad programmid internetti, otsides saite versiooniga 3.2 või vanemaga.
4. Kes pole veel uuendanud, sellele tungitakse sisse.

Oht ei peitu seega salajases turvaaugus, millest keegi ei tea, vaid teadaolevas turvaaugus, mille jaoks on juba uuendus olemas, aga mis pole paigaldatud. Seepärast on uuendused (õppetund 7.2) kõige olulisem meede ja eemalda see, mida sa ei kasuta (õppetund 5.4): iga plugin mis on olemas, ka deaktiveerituna, suurendab sinu ründepinda.

Erijuhtum on hüljatud pluginad: autor on lõpetanud, parandusi enam ei tule. Ja nulled tarkvara (õppetund 5.3): tasulise pluginа varastatud koopia, mis sageli sisaldab sisseehitatud tagaust.

Sissepääs 2: paroolid

Teine suur sissepääs on sisselogimine kehtiva parooliga:

• Credential stuffing: mõne teise teenuse andmelekke käigus on lekkinud miljoneid e-posti aadressi ja parooli kombinatsioone. Programmid proovivad neid kombinatsioone erinevatel saitidel, sealhulgas WordPressi sisselogimislehtedel. Kui sa kasutad sama parooli, mis lekkinud teenuses, pääsevad nad sisse.
• Brute force: programm proovib lihtsalt väga palju paroole, sageli koos tavaliste kasutajanimedega nagu admin. Pika ja unikaalse parooliga on sel lootust vähe, aga see koormab sinu serveri arvutusvõimsust.
• Õngitsus: võlts kiri „sinu WordPress tuleb uuendada, logi siin sisse“ koos lingiga järeletehtud sisselogimislehele.

Õppetund 7.3 räägib kaitsest: paroolihaldur, kaheastmeline autentimine ja sisselogimiskatsete piiramine.

Sissepääs 3: kõik WordPressi ümber

Mitte iga häkk ei alga WordPressis:

• Nakatunud arvuti sinul või su veebilehe koostajal, programmiga, mis varastab paroole, näiteks neid, mis on salvestatud FTP-programmis.
• Tavaline FTP ilma krüpteerimiseta, avalikus võrgus.
• Teine sait samas paketis: unustatud vana testpaigaldus, vana Joomla alamkaustas. Kõik samas paketis olevad saidid jagavad tavaliselt serveris sama kasutajat. Kui vana sait häkitakse, pääseb ründaja ka sinu WordPressi juurde.
• Lekkinud andmebaasi parool, näiteks wp-config.php koopia kaudu veebikaustas (õppetund 1.3).
• Kontrollimata vormid, mida kuritarvitatakse rämpsposti saatmiseks.

Hea majutaja puhul on sinu pakett kaitstud teiste klientide pakettide eest samas serveris (DirectAdmin-serverite puhul koos CloudLinuxiga näiteks CageFS abil). Mis toimub sinu enda paketi sees, jääb siiski sinu enda mureks.

Mida sa märkad (ja mida mitte)

Head häkki ei märka sa esialgu. Ründajad tahavad sinu saiti kasutada võimalikult kaua. Märgid (õppetund 7.5 käsitleb seda):

• Google teatab „See sait võib olla häkitud“, või sa näed otsingutulemustes oma domeenilt veidraid lehti (proovi otsida site:example.com);
• külastajad teatavad, et jõuavad mujale;
• on olemas administraatorid või failid, mida sa ei tunne;
• su majutaja või pahavaraskanner teatab millestki;
• su kirjad ei jõua enam kohale, või pakett on täis või aeglane.

Kaitse kihtidena

Ükski meede pole veekindel. Turvalisus on kihtide kuhjumine, nii et ühe kihi viga ei ava kohe kõike:

1. Uuendamine (õppetund 7.2): sulgeb teadaolevad turvaaugud. Kaugelt kõige olulisem.
2. Vähe komponente (õppetund 5.3 ja 5.4): vähem uuendamist, vähem turvaauke.
3. Sisselogimise kaitsmine (õppetund 7.3): pikad unikaalsed paroolid, kaheastmeline autentimine, vähimad õigused (õppetund 3.3).
4. Karastamine (õppetund 7.4): õigused, seaded ja päised, mis piiravad kahju.
5. Varukoopiad (õppetund 8.1): kui ikkagi midagi läheb valesti, saad tagasi pöörduda.
6. Teadmine, mida teha, kui midagi läheb valesti (õppetund 7.5).

Kokkuvõte

• Peaaegu kõik häkid on automaatsed ja mitte sihitud; väikesed saidid on samamoodi sihtmärgiks.
• Ründajad tahavad seda, mida sinu sait suudab: rämpsposti, ümbersuunamist, õngitsust, kirju, arvutusvõimsust, andmeid.
• Suurim sissepääs on teadaolev turvaauk pluginas või teemas, mille jaoks oli juba uuendus olemas (2024. aastal oli 96% uutest turvaaukudest pluginates).
• Teine sissepääs on paroolid: taaskasutatud, ära arvatud või õngitsetud.
• Ka nakatunud arvuti, tavaline FTP või unustatud vana sait samas paketis võib olla sissepääsuks. Kaitse end kihtidena.

Test

Ülesanne

Ülesanne D7.1: Sinu enda riskinimekiri. Koosta nimekiri kõigest sinu majutuspaketis olevast, mis võib olla sissepääsuks: iga WordPressi paigaldus (ka test- ja vanad saidid), iga plugin ja teema (ka mitteaktiivsed), iga haldusõigustega konto (WordPress, FTP, majutuspaneel) ja arvutid, millest sisse logitakse. Märgi iga komponendi juurde: millal viimati uuendatud, kas veel vajalik (jah/ei) ja kes vastutab. Märgista kolm asja, mille sa sel nädalal korda teed või uuendad, ja kirjuta üles, miks just need.

Lisalugemist

Need artiklid kirjeldavad samme WebOké paneelides; teistes paneelides toimivad need sarnaselt.

• Appi! Minu sait on häkitud. Kuidas seda parandada või ennetada?
• DirectAdmin juhend 18.2: Minu veebileht on häkitud: tegevuskava
• State of WordPress Security in 2025 (Patchstack, inglise keeles): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/
• WordPressi turvalisus (developer.wordpress.org, inglise keeles): https://developer.wordpress.org/advanced-administration/security/hardening/