Практический разбор · WordPress
Права файлов WordPress: проверьте владельца и доступ на запись
Слишком широкие права на файлы WordPress увеличивают последствия ошибки или компрометации. Проверьте владельца и доступ веб-процесса к записи с учётом конфигурации хостинга; не исправляйте проблему установкой прав 777.
Кому нужно проверить
Администраторам WordPress на собственном сервере и владельцам сайтов на виртуальном хостинге, меняющим права файлов. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Если лишние пользователи или процессы могут менять исполняемые файлы сайта, ошибка в другом компоненте может позволить подменить код или конфигурацию. Чрезмерное ограничение прав, напротив, может нарушить обновления и загрузку файлов.
Затронутые версии
Руководство относится к размещённым на Linux сайтам WordPress. Конкретные владелец, группа и права зависят от веб-сервера, PHP SAPI, модели общего хостинга и механизмов вроде suexec; универсальные числовые значения для всех серверов неприменимы.
Исправленные версии
Версии исправления нет: корректная настройка файловой системы уменьшает избыточный доступ, но не исправляет уязвимый код и не заменяет обновления.
Что сделать
- 1Сначала уточните у хостинга схему запуска PHP, владельца файлов и рекомендуемую модель доступа. Не применяйте команды массового изменения прав, пока не понимаете последствия для всех сайтов и процессов.
- 2Проверьте права и владельца файлов ядра, плагинов и тем отдельно от каталогов, в которые WordPress должен записывать загружаемые файлы. Учитывайте также конфигурационные файлы и резервные архивы.
- 3Не используйте 777 как способ устранить ошибку записи. WordPress предупреждает, что такой режим позволяет любому пользователю системы записывать в соответствующий файл или каталог.
- 4Перед изменением зафиксируйте исходные владельца и права и проверьте процедуру на тестовой копии. После настройки проверьте обновление, загрузку медиафайла и работу сайта от имени обычного веб-процесса.
- 5Если сайт ранее был доступен для записи лишним пользователям, проверьте целостность файлов и журналы; одна смена прав не удаляет уже добавленный вредоносный код.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.