Bonne pratique de sécurité WordPress.

1. SÉCURITÉ
WORDPRESS
Proxylan
SI-AHMEDAyoub

2. introduction
■ WordPress est une solution open source, il offre une interface qui permet de créer et
de gérer les contenus de son site internet (Content Management System).
■ Il a été créé à l’origine pour développer des blogs.
■ Il contient 2 sites :
– Wordpress.org : permet de télécharger les fichiersWordPress (but non lucratif).
– wordpress.com : permet d’héberger les sitesWordPress (but lucratif).

3. Introduction (suite)
■ WordPress propulse près de 30 % des sites internet dans le monde (près
d’un site sur trois !).
■ 50 000 sites WordPress sont créés chaque jour !
■ 60 % des sites utilisant un CMS tournent surWordPress (WordPress
possède plus de la moitié du marché des CMS).
■ Surtout, le second CMS le plus utilisé, Joomla, ne détient qu'environ 10
fois moins de part de marché queWordPress !

4. FichierWordPress critique
■ Wp-config,php :Ce fichier contient les information qui permette de se connecté a la base de
données. Et les préfix ajouté a chaque table de la base de données, ainsi que des couche
supplémentaire de sécurité.
■ htaccess file Ce fichier est essentiel pour la sécurité de WordPress. Il est traité par le serveur
avant tout autre code sur le siteWeb. Les directives .htacces peuvent arrêter les codes
malveillants avant qu’ils n’atteignent le code PHP dansWordPress. Les modifications prennent
effet immédiatement. (exemple activation du HTTPS après installation du certificat).

5. Vulnérabilité et remédiation
■ Myslql :
– La base de données mysql contient par défaut un compte avec username root et
pas de password.
– Contre mesure: modifier le username et le password.
■ Install.php :
– yourwebsitename.com/wp-admin/install.php : ce lien permet d’accéder à la page
web qui permet d’installerWordPress. SiWordPress est déjà installer alors le
lancement d’une nouvelle installation entrainera la suppression de l'installation et
ainsi que la base de données existante, mais à condition que l’utilisateur possède
le username et le password.
– Contre mesure: supprimer le install.php car nous n’avons pas besoin de l’installer
de nouveau.

6. Vulnérabilité et remédiation (suite)
■ Readme.html et licence.txt:
– yoursite.com/readme.html ou yoursite.com/licence.txt ces deux liens permette
d’accedé à certain information que l’attaquant peut utilisé pour mené des
attaques.
– Contre mesure: supprimer le readme.html et licence.txt.

7. Vulnérabilité et remédiation (suite)
■ wp-config.php :
– www.yoursite.com/wp-config.php ce lien permet d’accéder au fichier
wp-config.php, si nous obtenons une page blanche cela veut dire que le format na
pas pu être interprété car il ne contient pas de code interprétable mais l’accés n’est
pas interdit.
– Contre mesure : il faut ajouter ces lignes de code dans le doc .htaccess :

8. Vulnérabilité et remédiation (suite)
■ wp-login.php :
– www.yoursite.com/wp-login.php ce lien permet d’accéder à la page
d’administration du wordpress.
– Contre mesure : ajouté ces ligne de code au document .htaccess

9. Vulnérabilité et remédiation (suite)
■ Wp-include :
– www.yourdomain.com/wp-includes ce lien permet d’accéder au repartoir wp-
include et avoir accés au dossiers.
– Contre mesure: il faut ajouter cette ligne au fichier .htaccess :
■ Pour désactiver les information lier à l’hébergeur on ajoute ces lignes de code au
fichier .htaccess :

10. Vulnérabilité et remédiation (suite)
■ Pour protéger le fichier .htaccess il faut ajouter ces lignes:

11. Vulnérabilité et remédiation (suite)
■ Si un attaquant accède à la page d'administration après avoir effectué un brute force. Il peut
accéder à l'onglet Plugins>Editor et accédé donc au code PHP. Cette attaquent peut injecter du
code comme un cheval de trois ou autre code malicieux.
– Contre mesure ajouter ces lignes de code au fichier config.php :
■ Quand en utilise des plugins en ajoute automatiquement du code PHP qui marche sous une
version mais le serveur marche sous une autre version, ce qui fait que des erreurs peuvent être
rapportées donnant des informations sensibles et accessibles à tous.
– Contre mesure ajout ces lignes suivant au fichier wp-config.php :

12. Vulnérabilité et remédiation (suite)
■ Dans le fichier wp-include se trouve le fichier function.php en ajoutant ces lignes de
code cela permet de ne pas divulguer l'information sur la version du WordPress mais
l'idéal c’est de mettre toujours à jours WordPress :

13. Vulnérabilité et remédiation (suite)
■ Nom de l’administrateur :
– yourwebsite.com/?author=1 ce lien permet de retrouvé le nom de l’administrateur.
– Contre mesure: ajouté ces lignes de codes dans le fichier function.php et qui permet
de rediriger vers le home page :

14. Vulnérabilité et remédiation (suite)
■ Page de login :
– La page de login fait la différence entre l’erreur username et l’erreur password.
– Contre mesure: ajouter ces lignes de code dans le fichier function.php :

15. Vulnérabilité et remédiation (suite)
■ https://wpvulndb.com/ : Ce site contient les vulnérabilité des ancienne version de
WordPress.
■ Contre mesure : mettre toujours à jourWordPress.

16. Plugin de sécurité
■ CAPTCHA : est un programme qui protège les sites contre les robots en créant des
tests que les humains peuvent facilement passer, mais pas les programmes
informatiques. (google captcha)
■ authentification à deux facteurs :Vous essayez d'accéder avec un nom d'utilisateur et
un mot de passe. Il s'agit de la première authentification. Ensuite, un code est envoyé
sur votre téléphone mobile ou dans votre boîte mail.Vous devez le saisir dans un
formulaire. Il s'agit de la deuxième authentification. (miniOrang 2 facteur
authentication).
■ Installation duWAFWordfence : permet de d’assurer cinque fonctionnalité : scanner,
détecter, protéger, bloquer, réparer.

17. ■ Supprimé le message d’erreur du login.php (ajoute dans function.php)
https://www.wpbeginner.com/wp-tutorials/how-to-disable-
login-hints-in-wordpress-login-error-messages/
How to Disable Login Hints in WordPress Login Error
Messages

18. ■ Contre mesure pour énumération des utilisateurs (3 méthod sont utilisé pour énumeré
les utilisateurs flux rss, brute force, fichier json)
■ Contre mesure contre énumération des utilisateurs
Permet de bloquer le brut force des id pour énuméré les utilisateurs (à ajouter dans le
fichier htacess)

19. Contre mesure contre énumération des utilisateurs
Désactivé le flux rss (ajouter dans phunctions.php)

20. Merci pour votre attention.