Wie erkennt man als Angreifer die WordPress Version?
Wusstet ihr, dass das Auslesen der WordPress Version von außerhalb total einfach ist?
Gebt einfach mal nach eurer Domain /feed ein. Im <generator> Tag steht im Klartext, welche WordPress Version ihr nutzt.
Gleiches funktioniert auch mit der /readme.html oder /liesmich.html.
Frei nach dem Motto: „Macht es den Angreifern nicht zu einfach“ zeige ich euch jetzt vier Wege, wie ihr diese Informationen vor Dritten verstecken könnt:
Ihr nutzt ein Hardening Plugin
In meinem letzten Beitrag bin ich auf einige Sicherheitsplugins eingegangen. Nutzt eines davon und stellt im Hardening das Information Leakage Hardening ein.
In der functions.php Variante 1
Öffnet die functions.php eures aktiven Themes und fügt die folgende Zeile hinzu:
remove_action('wp_head', 'wp_generator');In der functions.php Variante 2
Tragt in eurer functions.php des aktiven Themes folgendes ein:
function remove_version_info()
{
return '';
}
add_filter('the_generator', 'remove_version_info');In der .htaccess eures Servers
Zum blocken der readme.html tragt folgendes in die .htaccess eures Server ein:
<Files readme.html>
<IfModule mod_authz_core.c>
Require all denied
</IfModule>
<IfModule !mod_authz_core.c>
Order deny,allow
Deny from all
</IfModule>
</Files>Das funktioniert auch mit wp-config-sample.php (wobei man die löschen sollte) licence.txt oder der wp-config.php
Dadurch, dass die WordPress Version nicht zu leicht ausgelesen werden kann, macht man es Angreifern etwas schwerer und viele Scripte, die auf den Standard-Pfaden keine Ergebnisse zurück liefern brechen ihren Angriffsversuch auch direkt wieder ab.
