Korben, roi d’internet, logo bébé avec des lunettes en mode thug life Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Korben Upgrade your mind

Sécuriser WordPress – Les thèmes

Ce travail sur WordPress a été rendu possible grâce au soutien d'Ikoula.

Pour faire écho à mes recommandations de la dernière fois sur les plugins, abordons aujourd’hui le sujet des thèmes et de la sécurité.

Vous le savez, les pirates ne manquent pas d’imagination pour prendre le contrôle de votre serveur. Et pour cela, ils ont trouvé un moyen assez simple d’infecter votre site : Les thèmes gratuits.

Bien que ce ne soit pas le cas de tous les thèmes gratuits, il arrive assez fréquemment que certains thèmes WordPress distribués gratuitement via  des sites à petite réputation, contiennent dans leur code des passages codés (en base64, en rot13 ou autre…). Indéchiffrable à l’oeil nu, ces parties encodées contiennent le plus souvent des liens de spam ou du code malicieux.

base64

Si vous ne me croyez pas, je vous invite à lire cet article qui passe en revue des sites proposant des thèmes gratuits. Et le résultat est sans appel puisque 80% des sites testés proposent des thèmes contenant des parties chiffrées. Tous ne sont pas dangereux (parfois ce sont juste des copyrights) mais il est difficile pour un débutant de s’y retrouver. N’espérez pas non plus qu’en retirant ces codes, le thème continue de fonctionner. En général, c’est tellement bien fait que ce sont des morceaux entiers (HTML, code PHP…etc.) qui sont codés de cette manière.

Pour savoir si votre thème contient des instructions de décodage base64, ouvrez un terminal et lancez la commande suivante pour rechercher à l’intérieur des fichiers de votre thème l’instruction base64_decode.

grep -inHR base64_decode * | cut -d’:’ -f1,2

Et si vous tombez sur du code base64 que vous souhaitez déchiffre par curiosité, vous pouvez utiliser ce décodeur. Mais attention, parfois le codage utilisé est différent, c’est pourquoi il vaut jeter soi-même un oeil dans les fichiers. Autrement, il existe un plugin qui s’appelle Theme Authenticity Checker qui permet de scanner les fichiers sources de vos thèmes à la recherche de code malicieux. A tester !

Préférez donc les thèmes mis à disposition sur le site officiel de WordPress, sur des sites connus comme WPTrads, Theme Shaper, WPThemes, ThemeLab, Theme Hybrid ou optez pour un thème payant fait par un professionnel.

themeforest

Il se peut aussi que dans le thème que vous avez choisi, il y ait un lien visible par tous les internautes, qui pointent vers votre interface d’admin ou vers la page de création de comptes.

connex

Ces liens vont attirer l’attention du pirate qui passera par là. Pensez donc à les supprimer en retirant le widget Meta ou si les liens ne sont pas en sidebar, en éditant les fichiers de votre thème .

Et si cela est possible pour votre thème, pensez à le mettre à jour régulièrement. Attention à ne pas écraser vos modifs ! Pour éviter ce genre de fausse manip, je vous recommande de créer un thème « Enfant » qui héritera des fonctionnalités de votre thème principal et vous permettra de faire des modifs sans modifier le thème principal.

Dans la série, Sécuriser WordPress:


Sécurité et vitesse pour votre connexion internet

Restez à l’abris des regards indiscrets

En règle générale, utiliser un VPN pour se connecter à internet a tendance à ralentir vos débits de connexions, c’est le cas pour afficher une simple page HTML ou accéder à d’autres catalogues de VOD comme ceux de NETFLIX. Le téléchargement de fichiers ou du flux vidéo en devient parfois saccadé.

Notre VPN vous propose Une bande passante illimitée et une sécurité renforcée avec un cryptage AES 256 et un système anti-empreintes digitales

Restez éfficace et anonyme



Démarrer la discussion sur Korben Communauté

LNAV – Un visualisateur de fichiers de logs libre et pratique

LNAV (Logfile Navigator) est un outil dispo pour Linux et macOS qui permet de visualiser et de parcourir des fichiers de logs de manière agréable et efficace.
En plus de la coloration syntaxique, de la prise en charge de formats de logs standards (Syslog, CUPS, dpkg, sudo, strace…etc), LNAV est aussi capable de décompresser à la volée des logs zippés (ou gzippés ou bzippés) mais aussi de rassembler (merge) des logs segmentés pour en faciliter la visualisation.

Lire la suite



Une faille de sécurité dans les processeurs risque de diminuer jusqu’à 30% les performances des machines

La grosse news d’hier, ce n’était pas Logan Paul filmant un pendu au Japon, mais plutôt ce gros « problème » qui touche l’ensemble des processeurs Intel fabriqués durant ces 10 dernières années. Le problème est en réalité 2 failles de sécurité très importantes qui permettent à n’importe quel programme malicieux d’accéder en lecture à la mémoire utilisée par le kernel (le noyau de l’OS et ses modules interagissant avec le hardware).

Lire la suite



Bandwidth Hero – Surfez compressé pour économiser de la bande passante

Si vous êtes un peu juste en bande passante et que vous voulez accélérer un peu les choses, je vous propose aujourd’hui de jeter un œil à Bandwidth Hero.

Il s’agit d’une extension open source pour Chrome et Firefox qui fonctionne de concert avec un serveur proxy. Ce serveur proxy récupère chaque image que votre navigateur demande, la compresse au format WebP/JPEG en basse résolution et vous la renvoie ensuite directement.

Lire la suite