+54 11 5258-8400
Login

Archivo de la etiqueta: Wordpress

ACTUALIZACIÓN DE SEGURIDAD WORDPRESS

NextGen PLUGIN

Un plugin de WordPress instalado en más de un millón de sitios acaba de corregir una grave vulnerabilidad de inyección de SQL que puede permitir a los atacantes robar datos de la base de datos de un sitio web.

El nombre del plugin vulnerable es NextGEN Gallery, un plugin tan exitoso que tiene su propio conjunto de plugins.

Dos opciones de configuración del plugin de Galería NextGEN dejan al descubierto nuestro WordPress a posibles ataques.

Primer escenario de ataque

Según la empresa de seguridad web Sucuri, quien descubrió los problemas de seguridad de NextGEN Gallery, el primer escenario de ataque puede ocurrir si un propietario de WordPress activa la opción NextGEN Basic TagCloud Gallery en su sitio.

Esta característica permite a los propietarios de sitios mostrar galerías de imágenes que los usuarios pueden navegar a través de etiquetas. Al hacer click en una de estas etiquetas, se modifica la URL del sitio a medida que el usuario navega por las fotos.

Sucuri dice que un ataque puede modificar los parámetros de enlace e insertar consultas SQL que serán ejecutadas por el plugin cuando el atacante cargue la URL malformada.

Segundo escenario de ataque

El segundo escenario puede ocurrir si los propietarios de sitios web abren su sitio para posteos de blogs. Debido a que los atacantes pueden crear cuentas en el sitio y enviar una publicación o un artículo para su revisión, también pueden insertar los shortcodes malformados de NextGEN Gallery.

El experto de Sucuri, Slavco Mihajloski, dice que un código corto como el siguiente puede usarse para atacar sitios.

[Querycode1] [any_text1]% 1 $% s [any_text2] [querycode2]

El problema radica en cómo las funciones de complemento interno manejan este código. Por ejemplo, % s se convertirá en ‘% s’ y romperá eficazmente la consulta SQL en la que se inserta esta cadena.

Esto permite al atacante agregar código SQL malicioso después de este bloque de caracteres y hacer que se ejecute dentro del backend del sitio. Dependiendo del nivel de habilidad del atacante, esto puede permitirle volcar la base de datos del sitio y robar registros personales del usuario.

Sucuri dio a esta vulnerabilidad una puntuación de 9 de 10, principalmente debido a lo fácil que era para explotar el defecto, incluso para los atacantes no técnicos.

Sucuri dice que los autores del plugin arreglaron esta falla en NextGEN Gallery 2.1.79. Al leer el changelog del plugin por su cuenta, será muy difícil detectar que la versión 2.1.79 solucionó una falla de seguridad severa.

En el momento de escribir esto, el archivo de cambios de NextGEN Gallery en el repositorio de plugins de WordPress sólo dice “Cambiado: Ajuste de la visualización de etiquetas”.

Si sos usuario de este plugin y contás con una versión anterior a 2.1.79, tu sitio es vulnerable, por lo que no dejes de actualizar NetxGen plugin:

https://wordpress.org/plugins/nextgen-gallery/

Cómo asegurar tu sitio WordPress (2da parte)


Wordpress

¿Quién dijo que las segundas partes no son buenas? ¡Esta es súper interesante y completa! Luego de una primera entrega donde repasamos algunos conceptos de seguridad básicos, se va la segunda con muchos más tips.

Limitar la cantidad de intentos de acceso

Para evitar los ataques de acceso por fuerza bruta es recomendable restringir la cantidad de intentos que realiza un usuario para ingresar al panel administrativo y bloquearlos temporalmente luego de una determinada cantidad de intentos fallidos. Esto ayuda a prevenir que alguien descubra nuestra contraseña por prueba y error.

Esto se puede hacer fácil y rápidamente con plugins como Login LockDown y Simple Login Lockdown que se ocupará del control de acceso de tu sitio WordPress permitiendo, entre otras cosas, configurar cuantos intentos de accesos se admitirán y el tiempo de espera antes de permitir un nuevo intento.

Ocultar los errores de acceso

Cuando intentás ingresar a tu sitio WordPress con un usuario o contraseña incorrecta, el formulario de acceso muestra un mensaje de error indicando cual de los datos es el erróneo. Esto brinda información a los usuarios malintencionados sobre que nombres de usuarios son correctos para ingresar al sitio. Se recomienda reemplazar esos mensajes de error por uno genérico y así ocultar dicha información.

Para esto hay que agregar el siguiente código en el archivo functions.php del theme de tu sitio:

add_filter('login_errors', create_function('$a',
"return 'Los datos de acceso son incorrectos.';")
);

Reemplazando el text “Los datos de acceso son incorrectos” por el mensaje que desees mostrar.

Utilizar el modo seguro para ingreso de usuarios

Desde WordPress es posible definir que los accesos de usuarios se realicen en Modo Seguro utilizando el protocolo SSL únicamente para que los datos de acceso viajen encriptados entre el navegador y tu sitio. Es decir que sólo se podrá ingresar con un usuario si utilizando una dirección que comienza con https://.
Para habilitar esta opción simplemente debes agregar en tu archivo wp-config.php la siguiente línea de código:

define('FORCE_SSL_LOGIN', true);

Si además de forzar que los ingresos sean seguros se desea forzar la navegación segura con SSL en toda la sección del panel administrativo, se puede hacer agregando el siguiente código:

define('FORCE_SSL_ADMIN', true);

Para que tengan efecto estos códigos deben ser agregados al archivo de configuración antes de la siguiente línea:

require_once(ABSPATH . 'wp-settings.php');

También debes tener en cuenta que el acceso con modo SSL hace más lenta la navegación en el sitio. Además, si bien ELSERVER.COM lo permite, algunos servidores y planes de hosting no tienen habilitado el acceso a través de SSL, con lo cual asegúrate de tener habilitada esa opción en tu servicio de hosting antes de realizar este paso o contratá hoy mismo un plan con nosotros.

Configurar las claves secretas de autenticación

Estas claves se encuentran definidas en el archivo wp-config.php y se utilizan para encriptar de forma más segura tu contraseña y los datos que se transmiten entre el sitio y tu navegador lo que hace más difícil que alguien pueda adivinarlos o acceder a ellos.

Para definir estas claves secretas debes editar las líneas del archivo wp-config.php en donde figura lo siguiente:

define('AUTH_KEY', 'Frase de seguridad');
define('SECURE_AUTH_KEY', 'Frase de seguridad');
define('LOGGED_IN_KEY', 'Frase de seguridad');
define('NONCE_KEY', 'Frase de seguridad');
define('AUTH_SALT', 'Frase de seguridad');
define('SECURE_AUTH_SALT', 'Frase de seguridad');
define('LOGGED_IN_SALT', 'Frase de seguridad');
define('NONCE_SALT', 'Frase de seguridad');

Donde dice “Frase de seguridad” debes colocar la frase o clave que quieras utilizar, se recomienda que sean claves aleatorias de tal forma que no puedan ser adivinadas fácilmente.

Puedes generar las claves aleatorias utilizando el WordPress Key Generator. Simplemente copia las claves que genera y reemplazalas en tu archivo wp-config.php.

Cambiar la ubicación del archivo wp-config.php

En las últimas versiones de WordPress, más específicamente a partir de la versión 2.6, es posible reubicar el archivo wp-config.php un nivel más arriba del directorio donde se haya creado la instalación para que no sea accedido públicamente.

Por ejemplo, si nuestra instalación está ubicada en /public_html/misitioweb/, entónces el archivo wp-config.php podría moverse de esa carpeta a /public_html/ y WordPress autodetectará en cual de las dos se ubica. Pero por más que se lo coloque en cualquier otra ubicación, WordPress no lo detectará.

Cabe aclarar que el archivo de configuración sólo se puede reubicar en la carpeta superior al raíz de la instalación WordPress y NO en cualquier directorio como se menciona en algunos artículos.

Si lo colocas en cualquier otra ubicación, WordPress no lo detectará e intentará crear uno nuevo a través del asistente de instalación. Esto genera una falla de seguridad más grave ya que quien ingrese primero al sitio web podrá generar una nueva instalación.

Prevenir la inyección de código malicioso

Dependiendo de cómo esté configurado el servidor de hosting, existe la posibilidad de que alguien intente sobreescribir las variables globales de PHP a través de la URL de acceso a algunas de las páginas del sitio. Para evitar esto se pueden filtrar los parámetros de las URL a través del módulo rewrite, agregando la siguiente configuración en el archivo .htaccess del directorio raíz:

Options +FollowSymLinks
RewriteEngine On
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} GLOBALS(=|\[|\%[0-9A-Z]{0,2}) [OR]
RewriteCond %{QUERY_STRING} _REQUEST(=|\[|\%[0-9A-Z]{0,2})
RewriteRule ^(.*)$ index.php [F,L]

Eliminar los plugins innecesarios

Existen muchos plugins que no se encuentran debidamente probados o que no reciben mantenimiento y actualización para las nuevas versiones de WordPress. Estos pueden generar errores, agujeros o filtraciones de seguridad que pueden ser aprovechados por quienes deseen hacer daño y perjudicarán el funcionamiento del sitio.

Si tienes plugins instalados en tu sitio que no estas utilizando o de los cuales no sabes qué riesgos de seguridad pueden presentar, la mejor opción es desactivarlos y desinstalarlos completamente desde el menú de gestión de Plugins. Asegurate de que se hayan eliminado todos los archivos de esos plugins en la carpeta /wp-plugins de tu instalación para evitar cualquier filtración posible.

Hasta aquí llega el alcance de la seguridad básica que podría implementar cualquier propietario de un sitio WordPress. En la próxima nota veremos otros tips para restricción de permisos en los archivos, modificación de configuraciones predefinidas durante la instalación y como agregar más seguridad al panel administrativo.

Cómo asegurar tu sitio WordPress (1ra parte)

Wordpress

Nos interesa mucho tu seguridad, por lo que seguimos acercándote las mejores sugerencias para tu sitio. En esta oportunidad te vamos a contar, en dos notas, qué acciones podes tomar para aplicar en tu sitio WordPress.

Uno de las principales desventajas de utilizar WordPress para tener un blog o sitio propio reside en que es una herramienta pública. Es decir, todo el mundo tiene acceso al código fuente de la misma y, por ende, puede saber o analizar como funciona. Esto implica que cualquiera con un mínimo conocimiento en programación y desarrollo de sitios web pueda encontrar errores o vulnerabilidades que aún no hayan sido corregidas, o siquiera detectadas, de las cuales aprovecharse para dañar el sitio o robar información.

Leer más

Cómo instalar tu blog corporativo

wp.jpg

En un post anterior hablamos de lo importante que puede ser para una empresa contar con un blog corporativo.

Ahora que ya te convencimos, queremos mostrarte lo fácil que puede llegar a ser instalar y configurar un blog. Para empezar, descartaremos de plano utilizar un servicio gratuito, ya que en un blog corporativo es recomendable que esté alojado en el mismo dominio de la empresa. Puede estar configurado tanto como un subdominio (por ejemplo, blog.empresa.com) como en una carpeta (www.empresa.com/blog). Para los más osados, la propia homepage de la empresa puede ser un blog convenientemente “tuneado”.

La plataforma de blogs preferida por ELSERVER.COM (y también por la mayoría de los blogs más relevantes) es WordPress, el sistema open-source creado por Matt Mullenweg en 2005. Para poder instalar WP en tu cuenta de hosting necesitás contar con un plan Grid 2.0, ya que la información del blog se almacenará en una base de datos MySql que deberás tener creada con al menos un usuario antes de realizar la instalación.

Para crear una base tenés que ir al Panel de Control de tu cuenta, elegir la opción MySql y luego Agregar Base de Datos MySql. Luego tendrás que elegir un nombre para la base de datos que no haya sido utilizado antes por otro usuario. Para crear el usuario hay que ir a la solapa Usuarios MySql, hacer click en Agregar Usuario MySql, y elegir un nombre de usuario y contraseña. Por último, tildar el casillero que aparece junto al nombre de la base de datos creada antes, para asociar a este usuario con ella.

Los pasos a seguir para instalar WordPress son sencillos:

– Bajás el archivo .ZIP que contiene WordPress de www.wordpress.org.
– Lo descomprimís en tu PC.
– Renombrás el archivo wp-config-sample.php como wp-config.php.
– Lo editás para incluir el nombre de tu base de datos, usuario y contraseña.
– Subís vía FTP todos los archivos a la carpeta de tu cuenta en donde se alojará el blog
– Apuntás el navegador a la dirección (tudominio/tublog)/wp-admin/install.php.
– ¡Listo! El sistema te informará de la clave del usuario administrador para ingresar.

Una vez logueado dentro del sistema, podés empezar a jugar un poco con las opciones, escribir posts de prueba, crear categorías, etc.

En futuros posts te mostraremos cómo usar y configurar WordPress, además de ayudarte a diseñarlo a tu gusto con ayuda de los themes. ¿Qué no te animás a instalarlo? No importa, si nunca realizaste una instalación de este tipo, ELSERVER.COM se ofrece a realizarte sin cargo la configuración inicial de WordPress en tu cuenta.

LAYOUT

SAMPLE COLOR

Please read our documentation file to know how to change colors as you want

BACKGROUND COLOR

BACKGROUND TEXTURE