htaccess WordPress – Guía Completa

Las inyecciones de WordPress SQL son un método común de hacking.

A menudo se utiliza para insertar enlaces de malware y spam en su sitio web.

Cuando se trata de proteger su sitio de WordPress, esta es una amenaza para la que necesita estar preparado!

Es muy importante tener un buen plan de seguridad de WordPress. En este post, explicaré con más detalle qué es una inyección SQL y cómo puede minimizar que suceda en su sitio web.

¿Qué son las inyecciones de SQL?

Los hackers pueden entrar en WordPress de muchas maneras, pero como ya habrás adivinado el nombre SQL injection nos da una pista de cómo se consigue este hacker o a dónde se dirige para ser más precisos.

Seguridad de la base de datos de WordPress

WordPress se basa en PHP y una base de datos MySQL para funcionar. Muchos de los datos de su sitio web se almacenan en la base de datos MySQL y son llamados cuando la gente visita su sitio. El código PHP se utiliza para llamar entradas en la base de datos.

¿Cómo hackean la base de datos de WordPress las personas o los robots?

En resumen, una inyección SQL puede ocurrir en cualquier lugar que tenga un elemento de formulario en su sitio. Estos pueden serlo:

• Formularios de contacto
• Formularios de suscripción
• Formularios de acceso
• Barras de búsqueda y muchos otros campos de entrada.

Incluso las vulnerabilidades más pequeñas pueden dejar su base de datos abierta a un ataque SQL!

Los hackers básicamente buscan sitios con vulnerabilidades, cuando encuentran una, todo lo que tienen que hacer es usar un comando SQL malicioso en lugar de una entrada de formulario válida y eso es todo!

Piense en su formulario de contacto, por ejemplo.

Si tienes un campo de número de teléfono de contacto, entonces todo lo que quieres que la gente ponga ahí son números, no letras u otros caracteres.

Si no configuras correctamente tu campo de formulario o tu tema o plugin lo ha descuidado, entonces el hacker puede poner cualquier cosa que le guste en ese campo, ¡incluyendo código malicioso!

Tipos de inyección SQL

Generalmente hay dos tipos principales de inyección SQL o, más exactamente, dos razones principales por las que los atacantes utilizan inyecciones SQL.

Para obtener información sensible – SQL ClásicoEste tipo de inyección SQL básicamente devuelve información sensible al navegador del hacker. Utilizarán los formularios de su sitio para consultar la base de datos. Esto entonces revela información sobre la estructura y el contenido de su base de datos. A continuación, pueden utilizar esta información para lanzar un ataque a su sitio web.

Para ejecutar acciones de la base de datos – Blind SQLI

Como el nombre sugiere que una inyección ciega no busca devolver ningún dato como tal, sino ejecutar acciones de la base de datos como borrar, alterar o añadir tablas.

Es posible que haya sido víctima de una o ambas inyecciones de WordPress SQL, pueden haber eliminado la tabla wp_users, por lo que ahora no puede acceder a la administración de su sitio web.

Es posible que hayan recopilado información confidencial sobre su base de datos y agregado código malicioso, malware, enlaces de spam, redirecciones y ventanas emergentes a su sitio.

¿Por qué WordPress no bloquea esto como estándar?

WordPress como plataforma es realmente muy segura, y se toman este tipo de seguridad muy en serio.

La seguridad de los comunicados de prensa de WordPress y las actualizaciones de corrección de errores todo el tiempo.

WordPress realmente hace poder alrededor del 34% de Internet ahora, lo que significa que es un gran objetivo para los hackers que dicen que WordPress hace un excelente trabajo en mantener su software seguro.

El punto débil son a menudo los temas y los plugins, por lo que es esencial un estricto plan de seguridad y mantenimiento de WordPress.

Los plugins y los temas se abandonan, o los autores no son conscientes de la seguridad y no parchean las vulnerabilidades muy rápidamente.

Es esto lo que a menudo explotan los hackers.

Es por eso que siempre les diremos a todos que primero tengan el menor número posible de temas y plugins y que los mantengan actualizados en todo momento.

Si un tema o plugin ya no es compatible o no se ha actualizado durante algún tiempo, le sugerimos que busque una alternativa.

Cómo prevenir la inyección SQL

Antes de seguir adelante, asegúrese de hacer una copia de seguridad de su base de datos y de los archivos del sitio. Es muy importante que tenga una copia de trabajo de su sitio antes de hacer cualquier cambio, así que en caso de que se rompa su sitio o algo vaya mal, puede restaurarlo fácilmente.

12 Reglas de .htaccess para proteger de la inyección SQL de WordPress y endurecer WordPress

Redirigir todos los Http a Https

Si tiene un certificado SSL, es posible que desee redirigir todo el tráfico no seguro (HTTP) a https. Puede hacer esto añadiendo el siguiente código el archivo.htaccess en la raíz de su instalación de WordPress. Si no tiene este archivo en la raíz, puede crear uno y copiar y pegar este código en el archivo. Una vez hecho esto, guárdelo y cárguelo en la raíz de su sitio web.

#Redirigir http a https
ReescribirMotor en
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}[R=301,L]

Bloquear los bots malos

Hay algunos bots que se sabe que son malos y que simplemente deberían ser bloqueados. Copie este código en el archivo root.htaccess de su sitio web.

#Bloqueen a los malos hackers
SetEnvIfNoCase User-Agent "^libwwww-perl*" block_bad_bots
Denegar desde env=block_bad_bots

Desactivar la navegación por el directorio

Si no bloquea la navegación por el directorio, los hackers pueden simplemente ingresar en una URL como yourwebsite.com/wp-incluye/ y ver todos los archivos e información de sus sitios. Este es un gran riesgo para la seguridad y usted debe apagarlo de inmediato. Puede hacerlo añadiendo el siguiente código a su archivo roots.htaccess.

# Desactivar la navegación por el directorio
Opciones Todos los Índices

Una vez que haya añadido que las personas que intentan acceder a estas URLs obtendrán un mensaje como el que se muestra a continuación.

Denegar el acceso a los archivos

Dado que estamos haciendo todos estos cambios en el archivo.htaccess, lo más sensato es que bloqueemos el acceso a él para que nadie pueda ver qué reglas hemos puesto ahí!

Además, debemos bloquear algunos otros archivos como el archivo wp-config que contiene toda la información de inicio de sesión de su base de datos!

Para ello, añada lo siguiente al archivo root.htaccess de su sitio. Esto bloqueará el acceso a cualquier archivo.htaccess en cualquier lugar de su sitio, lo cual es aconsejable.

# Denegar el acceso a todos los archivos.htaccess
<Subtítulos por aRGENTeaM
para permitir, negar
negar de todo
satisfacer todas
</ficheros>
 
# Denegar el acceso a readme.html
<ficheros readme.html>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>).
Orden permitir, negar
Negación de todo
</ficheros>
 
# Denegar el acceso a license.txt
<archivos license.txt>
Orden permitir, negar
Negación de todo
</ficheros>
 
# Denegar el acceso al archivo wp-config.php
<ficheros wp-config.php>
para permitir, negar
negar de todo
</ficheros>
 
# Denegar el acceso a error_log
<ficheros error_log>
Orden permitir, negar
Negación de todo
</ficheros>

Bloquear el acceso a wp: incluye carpetas y archivos

La carpeta wp-includes es una parte importante del software WordPress y contiene la mayoría de los archivos de su sitio.

Eso es todo lo que contiene esta carpeta. Tus propias subidas, plugins, temas, etc. no van ahí, así que nadie necesita acceder a la carpeta wp-includes, ¡ni siquiera tú! Utilice el siguiente código en el archivo.htaccess de su sitio web para bloquear el acceso al wp: incluye la carpeta y los archivos.

# Negar el acceso a wp: incluye carpetas y archivos
<IfModule mod_rewrite.c>
ReescribirMotor en
RewriteBase / RewriteBase
RewriteRule ^wp-admin/includes/ -[F,L]
RewriteRule!^wp-includes/ -[S=3]
RewriteRule ^wp-includes/[^/]+\.php$ -[F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php -[F,L]
RewriteRule ^wp-includes/theme-compat/ -[F,L]
Módulo </IfModule>

Proteger contra la inyección de SQL

Por último, pero no por ello menos importante, es la protección contra la inyección SQL en WordPress.

Es importante señalar de nuevo que esto no va a mantenerte protegido al 100% para siempre, así que no uses ciegamente este código y pienses que eso es todo.

Usted necesita estar al tanto de su monitoreo de seguridad todo el tiempo. Sin embargo, esto bloqueará al menos algunos de los intentos más comunes de inyección SQL. Inserte este código en su archivo roots.htaccess.

# Proteger contra la inyección de SQL
<IfModule mod_rewrite.c>
ReescribirMotor en
RewriteBase / RewriteBase
RewriteCond %{REQUEST_METHOD} ^(HEAD|TRACE|DELETE|TRACK)[NC]
RewriteRule ^(.*)$ -[F,L]
RewriteCond %{QUERY_STRING} N - NO, NO, NO, NO, NO
RewriteCond %{QUERY_STRING} boot\.ini[NC,OR]
RewriteCond %{QUERY_STRING} tag=[NC,OR]
RewriteCond %{QUERY_STRING} ftp\:  [NC,OR]
RewriteCond %{QUERY_STRING} http\:  [NC,OR]
RewriteCond %{QUERY_STRING} https:  [NC,OR]
RewriteCond %{QUERY_STRING} (N-).*script.*(N-)[NC,OR]
RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D)[NC,OR]
RewriteCond %{QUERY_STRING} base64_encode.*(.*)[NC,OR]
RewriteCond %{QUERY_STRING} * (NC, OR) *
RewriteCond %{QUERY_STRING} * ^.*(|"|'|<|>>>>N-).*[NC,O]
RewriteCond %{QUERY_STRING} ^.*(%24&x).*[NC,OR]
RewriteCond %{QUERY_STRING} ^.*(%0|%A|%B|%C|%D|%E|%F|127N-.0).*[NC,OR]
RewriteCond %{QUERY_STRING} ^.*(globals|encode|localhost|loopback).*[NC,OR]
RewriteCond %{QUERY_STRING} ^.*(request|select|insert|union|declare).*[NC]
RewriteCond %{HTTP_COOKIE} !^.*WordPress_logged_in_.*$$
RewriteRule ^(.*)$ -[F,L]
Módulo </IfModule>

Bloqueo de la ejecución de código PHP con reglas.htaccess

Además de las reglas anteriores, también puede detener la ejecución de código PHP dentro de ciertas carpetas como su wp-content/uploads y wp-includes/ folders.

Dependiendo del tema y de la configuración del plugin, estos pueden funcionar o romper ciertas cosas. Puedes probarlos y ver cómo te va. Si se producen errores, simplemente elimine el archivo.

Bloquear la ejecución de PHP en wp-incluye la carpeta

Para ello, necesita crear un nuevo archivo.htaccess con el siguiente código. Este archivo debe ser cargado en el directorio wp-includes.

# Proteger contra la ejecución de php
<Archivos *.php>
negar de todo
</Ficheros>

Bloquear la ejecución de PHP en la carpeta wp-content/uploads

Por lo general, no debería tener código PHP en su carpeta de subidas ya que está ahí para almacenar sus imágenes. El código de abajo básicamente permite los siguientes tipos de archivos, pero no permite la ejecución de PHP.

Una vez más esto necesita ser un nuevo archivo.htaccess con el siguiente código en el directorio wp-content/uploads.

# Desactivar el acceso a todos los tipos de archivos excepto los siguientes
#Ordenar negar, permitir
#Deny from all
#<Subtítulos por aRGENTeaM
#Allow from all
#</Files>

Archivo.htaccess completo para bloquear robots defectuosos, acceso a archivos y bloqueo de inyección SQL

Para facilitar su uso, a continuación se presentan todas las reglas discutidas anteriormente para el archivo root.htaccess.

Recuerde que el archivo root.htaccess va en el directorio raíz de su sitio web (el mismo lugar que el archivo wp-config.php.)

#.HTACCESS ARCHIVO INFO POR 
#THRIVEWP.COM
##############################

#COMENZAR código https
ReescribirMotor en
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}[R=301,L]


#BEGIN Bloquea a los malos hackers
SetEnvIfNoCase User-Agent "^libwwww-perl*" block_bad_bots
Denegar desde env=block_bad_bots

# Desactivar la navegación por el directorio
Opciones Todos los Índices

# Denegar el acceso a todos los archivos.htaccess
<Subtítulos por aRGENTeaM
para permitir, negar
negar de todo
satisfacer todas
</ficheros>
 
# Denegar el acceso a readme.html
<ficheros readme.html>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>).
Orden permitir, negar
Negación de todo
</ficheros>
 
# Denegar el acceso a license.txt
<archivos license.txt>
Orden permitir, negar
Negación de todo
</ficheros>
 
# Denegar el acceso al archivo wp-config.php
<ficheros wp-config.php>
para permitir, negar
negar de todo
</ficheros>
 
# Denegar el acceso a error_log
<ficheros error_log>
Orden permitir, negar
Negación de todo
</ficheros>

# Negar el acceso a wp: incluye carpetas y archivos
<IfModule mod_rewrite.c>
ReescribirMotor en
RewriteBase / RewriteBase
RewriteRule ^wp-admin/includes/ -[F,L]
RewriteRule!^wp-includes/ -[S=3]
RewriteRule ^wp-includes/[^/]+\.php$ -[F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php -[F,L]
RewriteRule ^wp-includes/theme-compat/ -[F,L]
Módulo </IfModule>

# Proteger contra la inyección de SQL
<IfModule mod_rewrite.c>
ReescribirMotor en
RewriteBase / RewriteBase
RewriteCond %{REQUEST_METHOD} ^(HEAD|TRACE|DELETE|TRACK)[NC]
RewriteRule ^(.*)$ -[F,L]
RewriteCond %{QUERY_STRING} N - NO, NO, NO, NO, NO
RewriteCond %{QUERY_STRING} boot\.ini[NC,OR]
RewriteCond %{QUERY_STRING} tag=[NC,OR]
RewriteCond %{QUERY_STRING} ftp\:  [NC,OR]
RewriteCond %{QUERY_STRING} http\:  [NC,OR]
RewriteCond %{QUERY_STRING} https:  [NC,OR]
RewriteCond %{QUERY_STRING} (N-).*script.*(N-)[NC,OR]
RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D)[NC,OR]
RewriteCond %{QUERY_STRING} base64_encode.*(.*)[NC,OR]
RewriteCond %{QUERY_STRING} * (NC, OR) *
RewriteCond %{QUERY_STRING} * ^.*(|"|'|<|>>>>N-).*[NC,O]
RewriteCond %{QUERY_STRING} ^.*(%24&x).*[NC,OR]
RewriteCond %{QUERY_STRING} ^.*(%0|%A|%B|%C|%D|%E|%F|127N-.0).*[NC,OR]
RewriteCond %{QUERY_STRING} ^.*(globals|encode|localhost|loopback).*[NC,OR]
RewriteCond %{QUERY_STRING} ^.*(request|select|insert|union|declare).*[NC]
RewriteCond %{HTTP_COOKIE} !^.*WordPress_logged_in_.*$$
RewriteRule ^(.*)$ -[F,L]
Módulo </IfModule>