WordPress için binlerce adet makale ve güvenlik önlemiyle ilgili ipuçları yazıldı ve bunlara bir tane de ben eklemek istiyorum. WordPress kuşkusuz en kolay kullanılabilen en iyi blog yazılımı ve çok da popüler olması onu daha da güzel kılıyor. Fakat bu kadar popüler olan bir şey kötü niyetli insanlarca kolayca incelenebilir ve açıkları ortaya çıkartılabilir. Bu açıklardan birisi de dosya sahiplikleri (chmod) dir. Bu konuda yapılan ayarlar tüm PHP dosyalarını 644 ve tüm klasörleri 755 yapmanızı söyler. Peki bu bilgiler ne kadar güvenli hiç düşündünüz mü?
Chmod değerlerine baktığımızda;
- Okuma değerinin 4,
- Yazma değerinin 2,
- Çalıştırma değerinin 1 sayısına eşit olduğunu görürüz.
Chmod değeri 3 kısımda incelenir: Sahibi, grubu ve herkes. Yani siz 644 yaparak dosyayı;
- Sahibi için yazma ve okumaya açık
- Grubu için okunabilir
- Herkes tarafından okunabilir.
Demek oluyor. Burada dikkat etmemiz gereken nokta ise paylaşımlı sunucularda bir site hacklendiğinde atılan shell ile sizin dosyanıza erişip veriyi okuma problemidir. Bu grup içerisinde problem yaratır ve aynı problem herkes için de söz konusudur. Paylaşımlı hostlarda biliyorsunuz her yeni site için yeni bir kullanıcı yaratılır ve bu herkes grubuna dahildir.
Yani sunucunuzdaki bir site hack yediğinde bundan siz de nasibinizi alma ihtimaliniz baya yüksektir. Ama benim önerdiğim yöntem ise şu şekildedir;
- Sahibi için sadece okumaya açık,
- Grubunun o dosya üzerinde hakkı yok,
- Herkesin o dosya üzerinde hakkı yok
Bu şekilde bir kullanımı yukarıdaki hesaba bakarak CHMOD 400 olarak hesaplayabiliriz. Bu şekilde kurulumda problem yaşayabilirsiniz. Fakat bir kez kurduktan sonra bu şekilde kullanırsanız eğer size büyük bir güvenlik üstünlüğü sağlayacaktır.
Ayrıca WordPress hacklerinin büyük çoğunluğu yanlış CHMOD ve sunucu açıklarından kaynaklanmaktadır.