Änvänd .htaccess på rätt sätt

Om du ligger på ett webbhotell som använder Apache Web Server så har du troligtvis en .htaccess. Får en hackers tillgång till denna fil så kan hackern ställa till en hel del bl a styra besökarna till en annan webbplats. Om du inte har en .htaccess så använd Block Bad Queries för att skydda WordPress mot skadliga URL-förfrågningar (SQL-injection)

Börja med att lösenords-skydda mapparna wp-admin och wp-include genom att använda .htaccess fil. Man kan göra det manuellt eller med AskApache Password Protec

Endast tillgång till administrations-panelen från bestämda IP-adress.
Lägg in följade kod i .htaccess i adminfoldern:
AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName “WordPress Admin Access Control”
AuthType Basic
<LIMIT GET>
order deny,allow
deny from all
allow from xxx.xx.xx.xxx
</LIMIT>

Lägg in aktuell IP-adress vid allow from. Det går bra att lägga in flera ”allow from”

I rootmappens .htacces-fil lägg in överst för att hindra access till viktiga filer:

<Files .htaccess>
Order Allow,Deny
Deny from all
Satisfy all
</Files>

<Files readme.html>
Order Allow,Deny
Deny from all
Satisfy all
</Files>

<files wp-config.php>
Order Allow,Deny
Deny from all
Satisfy all
</files>

<files php.ini>
Order Allow,Deny
Deny from all
Satisfy all
</files>

<filesMatch ”^(error_log)$”>
Order Allow,Deny
Deny from all
Satisfy all
</filesMatch>

RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ – [F,L]
RewriteRule !^wp-includes/ – [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ – [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php – [F,L]
RewriteRule ^wp-includes/theme-compat/ – [F,L]

Använd 5G Blacklist för att stoppa icke önskvärda besökare. Lägg in nedan kod i .htacces som finns i rootfoldern. 5G Blacklist innehåller en hel del direktiv som kontrolleras mot förfrågningar till servern.

# 5G BLACKLIST/FIREWALL (2013)
# @ http://perishablepress.com/5g-blacklist-2013/

# 5G:[QUERY STRINGS]
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteCond %{QUERY_STRING} (\”|%22).*(<|>|%3) [NC,OR]
RewriteCond %{QUERY_STRING} (javascript:).*(\;) [NC,OR]
RewriteCond %{QUERY_STRING} (<|%3C).*script.*(>|%3) [NC,OR]
RewriteCond %{QUERY_STRING} (\\|\.\./|`|=\’$|=%27$) [NC,OR]
RewriteCond %{QUERY_STRING} (\;|\’|\”|%22).*(union|select|insert|drop|update|md5|benchmark|or|and|if) [NC,OR]
RewriteCond %{QUERY_STRING} (base64_encode|localhost|mosconfig) [NC,OR]
RewriteCond %{QUERY_STRING} (boot\.ini|echo.*kae|etc/passwd) [NC,OR]
RewriteCond %{QUERY_STRING} (GLOBALS|REQUEST)(=|\[|%) [NC]
RewriteRule .* – [F]
</IfModule>

# 5G:[REQUEST STRINGS]
<IfModule mod_alias.c>
RedirectMatch 403 (https?|ftp|php)\://
RedirectMatch 403 /(https?|ima|ucp)/
RedirectMatch 403 /(Permanent|Better)$
RedirectMatch 403 (\=\\\’|\=\\%27|/\\\’/?|\)\.css$)$
RedirectMatch 403 (\,|$\+|/\,/|\{0\}|$/\(|\.\.\.|\+\+\+|\||\\\”\\\”)
RedirectMatch 403 \.(cgi|asp|aspx|cfg|dll|exe|jsp|mdb|sql|ini|rar)$
RedirectMatch 403 /(contac|fpw|install|pingserver|register)\.php$
RedirectMatch 403 (base64|crossdomain|localhost|wwwroot|e107\_)
RedirectMatch 403 (eval\(|\_vti\_|\(null$|echo.*kae|config\.xml)
RedirectMatch 403 \.well\-known/host\-meta
RedirectMatch 403 /function\.array\-rand
RedirectMatch 403 \)\;\$$this$\.html$
RedirectMatch 403 proc/self/environ
RedirectMatch 403 msnbot\.htm$\.\_
RedirectMatch 403 /ref\.outcontrol
RedirectMatch 403 com\_cropimage
RedirectMatch 403 indonesia\.htm
RedirectMatch 403 \{\$itemURL\}
RedirectMatch 403 function
RedirectMatch 403 labels\.rdf
RedirectMatch 403 /playing.php
RedirectMatch 403 muieblackcat
</IfModule>

# 5G:[REQUEST METHOD]
<ifModule mod_rewrite.c>
RewriteCond %{REQUEST_METHOD} ^(TRACE|TRACK)
RewriteRule .* – [F]
</IfModule>