WP WEEKEND 2015 - O word press é seguro. Inseguro é você.

WordPress é Seguro.
Inseguro é você.
Leandro Vieira / Fundador e CEO da Apiki
leandro@apiki.com
O WordPress é seguro. Inseguro é você. / apiki.com/wordpress-seguro

Não sou  
especialista em Segurança

Empresa do Grupo iMasters, é a primeira empresa
brasileira especializada e focada única e exclusivamente
em WordPress.
Responsável por grandes cases no mercado para empresas
como Grupo Abril, Buscapé Company, Grupo Estadão, FIRJAN,
iMasters, Walmart, Wizard, E-Commerce Brasil, Saraiva,
Digitalks, VTEX, CENIBRA e outros.
Fundada em 2008, mantém escritórios em Minas Gerais na
cidade de Governador Valadares e em São Paulo na capital.
Com serviços e soluções especializadas em WordPress
organizados em produtos categorizados e certiﬁcados por
nossos clientes.
Apiki. Empresa orgulhosamente especializada em WordPress  
com soluções certificadas por nossos clientes.

Clientes e amigos que nos renderam boas histórias para contar. Vamos construir a nossa?
Clientes
Apiki. Empresa orgulhosamente especializada em WordPress  
com soluções certificadas por nossos clientes.

O WordPress não é
seguro …
ouço isso muito. Várias e repetidas vezes.

Movimento de
mudança
iMasters Developer Week Edição Vitória / ES

O WordPress é seguro.
Inseguro é você.
A iniciativa.

Sobre a iniciativa
• Um guia prático disponível em: 
apiki.com/wordpress-seguro
• Conteúdo semanal sobre segurança disponível em: blog.apiki.com/
category/wordpressseguro. Mais de 30 e contando …
• Dezenas de dicas especíﬁcas de segurança;
• Entrevistas com especialistas;
• Palestras: Vitória/ES, Belo Horizonte/MG, São Paulo/SP, Itajubá/MG;
• Webinars;
• Workshop (Porto alegre/RS).

Segurança é processo.
Vamos conversar a respeito e compartilharei dicas
preciosas.

Os problemas da
popularidade

Fonte: w3techs.com

apiki.com/wordpress-4-4-release-overview

Nem tudo são ﬂores

Full Path Disclosure
(FPD)

Senhas

Plugins

Você não está fazendo
isso certo.
Mas deveria.

• functions.php.bkp
• functions.php.old
• algum-arquivo.php.qualquercoisa
• medo.php.maismedo

• DISALLOW_FILE_EDIT x
DISALLOW_FILE_MODS

Você deveria usar
mais vezes

Vamos ver um exemplo prático de ataque de força bruta

Você deveria fazer
isso sempre …

@Atualizações
Core. Temas. Plugins. Sistema Operacional. Bibliotecas.
Tudo.
O WordPress é seguro. Inseguro é você.O WordPress é seguro. Inseguro é você. / apiki.com/wordpress-seguro

@Versão do WordPress
Remover? Ocultar? Deixar exposta?

@Usuário e senhas
“admin”. Senhas. Ataques. Desconexão.

@Usuário e senhas

@Usuários
• Sobre a listagem dos nomes de usuários;
• Feito através de Shell, Curl, Requisições manuais, WP Scan;
• Evite a listagem dos nomes de usuários;
• Diﬁculte os acessos de força bruta.
# Evita listagem dos nomes de usuários
RewriteCond %{REQUEST_URI} ^/$
RewriteCond %{QUERY_STRING} ^/?author=([0-9]*)
RewriteRule ^(.*)$ https://url-do-site.com/? [L,R=301]

@Usuário e senhas
https://api.wordpress.org/secret-key/1.1/salt/

@Autenticação de dois fatores
Quem é você. O que você tem. O que você sabe.

@Autenticação de dois fatores

@wp-conﬁg.php
Localização. Permissão. .htaccess.

@wp-conﬁg.php
• Manter o arquivo um nível acima do diretório público;
• Usar a permissão 400 (readonly) ou 600;
• No arquivo .htaccess fazer uso de diretiva para proteção do arquivo.

@Debug
O que os olhos não veem …

@Debug
/wp-content/debug.log
define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
@ini_set( 'log_errors', 'On' );
define( 'WP_DEBUG_DISPLAY', false );
@ini_set( 'display_errors', 'Off' );

@Exclusão de arquivos
Hã?

@Exclusão de arquivos
1./wp-config-sample.php
2./readme.html
3./license.txt
4./wp-admin/install.php
5./wp-admin/upgrade.php
6.HIGIENIZAÇÃO

@Veriﬁcações
Manual. Automática. Prevenção. Correção.

@Veriﬁcações /
Backdoors
• /wp-content/uploads/ …
• alguma-coisa-nada-a-ver.php
• php5.php
• outra-coisa-estranha.php5
• single_x1.php4
• mais-coisa-esquisita.php4
• p.php
• 1.php
• 1.php5
• e a lista continua

@Veriﬁcações /
Backdoors
• Entender como e por que acontece;
• Sobre o mecanismo de upload do WordPress;
• Plugins e temas x API do Core;
• Dicas mágicas:
• Atualizações;
• Permissões corretas;
• Desabilitar o editor de Plugin e Tema;
• Bloquear execução de scripts PHP em /wp-content/
uploads.

@Permissões
400. 600. 644. 755.

@Permissões
O WordPress é seguro. Inseguro é você.
• 400/600 para o wp-config.php;
• 600 para o debug.log;
• 644 para os arquivos;
• 755 para os diretórios.

@Fornecedores
Desenvolvimento. Conteúdo. Hospedagem.

@Banco de Dados
Estrutura. Preﬁxo.

@Banco de Dados
wp_

@.htaccess
Mágico. Indexes. Debug. wp-conﬁg. wp-includes. Spam.

@.htaccess
#1
Options -Indexes
#2
<Files debug.log>
Order allow,deny
Deny from all
</Files>
#3
<files wp-config.php>
order allow,deny
deny from all
</files>
#4
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>

@.htaccess / Spam
RewriteEngine On
RewriteCond %{REQUEST_METHOD} POST
RewriteCond %{REQUEST_URI} .(wp-comments-post|wp-login).php*
RewriteCond %{HTTP_REFERER} !.*example.com.* [OR]
RewriteCond %{HTTP_USER_AGENT} ^$
RewriteRule (.*) http://%{REMOTE_ADDR}/$ [R=301,L]
</ifModule>

@Full Path Disclosure
Full Path Disclosure (FPD). site-em-wp.com.br/wp-includes/rss-functions.php

#4
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>

<?php if ( !function_exists( 'add_action' ) ) exit; ?>
Em todos os arquivos de plugin e tema. A primeira linha de todas.

@Backups
Banco de dados. Arquivos. Redundância.

@Guia prático
apiki.com/wordpress-seguro

bit.ly/comprarCursoSegurancaWP
WPWeekend25%
Cupom de desconto exclusivo:

Muito obrigado o/
O WordPress é seguro. E você também.O WordPress é seguro. Inseguro é você. / apiki.com/wordpress-seguro
Leandro Vieira / Fundador e CEO da Apiki
leandro@apiki.com

WP WEEKEND 2015 - O word press é seguro. Inseguro é você.

Recommandé

Recommandé

Contenu connexe

Similaire à WP WEEKEND 2015 - O word press é seguro. Inseguro é você.

Similaire à WP WEEKEND 2015 - O word press é seguro. Inseguro é você. (20)

Plus de Rodrigo Toshiaki Horie

Plus de Rodrigo Toshiaki Horie (6)

Dernier

Dernier (6)

WP WEEKEND 2015 - O word press é seguro. Inseguro é você.