WordPress 사이트는 방대한 사용자 기반과 다양한 기능으로 인해 항상 인터넷 사기범의 표적이 되어 왔습니다. 취약한 플러그인을 사용하고, 최신 버전으로 적시에 업데이트하지 않고, 정기적으로 패치를 적용하지 않으며, 보안 조치의 부주의는 WordPress 사이트에 대한 수많은 공격의 주요 원인입니다.
완료되지 않은 WordPress 설치로 인해 세계에서 가장 인기 있는 CMS WordPress가 2017년 6월에 720만 건 이상의 공격으로 PHP 코드 삽입 공격에 취약하게 되었습니다. WordPress 코드 삽입 캠페인은 공격자가 최근에 설치된 WordPress 설치를 표적으로 한 5월과 6월에 특히 정점을 찍었지만 구성되지 않았습니다. 이 PHP 코드 실행 공격은 공격자 관리자 액세스 권한을 제공하여 즉시 웹사이트를 완전히 제어할 수 있습니다.
워드프레스가 필요한 이유
WordPress는 BBC America, TechCrunch, Sony Music 등과 같은 세계에서 가장 유명한 웹사이트를 호스팅합니다. 결과적으로 WordPress의 인기는 좋은 점과 나쁜 점 모두를 초대합니다. Windows OS가 맬웨어의 주요 대상이고 Android OS가 모바일 맬웨어의 주요 대상인 것처럼 WordPress(WP) CMS는 시장 점유율 약 59%를 차지하는 가장 인기 있는 플랫폼 중 하나입니다. 엄청난 양의 WordPress 기반 사이트로 인해 합법적으로 보이는 WordPress 사이트를 손상시켜 자체 맬웨어를 무료로 보관하는 스패머 및 사이버 범죄자의 자연스러운 표적이 됩니다.
코드 삽입:WordPress 사이트는 어떻게 공격받나요?
대부분의 WordPress 사용자는 아카이브를 호스팅 계정의 디렉토리에 압축 해제하거나 호스팅 제공업체의 원클릭 설치 프로그램을 사용하여 플랫폼을 설치합니다. 그러나 이렇게 하면 사용자가 구성 파일을 생성할 때까지 프로세스가 완료되지 않습니다. 이것은 설치를 완료하지 못한 WordPress 사이트 소유자가 공격에 취약해지는 주요 원인이 됩니다.
공격을 시작하기 위해 공격자는 설정 URL을 검색하고 설치의 구성 부분이 불완전한 상태로 남아 있는 WordPress 인스턴스를 식별합니다. 이렇게 하면 사이트가 외부 처리에 열려 있으므로 외부 당사자가 사용자를 대신하여 액세스하고 설치를 완료할 수 있습니다.
WordPress 사이트를 인수하기 위해 공격자는 사용자가 떠난 위치에서 구성되지 않은 사이트를 선택하고 테마를 실행하고 PHP 코드를 삽입하거나 사용자 정의 플러그인을 생성 및 업로드합니다. 공격자가 관리자 액세스 권한을 얻으면 PHP 코드 실행을 쉽게 구현하고 일련의 악의적인 활동을 시작할 수 있습니다. 공격자는 관리자로서 이제 호스팅 서버의 모든 파일, 웹사이트 및 데이터베이스에 액세스할 수 있습니다.
WordPress를 보호하기 위한 모범 보안 사례에 대한 블로그를 확인하세요.
이 결함을 완화하는 확실한 방법은 설치 중에 WordPress 구성이 완료되었는지 확인하는 것입니다. 또한, 웹사이트 관리자가 완료되지 않은 설치가 있는지 사이트를 스캔하는 것이 그 어느 때보다 중요해지고 있습니다. 정기적인 모니터링 및 감사를 통해 향후 이러한 공격으로부터 사이트를 보호할 수도 있습니다.