Tips to improve your wordpress Blog

၁။ WordPress Version Update ဖြစ်နေပါစေ ဒါကတော့ သိပ်တော့ပြောဖို့လိုမယ်မထင်ပါဘူး လူတိုင်းလည်းသိမှာပါ Security Reason အပါအဝင်အကြောင်းအမျိုးမျိုးကြောင့် Update လုပ်ထားတဲ့ နောက်ဆုတ် Version ကိုအသုံးပြုပါ

၂။ admin Name ကို admin မဖြစ်စေပါနဲ့ WordPress ကို စသွင်းတဲ့အချိန်မှာ Default Admin Name ဟာ Admin ပဲဖြစ်ပါတယ် ဒီ Admin ကို အခြားသော Name တစ်ခုခုကိုပြုလုပ်ခြင်းဖြင့် Attacker ဟာ Password ကို Guess လုပ်နိုင်ရင် ဖြစ်ဖြစ် Shoulder Surfing လုပ်သွားလို့သိရင်ဖြစ်ဖြစ် အလွယ်တကူဝင်နိုင်မှာမဟုတ်ပါဘူး 😉

၃။ Data Base Table ကို wp_ မဖြစ်ပါစေနဲ့ ပုံမှန်　WordPress Installation လုပ်တဲ့အခါမှာ　Database Table မှာ　wp_ ပါ　ဒီလိုမျိုး　wp_ table Name Style ကို　SQL Injecting Tool တော်တော်များများမှာ　Feature တစ်ခုအနေနဲ့ပါပါတယ်　ဒါကြောင့်　တခြားနာမည်ဆို　Tool တွေနဲ့ Inject လုပ်လို့ရမှာမဟုတ်တော့ပါဘူး

၄။ WP Version ကို Public မဖြစ်စေပါနဲ့ အကယ်၍ ကိုယ်သုံးနေတဲ့ Version ကို အကြောင်းအမျိုးမျိုးကြောင့် Update လုပ်နိုင်ခြင်းမရှိဘူး Update မလုပ်ဖြစ်တဲ့အခါမှာ အကူအညီပေးနိုင်ပါတယ် ဥပမာ ကျွန်တော့်ဆိုဒ်ကို မအားလို့ဆိုပြီး WordPress 3.3.1 Update မလုပ်ဖြစ်သေးပါဘူး ဆိုဒ် Admin Panel ထဲ မအားလို့မဝင်ဖြစ်တာကိုးဗျ ဒီတော့ ဆိုဒ်က WP Version 3.3 ပဲရှိသေးတယ် ကိုယ်က Update ထွက်တာကိုလည်းမသိဘူး ဟိုမှာ Version 3.3 က တသီကြီးပေါက်နေတယ် တကယ်လို့ဟက်ကာက　ကိုယ့်ဆိုဒ်ကို　စစ်လို့　version 3.3 ကြီးမှန်းတွေ့တာနဲ့ကြိတ်ခံရပြီ ဒီတော့ သူတို့မသိအောင် ပိတ်ထားနိုင်ရင် Update မဖြစ်မှန်းမသိဘဲနဲ့နောက်ဆုံး Version ပဲမှတ်ပြီး လက်လျှော့သွားရော ဒီလိုပေါ့ 😀 ကိုယ့်ဆိုဒ်ရဲ့ WP Version ကိုမသိအောင်　www.yoursite.com/readme.html က　readme.html ကို　ဖျက်လိုက်ပါ　license.txt ကိုလည်း　ဖျက်လိုက်ပါ　ဒါ့အပြင် Theme တွေမှာလည်း WP Version တွေပါတတ်ပါတယ် ဒီလိုမျိုးဟာတွေအတွက်တော့ Design->Theme Editor က header file ထဲက ” /> ကို ရှာပြီး ဖျက်ပစ်လိုက်ပါ

၅။ wp- directory တွေအကုန်ကို Permission ပိတ်ပါ 　ပိတ်ရမယ့်　ဟာတွေကတော့　wp-admin , wp-includes နဲ့　wp-content ပါ　.။　ဘာကြောင့်လဲဆိုတော့　wp-includes ကိုကြည်ု့လိုက်ပါ　www.yoursite.com/wp-includes ပေါ့　ဒါဆို　wp-includes Folder အောက်က　ဖိုင်တွေတွေ့ရပါ့မယ်　wp-content လည်းထိုနည်းလည်းကောင်းပါပဲ　wp-admin ဆိုရင်ပိုဆိုးတာပေါ့　လုံးဝမပြသင့်တာပေါ့　Search Engine က　နေတောင်ရှာခွင့်မပေးသင့်ပါဘူး　ဒါတွေကို　FTP ကနေ　Permission ပိတ်လိုက်ပါ　ဒါမှမဟုတ်ရင်လည်း　“AskApache Password Protect” plugin　ကို　အသုံးပြုနိုင်ပါတယ်

၆။ Theme တွေ Update ဖြစ်နေပါစေ ဟိုတစ်ခါကဖြစ်သွားဖူးပါတယ်　Timthumb Plugin ပေါက်သွားတာလေ　Theme တွေမှာအသုံးပြုတဲ့　timthumb.php ကနေ　RFI ဆန်ဆန်ပေါက်သွားတဲ့　Vuln ကနေပြီးမှ　WordPress Blog တော်တော်များများတိုက်ခိုက်ခံခဲ့ရပါတယ်　လူတော်တော်များများကလည်း　WP Core Version နှင့်　 Plugin လောက်ကိုသာ　Update လုပ်ဖို့　အားသန်ကြတာပါ　Theme ဆိုရင်　Update လုပ်ဖို့မေ့နေတတ်ကြပါတယ်　 😉 ဒါကြောင့်　ဒါလေးလည်း　မမေ့သင့်ပါဘူး

၇။ wp-config File ကို သတိပြုပါ အားလုံးသိကြတဲ့　အတိုင်း　wp-config ဆိုတာ　wordpress blog တစ်ခုရဲ့　အရေးကြီးဆုံးနေရာလို့ပြောလို့ရပါတယ်　ဒီလိုမျိုး　ဖိုင်ကို　သေချာထိန်းသိမ်းသင့်ပါတယ်　Permission ပိတ်ပါ　ပြီးတော့　Directory ပြောင်းထားပါ　ဥပမာ　www.yoursite.com/wp-config.php လိုမျိုးကို　www.yoursite.com/ghostarea/wp-config.php လိုမျိုးပေါ့

၈။ Comment တွေမှာ html code လက်မခံပါနဲ့Comment ပေးတဲ့နေရာမှာ html code အသွင်းမခံပါနဲ့ Hacker ရန်က မအေးဖြစ်နိုင်ပါတယ် ဒါကတော့ လွယ်ပါတယ် Setting မှာ ပြင်လို့ရတာပဲ 😉

၉။ Plugin Directory ကို သတိပြုပါwww.yoursite.com/wp-content/plugins ဆိုရင် ကျွန်တော်တို့ဆိုဒ်မှာ သွင်းထားသမျှ Plugin တွေကို တသီတတန်းကြီးမြင်ရမှာပါ အကယ်၍များ Plugin တွေကို Exploit စစ်ပြီး အဖောက်ခံရနိုင်ပါတယ် ဒါကြောင့် www.yousite.com/wp-content/plugins က index File ကို ဆိုဒ်ရဲ့ www.yousite.com က index file နဲ့အစားထိုးထားပါ

၁၀။ WP-content/plugins အောက်ကမဟုတ်တဲ့ plugin တွေကို သတိထားပါShell လိုဖိုင်မျိုးလည်းဖြစ်တတ်ပါတယ် ဒါပေမယ့် ပုံမှန်အားဖြင့်တော့ wp-content/plugins အောက်က ဖိုင်တွေကိုသာ Anti-virus ကစစ်လေ့ရှိပါတယ် ဒါကြောင့် ပိုပြီး စိတ်ချရအောင် wp-content/plugins ထဲကမဟုတ်တဲ့ Plugin တွေကို ဖျက်ပစ်ပါ

၁၁။ Login ကို Encrypted လုပ်ပြီး ဝင်ပါပုံမှန်အတိုင်းကျွန်တော်တို့ Login ဝင်တဲ့အခါမှာ Public Network ကသုံးရင် Sniff ခံရနိုင်ပါတယ် SNiff ခံရရင်လည်း Plain Text ကြီးနဲ့သာဖြစ်တဲ့အတွက် Password ခိုးယူခံရနိုင်ပါတယ် ဒါကြောင့် (http://wordpress.org/extend/plugins/chap-secure-login/) Chap Secure Login လို Plugin မျိုးကို အသုံးပြုပြီး Login ဝင်တဲ့ Password များကို Encrypt လုပ်ပြီးသွားနိုင်ပါတယ် Chap Secure Login Plugin ဟာ CHAP Protocol ကိုအသုံးပြီး Random Hash ဖြင့် Encrypt လုပ်ပြီး Password တွေကိုသယ်ဆောင်ပါတယ်

၁၂။ Sorry,Brute ForceHacker တွေရဲ့ Brute Force ရန်မှ　ကာကွယ်ဖို့အတွက်　Login Lock Down Plugin ကိုအသုံးပြုပြီး　http://wordpress.org/extend/plugins/login-lockdown/　ကာကွယ်ပါ　Login Lock Down Plugin ဟာ　သတ်မှတ်ထားတဲ့　အချိန်အတွင်းမှာ　သတ်မှတ်ထားတဲ့အရေအတွက်ထက်ပိုပြီး　Login ဝင်ရောက်ခြင်းကိုကာကွယ်ပါတယ်　လိုအပ်ရင်　IP ပါ　Deny ပေးပါတယ်

၁၃။ login Link ပြင်ပါပုံမှန်အားဖြင့် www.yoursite.com/wp-admin ဟာ Admin Login Page ပါ ဒါကို Hide-login လို plugin လိုမျိုးသုံးပြီး ဆိုဒ်ရဲ့ Login Page Directory ကိုပြင်နိုင်ပါတယ် ဥပမာ www.yoursite.com/loginarea လိုမျိုးပေါ့

၁၄။ ဆိုဒ်ကို Scan ဖတ်နေပါBlog ကို အပတ်စဉ်ဖြစ်ဖြစ် လစဉ်ဖြစ်ဖြစ် Scan လုပ်တာဟာ မလွန်ပါဘူး ဥပမာ wordpress Firewall 2 လို Plugin လိုမျိုးသွင်းထားပြီး အမြဲ Scan ဖတ်နေပါစေ ဟိုတစ်နေ့ကပဲ ဆိုဒ်တစ်ခုမှာ အသစ်တင်လိုက်တဲ့ Plugin မှာ RFI ပေါက်နေပါတယ် ချက်ချင်းပဲ Firewall က  Exploit ပြပြီး ဖျက်ပစ်လိုက်ကြောင်း မေးလ်ပို့ပါတယ် အဲ့ဒီလိုမျိုး Plugin တွေဖြစ်တဲ့ wp-scan security လိုမျိုး Plugin တွေသုံးပြီး Blog ကို စစ်နေသင့်ပါတယ်

၁၅။ Anti-virusWP မှာ Anti-virus ဆိုတဲ့ plugin ရှိပါတယ် အဲ့ဒီ့ Plugin ဟာဆိုရင် Spam Injection လိုမျိုး Exploit တွေလိုမျိုးအပြင် Shell Link တွေကိုပါ စစ်ပေးပါတယ်

၁၆။ ပုံမှန် BackUp လုပ်ပါအကယ်၍ ကိုယ့် Host Server ကြီးတစ်ခုလုံး Root အထိုင်ခံရတဲ့အခါမျိုးမှာ ကိုယ့်ဆိုဒ်ပါ Hack ခံရသွားနိုင်ပါတယ် ဒါကြောင့်ပုံမှန် Back Up လုပ်တာကိုတော့ လုံးဝမလွန်ပါဘူး

WordPress ဟာ ပုံမှန်အတိုင်းဆိုရင်တောင် အလွန် စိတ်ချဖွယ်ကောင်းတဲ့ CMS တစ်ခုပါ ဘာမှဂရုမစိုက်ဘဲတောင်သုံးလို့ရပါတယ် သို့သော်လည်း ကိုယ့်ဆိုဒ်ဟာ ပစ်မှတ်တစ်ခုသဖွယ် တိုက်ခိုက်ခံရသူတွေအတွက် Security ဟာ အသက်လို အရေးပါတဲ့သူတွေအတွက်တော့ အသုံးဝင်မယ်ထင်ပါတယ် ကျေးဇူးတင်ပါတယ်……