WordPress CSRF Saldırıları: Güvenlik Açığı ve Önleme

Siteler Arası İstek Sahteciliği (CSRF veya XSRF olarak bilinir), WordPress web sitelerinin karşılaştığı en ciddi saldırılardan biridir. Bu hack, sitede yüklü WordPress eklentilerinde bulunan güvenlik açıkları nedeniyle gerçekleşir.

Burada bilgisayar korsanları , web sitesi kullanıcılarını hem web sitesi sahibine hem de kullanıcıya zararlı olan kötü niyetli eylemler gerçekleştirmeleri için kandırır . CSRF saldırılarının her iki taraf için de yıkıcı sonuçları olabilir ve hareket halindeyken engellenmesi gerekir!

CSRF kullanarak, bir bilgisayar korsanı web sitenizin tam kontrolünü ele geçirebilir ve istediği her türlü kötü amaçlı etkinliği çalıştırmak için kullanabilir. Ziyaretçilerinizi diğer kötü amaçlı sitelere yönlendirebilir veya onları kötü amaçlı yazılım indirmeye yönlendirebilirler. Ayrıca sizden ve müşterilerinizden para çalma derecesine kadar gidebilirler!

Sadece bu degil. İşler çığ gibi büyüyebilir ve Google sitenizi kara listeye alabilir ve barındırma sağlayıcınız sitenizi askıya alabilir.

Bu saldırının kurbanıysanız veya bunu önlemek istiyorsanız, sizi koruduk. Bu makalede, bir CSRF saldırısını nasıl düzelteceğinizi ve nasıl önleyeceğinizi göstereceğiz.

TL; DR

Web siteniz saldırıya uğradıysa, hemen düzeltmeniz gerekir. Web sitenizi derinlemesine taramak ve anında temizlemek için CSRF Attack Removal Plugin'i web sitenize indirip yüklemenizi öneririz. Web siteniz temiz olduğunda, eklenti sitenizi gelecekteki saldırı girişimlerinden koruyacaktır.

İçerik tablosu

→ CSRF Saldırısı (Siteler Arası İstek Sahteciliği) Nedir?

→ Sitenizde WordPress CSRF Güvenlik Açığı Nasıl Oluştu?

→ Bir WordPress Web Sitesinde CSRF Saldırısı Nasıl Önlenir?

→ Eklenti Geliştiricileri için CSRF Önleyici Tedbirler

→ WordPress Site Sahipleri İçin CSRF Önleyici Tedbirler

CSRF Saldırısı ( Siteler Arası İstek Sahteciliği ) Nedir?

CSRF WordPress saldırısını anlamak biraz karmaşık ama elimizden geldiğince yıkacağız.

Kullanıcı abonelikleri, üyeleri veya oturum açma bilgileri olan bir web sitesinde, her kullanıcının sitedeki kendi hesabına ayrıcalıklı erişimi vardır. Örneğin, bir Amazon hesabı, Gmail hesabı veya hatta bir çevrimiçi bankacılık hesabı.

Böyle bir web sitesi, kullanıcılarına oturum açma kimlik bilgilerini verir – kullanıcı adları ve şifreler. Bu, kullanıcının kimliğini doğrulamak için yapılır. Bu nedenle, bir kullanıcı oturum açmak istediğinde, kendisini doğrulamak için kullanıcı adını ve şifreyi girer. Bu şekilde web sitesi, kullanıcı ve tarayıcısı ile güven kurabilir.

Bir CSRF saldırısında, bir bilgisayar korsanı, bu kimliği doğrulanmış kullanıcıyı kötü niyetli eylemler gerçekleştirmesi için kandırır.

1. 'Siteler Arası' Anlama

Bunun nasıl olduğunu açıklamak için bir örnek kullanalım. Diyelim ki kullanıcı Site A'da oturum açtı ve onu tarayıcıdaki bir sekmede açık bıraktı. (Bu Site A'nın oturum açtığını unutmayın – bu önemlidir.)

Şimdi, bilgisayar korsanının kullanıcının e-posta adresine sahip olduğunu varsayalım. Kullanıcıya, önümüzdeki birkaç saat içinde sona erecek inanılmaz indirimler hakkında bir e-posta gönderirler. Kullanıcı, e-postadaki bağlantıya tıklamaya yönlendirilir. Bu, Site B (hacker tarafından çalıştırılan) adlı bir web sitesi açar.

B Sitesinde, indirim talep etmek için bir form doldurmaları veya e-posta adreslerini girmeleri gerekmektedir. Kullanıcı, formu 'göndermek' için görünüşte normal bir düğmeyi tıklar.

Ancak B Sitesi'ndeki bu 'gönder' düğmesinin perde arkasına bir bilgisayar korsanı kötü amaçlı komut dosyalarını ekledi.

Şimdi başka bir sekmede açık olan Site A'yı hatırlayın. Bu komut dosyası, Site A'ya bir istek gönderir ve bunun üzerinde kötü amaçlı eylemler yürütür. Bu nedenle 'çapraz site' olarak bilinir.

2. Talebi Anlamak

Bilgisayar korsanları komut dosyası, Kullanıcı adına Site B'den Site A'ya bir istek gönderir. İstenmeyen kötü niyetli eylem, yönetici şifrelerini değiştirmekten banka hesaplarından para transferine kadar her şey olabilir!

3. 'Sahtecilik' Anlamak

Son olarak, bilgisayar korsanı Site A'yı kandırmak için kullanıcının kimlik doğrulamasını kullandığından, bu bir 'sahte'dir. Böylece 'Siteler Arası İstek Sahteciliği' adı verilir.

Özetle, bilgisayar korsanı Site A'nın kötü niyetli talimatlarının kimliği doğrulanmış kullanıcıdan gönderilen meşru bir istek olduğunu düşünmesini sağlar. Ancak B Sitesinin A Sitesine bir istek göndermesi nasıl mümkün olabilir? Bir sonraki bölümde bunun nasıl gerçekleştiğine daha derinden gireceğiz.

Not: Bu bölüm tekniktir ve deneyimli WordPress kullanıcıları veya geliştiricilerine yöneliktir. Bunu atlamak ve doğrudan sitenizdeki CSRF saldırılarını önlemeye geçmek istiyorsanız, WordPress Site Sahipleri için CSRF Önleyici Tedbirlere atlayın .

[Başa Dön ↑ ]

WordPress CSRF Güvenlik Açığı Sitenizde Nasıl Oluştu?

Güvenlik açığının nasıl oluştuğunu açıklamak için kullanıcının tarayıcısının ve bir web sitesinin nasıl iletişim kurduğunu anlamamız gerekir.

1. Tarayıcı İsteklerini Anlama

Burada iki tür HTTP isteğini ve tarayıcı tanımlama bilgilerini tartışacağız:

ben. HTTP GET İsteği

Bir web sitesini ziyaret ettiğinizde, o web sitesinin sunucusuna bir HTTP GET isteği gönderirsiniz. Bu istek, sitenin ön ucunu görüntülemek için gereken verileri isteyecektir. Web sunucusu yanıt verecek ve istenen verileri gönderecektir. Ardından, web sitesinin içeriği tarayıcınıza yüklenecektir.

Bir kişi bir siteye giriş yapmadığında, kimliği doğrulanmamış bir kullanıcıdır. Yani GET ve POST istekleri gönderildiğinde çerez kullanılmaz. Bu senaryoda herhangi bir güvenlik sorunu yoktur. Ancak kullanıcı oturum açtığında artık kimliği doğrulanmış bir kullanıcıdır.

Web sitesi, bu kullanıcıyı tanımak ve ihtiyaçlarını karşılamak için çerezleri kullanır. Yalnızca bu benzersiz kimlikle ilgili verileri oluşturmak için bu tanımlama bilgilerini kullanabilir. Kullanıcıya kolayca giriş yapmalarına, kullanıcının tercihine göre uyarlanmış reklamları görüntülemelerine veya kullanıcının beğendiği ürünleri vb. görüntülemelerine yardımcı olur.

ii. CSRF Süreci

Şimdi bir CSRF güvenlik açığının nasıl olduğuna geri dönüyoruz. Bu saldırının etkili olması için bilgisayar korsanının tanımlama bilgileri kullanan kimliği doğrulanmış bir kullanıcı kullanması gerekir.

Bunu bir örnekle açıklayacağız. Burada, bir bilgisayar korsanının bir kullanıcının hesabının kontrolünü nasıl ele geçirebileceğini ve ardından bunu bir CSRF güvenlik açığı kullanarak web sitenizi hacklemek için nasıl kullanabileceğini göstereceğiz.

→ Kullanıcı Tarafında Neler Oluyor?

1. 1. Bir kullanıcı, tarayıcısında targetwebsite.com'a giriş yaptı.
   2. Daha sonra, bilgisayar korsanı, bu kullanıcıya bu siteyi ziyaret etmelerini ve hesaplarında 50 ABD doları almak için kaydolmalarını söyleyen bir e-posta göndererek bu kullanıcıyı trickwebsite.com'a tıklaması için cezbeder . (Bu bağlantılar, diğer güvenlik açıkları kullanılarak targetwebsite.com'un kendisine de eklenebilir)
   3. Kurbanın bu hile web sitesinin meşru olduğunu düşündüğünü ve dolandırıcılığa düştüğünü varsayacağız. Burada detayları ile bir form doldururlar ve 'Gönder'e tıklarlar.
   4. trickwebsite.com'da bilgisayar korsanı bu 'Gönder' düğmesinin arkasına HTML kodunu zaten yerleştirmiştir. Tıklandığında, bu kullanıcı adına targetwebsite.com'a (kullanıcının zaten oturum açmış olduğu) bir POST isteği gönderir .

→ Web Sitesi Tarafında Neler Oluyor?

1. 1. Çerezleri kullanarak, targetwebsite.com kullanıcıyı (ve tarayıcıyı) doğrular ve isteğe izin verir . Bu istek, kimliği doğrulanmış kullanıcıdan geldiği için meşru görünecektir.
   2. Ancak gönderilen POST isteği, web sitesine zarar verebilecek kötü amaçlı komut dosyası içeriyor. Örneğin, komut dosyası , mevcut hesap parolasını "newpassword123" olarak değiştirmek için bir komut içerebilir.
   3. İstek targetwebsite.com tarafından kabul edildiğinde, kod çalışacak ve şifreyi değiştirecektir. Ardından, bilgisayar korsanı yeni şifreyi kullanarak hesaba giriş yapabilecek ve tüm kontrolü ele geçirebilecektir.
   4. Ardından, bilgisayar korsanı artık web sitesinde daha fazla saldırı gerçekleştirebilir. Bu kullanıcıya verilen ayrıcalıklara bağlı olarak, targetwebsite.com'un veritabanına erişebilir ve işlevselliği de kontrol edebilirler .

Bu, bir bilgisayar korsanının CSRF saldırılarını kullanarak neler yapabileceğinin sadece bir örneğidir. Gerçekleşebilecek başka birçok senaryo var. Ancak hem kullanıcı hem de web sitesi bu hack'ten etkilenecektir.

[Başa Dön ↑ ]

Bir WordPress Web Sitesinde CSRF Saldırısı Nasıl Önlenir ?

WordPress web siteleri, eklentilerin buna izin veren güvenlik açıklarına sahip olması nedeniyle CSRF saldırılarına maruz kalır.

PluginVulnerabilities.com tarafından hazırlanan tam açıklama raporuna göre, kontrol ettikleri popüler eklentilerin çoğunda, web sitelerini CSRF saldırılarına karşı savunmasız hale getiren güvenlik sorunları vardı. CSRF saldırılarını önlemek için eklenti geliştiricilerinin belirli güvenlik önlemleri alması gerekir. Bu önlemlere kısaca değineceğiz ve ardından bir WordPress site sahibi olarak CSRF saldırılarını durdurmak için neler yapabileceğinizi size anlatacağız.

• Eklenti Geliştiricileri için CSRF Önleyici Tedbirler
• WordPress Site Sahipleri için CSRF Önleyici Tedbirler

ben. Eklenti Geliştiricileri için CSRF Önleyici Tedbirler

Eklenti geliştiricisiyseniz, CSRF saldırılarını önlemeye yardımcı olmak için alabileceğiniz birkaç önlem:

1. Anti-CSRF Jetonları

CSRF karşıtı belirteç, belirli kullanıcının tanımlama bilgileri ve isteğiyle birlikte gönderilen gizli bir değerdir. Bu nasıl çalışır:

1. 1. Web sunucusu bu belirteci oluşturur ve formda gizli bir alan olarak yerleştirilir .
   2. Kullanıcı formu doldurup gönderdiğinde, belirteç POST isteğine dahil edilir .
   3. Sunucu, oluşturulan belirteci ve kullanıcı tarafından gönderilen belirteci karşılaştıracaktır .

Eşleşirse, istek geçerli olacaktır. Eşleşmiyorsa, istek geçersiz sayılır. Bu, CSRF saldırılarının gerçekleşmesini önler.

Bir geliştirici, eklentilerini oluştururken veya güncellerken bu belirteçleri ekleyebilir.

2. Nonces Kullanmak

Birbirinin yerine kullanılsa da, Anti-CSRF Jetonları ve Nonces farklıdır. Nonce değeri (bir kez kullanılan sayılar), istek için oluşturulan tek seferlik bir parola gibidir.

Bir HTTP isteği gönderildiğinde, isteği doğrulamak için nonce oluşturulur. Ancak bir kez kullanıldığında nonce geçersiz olur ve kullanıcı aynı nonce değerini kullanarak formu tekrar gönderemez.

3. Aynı Site Çerezleri

Aynı çerezler kullanılarak yapılan siteler arası istekler nedeniyle CSRF saldırıları mümkündür. Aynı site tanımlama bilgisi, yalnızca istek, tanımlama bilgisinin oluşturulduğu web sitesinden yapılırsa bir tanımlama bilgisinin gönderilebileceği anlamına gelir.

Bu yöntemle ilgili sorun, Chrome ve Firefox'un ve diğer birkaç tarayıcının beklemesidir, tüm tarayıcılar aynı site çerezlerini desteklemez.

Bu, ek bir savunma katmanı olarak kullanılabilir ancak CSRF saldırılarını önlemek için tek başına kullanılmamalıdır.

Bu önleyici tedbirlerin daha fazla ayrıntısına girmeyeceğiz çünkü günümüzde neredeyse hepsi bilgisayar korsanları tarafından atlanabilir. Hacker'lar gün geçtikçe akıllanmakta ve aldığımız önleyici tedbirlerin üstesinden gelmek için yeni teknikler geliştirmektedir.

Kendinizi bu CSRF saldırılarına karşı korumak için bir WordPress site sahibi olarak hangi proaktif ve reaktif önlemleri alabileceğinize geçeceğiz.

ii. WordPress Site Sahipleri İçin CSRF Önleyici Tedbirler

Yukarıda belirttiğimiz gibi, eklenti yaratıcıları, uygulamalarını güvenli hale getirmek için önlemler almalıdır. Ama ya yapmazlarsa? Hangi eklentilerin CSRF karşıtı önlemler uyguladığını nereden biliyorsunuz?

WordPress nadiren kendi başına durur. Eklentiler, bir web sitesinin işlevselliğinde ve tasarımında önemli bir rol oynar. WordPress sitelerinin eklentilere ihtiyacı olsa da, bu eklentilerin uygun güvenlik önlemleri aldığına körü körüne güveniyor musunuz?

Numara! Eklenti geliştiricileri almasa bile web sitesi sahiplerinin tetikte olmaları ve kendi güvenlik önlemlerini almaları gerekir.

Kendinizi CSRF saldırılarından korumak için şunları yapabilirsiniz:

1. Anti-CSRF Eklentilerini Kullanın

WordPress deposunda CSRF saldırılarına ayrılmış pek çok eklenti yoktur. İşte bulduğumuz iki tane:

(A) Yorum Formu CSRF Koruması – Bu WordPress eklentisi, yorum formlarınıza bir anti-CSRF belirteci ekler. Belirteç, gizli tutulan ve tahmin edilmesi pratik olmayan benzersiz bir değere sahiptir. Bu nedenle, bir kullanıcı bir form gönderirse, gizli jeton da onunla birlikte gönderilir. Sadece eşleşirse form gönderme talebi kabul edilecektir.

(B) Aynı site çerezleri – Bu eklenti, Chrome, Firefox, IE ve Edge dahil olmak üzere desteklenen tarayıcılarda çalışır. HTTP istekleri gönderildiğinde, gönderilen çerezlerin aynı siteden olmasını sağlar. Bu, siteler arası istekleri engeller ve bu nedenle tüm CSRF saldırılarını engeller.

2. Çok Yönlü Bir WordPress Güvenlik Eklentisi Kurun

WordPress web siteleri için çok sayıda güvenlik eklentisi mevcuttur. Bu eklentiler, sitenizi CSRF türü de dahil olmak üzere her türlü bilgisayar korsanından koruyabilir. Ancak tüm güvenlik eklentileri size aynı düzeyde güvenlik sağlamaz.

Ayrıca, CSRF saldırısını bulmak zor. Bilgisayar korsanları, site sahibinden ve kullanıcıdan iyi gizler, bu yüzden fark edilmez. Bu tür gizlenmiş kötü amaçlı yazılımları tespit edebilecek bir eklentiye ihtiyacınız var.

Bir güvenlik eklentisi seçerken, CSRF saldırılarına karşı korunmak için aşağıdakileri yaptığından emin olmanız gerekir:

1. 1. Herhangi bir kötü amaçlı komut dosyası için web sitenizi düzenli olarak tarar .
   2. Web sitenizin tüm dosya ve veritabanlarını tarar .
   3. Yeni, gizli veya kılık değiştirmiş dahil olmak üzere her türlü kötü amaçlı yazılımı tespit etme yeteneğine sahiptir. (Bazı eklentiler yalnızca önceden keşfedilmiş kötü amaçlı yazılımları arar.)
   4. Size Uyarılar web sitenizde herhangi bir şüpheli aktivite varsa.
   5. Bir bilgisayar korsanı sizi kendi yönetici hesabınızdan kilitlese bile web sitenizi temizleyebilmeniz için size bağımsız bir kontrol paneli sunar .

Size bu tür koruma ve özellikler sağlayan bir eklenti MalCare'dir. Eklentiyi WordPress web sitenize yüklediğinizde, herhangi bir CSRF saldırısından kurtulmanızı sağlayacaktır. Ayrıca, bir bilgisayar korsanının saldırı sırasında sitenize eklemiş olabileceği WordPress kötü amaçlı yazılımlarından da kurtulacaktır .

Web siteniz, kötü niyetli IP adreslerinin ve kötü botların web sitenizi ziyaret etmesini engelleyen proaktif bir güvenlik duvarı ile korunacaktır.

Bir bilgisayar korsanı, kötü niyetli bir siteler arası istek kullanarak sitenizi hacklemeyi başarırsa, bu WordPress güvenlik eklentisi sizi hemen uyaracaktır. Daha sonra aynı eklentiyi kullanarak hemen harekete geçebilirsiniz.

3. Web Sitenizi Güçlendirin

WordPress, web sitenizi sağlamlaştırmak için belirli önlemler almanızı önerir. Bu, bilgisayar korsanlarının içeri girmesini son derece zorlaştıracaktır. Birkaç önlemi kısaca ele aldık ancak kapsamlı WordPress Sertleştirme kılavuzumuzu okumanızı öneririz .

Bu noktaların çoğu biraz teknik olduğundan, ayrıntılı kılavuz konuyu daha iyi anlamanıza yardımcı olacaktır. CSRF saldırılarının neden olduğu hasarı önlemek veya azaltmak için birkaç sertleştirme önlemi şunları içerir:

a. İki Faktörlü Kimlik Doğrulamayı Kullan

İki faktörlü kimlik doğrulamaya sahip olmak, kullanıcılar için ekstra bir doğrulama katmanı ekler. Bir kullanıcının oturum açma kimlik bilgilerini girmesi gerekecek, ardından ikinci bir parola gerekecek. Bu, kullanıcının kayıtlı e-posta adresine veya telefon numarasına gönderilen tek seferlik bir şifre olabilir. Google Authenticator gibi bir uygulama tarafından oluşturulan bir kimlik doğrulama numarası da olabilir.

B. Güvenilmeyen Klasörlerde PHP Yürütülmesini Engelleyin

Bir CSRF saldırısı, bir bilgisayar korsanının web sitenizin dosyalarına erişmesini sağlarsa, kötü amaçlı görevleri gerçekleştirmek için PHP işlevlerini yürütebilir. (PHP işlevi, bir programda yazılmış bir kod bloğudur). Ayrıca, olması gerekmeyen yerlerde PHP yürütmelerini devre dışı bırakabilirsiniz.

C. Dosya Düzenleyiciyi Devre Dışı Bırak

Bir bilgisayar korsanı WordPress Yönetici hesabınıza erişirse, web sitenizin tüm kontrolünü ele geçirebilir. Kontrol panelinde, eklentileriniz veya temalarınız altındaki "Editör"e erişebilirler. Burada, içeriklerini görüntülemek, sitenizi tahrif etmek, kullanıcılarınızı SEO spam'ı vb. için kendi komut dosyalarını düzenleyebilir veya yükleyebilirler.

NS. Güvenlik Anahtarlarını Değiştir

WordPress hesabınıza her erişmek istediğinizde giriş bilgilerinizi girmeniz gerekmediğini fark etmiş olabilirsiniz. Belirlenen alanlarda zaten doldurulmuş. Bu bilgilerin bilgisayar korsanlarından korunmasını sağlamak için WordPress, bu verileri şifreleyen ve depolayan güvenlik anahtarları kullanır. Bir bilgisayar korsanı CSRF saldırısı kullanarak sitenize girerse, bu bilgilere erişebilir . Daha sonra bunu başka bir şeyle değiştirebilir ve istedikleri zaman web sitenizin yönetici hesabına giriş yapmaya devam etmek için kullanabilirler.

Bu sertleştirme önlemlerini tavsiye ettiğimiz rehberde anlatıldığı gibi manuel olarak uygulayabilirsiniz. Veya bunları yalnızca birkaç tıklamayla uygulamak için MalCare'i kullanabilirsiniz.

4. Kullanılmayan Tüm Temaları ve Eklentileri Silin

Web sitenize ne kadar çok eklenti ve tema yüklerseniz, bilgisayar korsanlarının o kadar fazla fırsattan yararlanması gerekir. Kullanılmayan eklentileri ve temaları silmek ve yalnızca kullandıklarınızı saklamak en iyisidir.

Bunların yanı sıra sitenizi HTTP'den HTTPS'ye taşımak, bir güvenlik eklentisi kurmak ve giriş sayfasını korumak gibi birkaç güvenlik önlemi daha alabilirsiniz.

[Başa Dön ↑ ]

Son düşünceler

CSRF saldırılarının hem kullanıcı hem de web sitesi için ciddi yansımaları vardır.

Bir bilgisayar korsanı, komut dosyalarını HTTP isteği aracılığıyla çalıştırmada başarılı olursa, web sitenizi ele geçirebilir. Bundan sonra, ne yapabileceklerini söylemek yok. Kendi propagandalarını sergilemek veya yasa dışı ürün veya uyuşturucu satmak için web sitenizi tahrif edebilirler. Ayrıca web sitenizin ziyaretçilerini kendi web sitelerine yönlendirebilirler.

Bu siteler genellikle yetişkinlere yönelik siteler, yasa dışı ürünler satan veya ziyaretçileri kötü amaçlı yazılım indirmeleri için kandıran siteler olacaktır.

1. 1. Bir web sitesi sahibi olarak, bu saldırılara karşı güvende olmanızı sağlamak için önlemler almanız gerekir. Size çok yönlü koruma sağlayacağından, WordPress sitenizde MalCare gibi bir güvenlik eklentisini aktif tutmanızı tavsiye ederiz.
   2. Bilgisayar korsanlarının içeri girmesini zorlaştırmak için web sitesi sağlamlaştırma önlemleri uygulamanızı öneririz.
   3. Son olarak, eklentileri ve temaları kullanırken önlem alın. WordPress deposundan veya ThemeForest ve CodeCanyon gibi pazar yerlerinden güvenilir temalar ve eklentiler yükleyin .

Bu önlemleri WordPress web sitenize uyguladığınızda, bilgisayar korsanlarına karşı güvende olacağınızdan eminiz!

WordPress Sitenizi MalCare ile Koruyun!