مسرد مصطلحات أمان ووردبريس

الوصول والمصادقة

المصادقة بمفتاح SSH

طريقة لتسجيل الدخول إلى خادم بزوج مفاتيح تشفيرية بدلًا من كلمة مرور. يبقى المفتاح الخاص على الجهاز المتصل، ويُوضع المفتاح العام على الخادم. لا تُرسل أي كلمة مرور، ويمكن إلغاء المفتاح دون تغيير أي شيء آخر في الحساب. ومع ذلك يمنح المفتاح الوصول نفسه الذي يملكه الحساب، لذا يجب التعامل مع المفتاح الخاص كما تتعامل مع كلمة مرور. اقرأ المزيد: مفاتيح SSH أم كلمات المرور.

المصادقة الثنائية (2FA)

إثبات هوية ثانٍ يتجاوز كلمة المرور، وهو عادةً رمز مؤقت من تطبيق، يُطلب عند تسجيل الدخول. يوقف معظم هجمات حشو بيانات الاعتماد والقوة الغاشمة حتى عند تسرّب كلمة المرور، لأن المهاجم يظل بحاجة إلى العامل الثاني.

هجوم القوة الغاشمة

محاولة آلية لتخمين بيانات تسجيل الدخول بتجربة أعداد كبيرة من تركيبات اسم المستخدم وكلمة المرور. نموذج تسجيل الدخول الافتراضي في ووردبريس (wp-login.php) هدف شائع لأنه متوقَّع ونادرًا ما يحدّ من المعدل افتراضيًا. اقرأ المزيد: هجمات القوة الغاشمة على تسجيل الدخول.

حشو بيانات الاعتماد

هجوم يعيد استخدام أزواج اسم المستخدم وكلمة المرور المسرَّبة من خروقات على مواقع أخرى، مراهنًا على أن بعض المالكين أعادوا استخدام كلمة المرور نفسها. وعلى خلاف القوة الغاشمة، لا يخمّن. بل يعيد تشغيل بيانات اعتماد معروف أنها حقيقية في مكان ما.

تصعيد الامتيازات

ثغرة تتيح لحساب ذي أذونات منخفضة، أو لمهاجم لا يملك أي حساب، الحصول على وصول مسؤول. غالبًا لا يكون الضرر الحقيقي لاختراق ووردبريس في نقطة الدخول بل فيما يصعّد إليه المهاجم بعد ذلك.

الاكتشاف والاستجابة

البرمجيات الخبيثة

برمجيات مكتوبة لإيذاء موقع أو زواره: حقن السبام، وإعادة التوجيه، وسرقة بيانات الاعتماد، والأبواب الخلفية، وبرامج تعدين العملات المشفرة، من الأنواع الشائعة على مواقع ووردبريس.

سلامة ملفات النواة

فحص يقارن ملفات ووردبريس نفسها، أي تثبيت النواة لا القوالب أو الإضافات، بمجاميع التحقق الرسمية التي ينشرها WordPress.org. يعني عدم التطابق عادةً أن ملفًا عُدِّل أو استُبدل، وهو من أوضح علامات الاختراق. اقرأ المزيد: فحص سلامة ملفات النواة.

حجر البرمجيات الخبيثة

نقل ملف مُبلَّغ عنه خارج موقعه المعتاد بدل حذفه، ليستمر الموقع في العمل أثناء مراجعة النتيجة ويمكن استعادة الأصل إذا كان البلاغ إيجابية كاذبة. يضع SiftWP الملفات في الحجر بدل حذفها.

الباب الخلفي

شيفرة يزرعها المهاجم لاستعادة الوصول حتى بعد ترقيع الثغرة الأصلية، وغالبًا ملف صغير معتَّم يقبل أوامر عن بُعد. الأبواب الخلفية هي سبب أن حذف البرمجيات الخبيثة الظاهرة وحده كثيرًا ما لا يصلح الاختراق. اقرأ المزيد: كيف تجد باب خلفي.

Webshell

نوع من الأبواب الخلفية: سكربت، غالبًا متنكر في هيئة صورة أو ملف إضافة، يمنح المهاجم واجهة شبيهة بسطر الأوامر على الخادم عبر طلبات ويب.

التعتيم

شيفرة مشوَّشة عمدًا ليصعب قراءتها، غالبًا بدوال مثل base64_decode أو gzinflate. تستخدم البرمجيات المشروعة بعض الدوال نفسها، لذا فالتعتيم وحده ليس دليلًا على وجود برمجيات خبيثة. اقرأ الملف قبل أن تحكم عليه. اقرأ المزيد: كيف تزيل البرمجيات الخبيثة.

الإيجابية الكاذبة

ملف أو سلوك مشروع يُبلَّغ عنه على أنه خبيث، مثل جافاسكريبت مضغوط في قالب يتطابق مصادفةً مع نمط تستخدمه برمجيات خبيثة حقيقية. الحجر بدل الحذف يجعل التراجع عن الإيجابيات الكاذبة رخيصًا.

سبام SEO (اختراق الصيدليات)

صفحات محقونة أو روابط مخفية تروّج لمواقع صيدليات أو مقامرة أو ما شابه، وغالبًا لا تُعرض إلا لزواحف محركات البحث (cloaking) كي لا يراها المالك. وغالبًا تكون العلامة الأولى ظهور صفحات سبام في عمليات البحث عن site:yourdomain.com. اقرأ المزيد: كيف تعرف أن موقعك مخترق.

أنواع الهجمات

حقن SQL

هجوم يُدخل أوامر خبيثة لقاعدة البيانات عبر مدخل لم يُنظَّف بشكل صحيح، مثل مربع تعليق أو حقل بحث أو معامل في الرابط، لقراءة البيانات أو تغييرها أو حذفها.

البرمجة النصية عبر المواقع (XSS)

هجوم يحقن جافاسكريبت خبيثًا في صفحة يشاهدها مستخدمون آخرون. يعمل السكربت في متصفح الضحية بجلسته، ويمكن استخدامه لسرقة ملفات تعريف الارتباط أو التصرف باسمه.

ثغرة اليوم صفر

خلل أمني يُستغل أو يُكشف عنه قبل أن يصدر المورّد إصلاحًا له. ثغرات اليوم صفر في الإضافات الشائعة خطيرة لأن خللًا واحدًا قد يؤثر في مئات الآلاف من المواقع دفعة واحدة.

CVE (الثغرات والتعرضات الشائعة)

معرّف قياسي، مثل CVE-2026-XXXXX، يُعطى لثغرة كُشف عنها علنًا ليمكن تتبعها بشكل متسق عبر الأدوات والنشرات.

إضافة Nulled

نسخة مقرصنة من إضافة مدفوعة أُزيل منها فحص الترخيص، وتُوزَّع عادةً خارج المتجر الرسمي. إضافات Nulled مصدر متكرر للبرمجيات الخبيثة، لأن الكراك كثيرًا ما يكون وسيلة توصيلها.

البنية التحتية والتقوية

جدار حماية تطبيقات الويب (WAF)

مرشّح يفحص حركة المرور الخبيثة ويحجبها قبل أن تصل إلى خادمك، عادةً على مستوى DNS أو CDN أو داخل التطبيق. يحجب WAF فئة واسعة من أنماط الهجوم المعروفة لكنه لا يخبرك هل نفذ شيء بالفعل. اقرأ المزيد: هل تحتاج إلى جدار حماية؟.

الترقيع الافتراضي

قاعدة في جدار الحماية تحجب استغلال ثغرة معروفة دون تغيير الشيفرة الضعيفة، مفيدة كحل مؤقت عندما لا يتوفر تحديث للإضافة بعد أو لم يُطبَّق. اقرأ المزيد: SiftWP مقابل Patchstack.

أذونات الملفات

قواعد على نمط يونكس، تُكتب عادةً كأرقام مثل 644 أو 755، تتحكم في من يستطيع قراءة ملف أو الكتابة فيه أو تشغيله على الخادم. الإعدادات المتساهلة أكثر من اللازم، مثل wp-config.php قابل للكتابة لدى الجميع، تسهّل على مهاجم يملك أي موطئ قدم تغيير الملفات. اقرأ المزيد: شرح أذونات الملفات.

wp-config.php

ملف الإعدادات الرئيسي في ووردبريس، ويحتوي بيانات دخول قاعدة البيانات ومفاتيح الأمان. وهو من أعلى الأهداف قيمة في أي تثبيت، لأن الوصول إليه يعني عادةً الوصول إلى كل شيء. اقرأ المزيد: كيف تؤمّن ملف wp-config.php.

مفاتيح الأمان وsalts

قيم عشوائية في wp-config.php تُستخدم لحماية المعلومات في ملفات تعريف ارتباط تسجيل الدخول. تدويرها ينهي كل الجلسات الحالية، بما فيها جلسة المهاجم، وهي خطوة مفيدة بعد الاشتباه في اختراق.

الإضافة الإلزامية (mu-plugin)

إضافة موضوعة في wp-content/mu-plugins تُحمَّل تلقائيًا ولا يمكن تعطيلها من قائمة الإضافات العادية. تظهر في تبويب منفصل باسم «Must-Use»، ويستخدم المهاجمون المجلد مكانًا للاختباء. اقرأ المزيد: كيف تزيل البرمجيات الخبيثة.

بادئة قاعدة البيانات

السلسلة، wp_ افتراضيًا، المضافة إلى بداية اسم كل جدول في ووردبريس. تغييرها يعطي غموضًا طفيفًا فقط. لن توقف هجومًا موجَّهًا، لكنها تُصفّي محاولات حقن SQL الآلية الأقل تطورًا.

.htaccess

ملف إعدادات لخادم Apache يمكنه تقييد الوصول إلى ملفات أو مجلدات، وإعادة توجيه الطلبات، وحجب أنماط حركة المرور. كثيرًا ما يُستخدم لحماية wp-config.php أو تعطيل عرض الأدلة أو حجب xmlrpc.php، وهو أيضًا مكان شائع لقواعد إعادة توجيه محقونة.

XML-RPC

واجهة برمجية في ووردبريس (xmlrpc.php) للنشر عن بُعد وإجراءات أخرى، أُسيء استخدامها تاريخيًا في تسجيلات دخول بالقوة الغاشمة وحركة DDoS قائمة على pingback. تعطّلها مواقع كثيرة إذا لم تستخدم النشر عن بُعد.

إساءة استخدام REST API

إساءة استخدام واجهة REST المدمجة في ووردبريس، مثل عرض أسماء المستخدمين عبر نقطة النهاية الافتراضية /wp-json/wp/v2/users، مما يغذي بعد ذلك هجوم قوة غاشمة أو حشو بيانات اعتماد.

تحديد المعدل

تقييد عدد الطلبات، مثل محاولات تسجيل الدخول، التي يمكن لمصدر واحد إجراؤها خلال نافذة زمنية. هو من أبسط وسائل الدفاع ضد القوة الغاشمة، ومن أكثرها غيابًا في تثبيت ووردبريس الافتراضي.

مراقبة التوافر

فحص مستمر لكون الموقع متاحًا ويستجيب بشكل صحيح. ليست ضابط أمان بحد ذاتها، لكن انقطاعًا مفاجئًا يكون أحيانًا أول علامة على اختراق، مثل صفحة رئيسية مشوَّهة أو قاعدة بيانات متعطلة أو حلقة إعادة توجيه.