Le Blog de Pilowa
WordPress et Backdoor
Chez Pilowa, vous avez pu le remarquer, nous faisons de la sécurité des sites internet de nos clients une priorité. Dernièrement, nous avons publié deux articles autour de ce thème qui nous tient à cœur. Le premier sur les risques auxquels est exposé votre site internet. Vous pouvez le retrouver ici : https://pilowa.fr/la-securite-de-votre-site-internet/. Le second, complémentaire au premier, sur les astuces à votre disposition pour optimiser la sécurité de votre site internet. Pour retrouver cet article, suivez le lien suivant : https://pilowa.fr/les-astuces-pour-optimiser-la-securite-de-votre-site-internet/
Pour continuer notre tour d’horizon sur le thème de la sécurité des sites internet, nous avons choisi aujourd’hui de vous présenter une technique de piratage très en vogue actuellement notamment sur WordPress : les Backdoors.
Comment fonctionne un backdoor ?
Pour commencer, il faut comprendre ce que c’est qu’un backdoor. La traduction française serait “porte dérobée”. C’est un morceau de code informatique développé pour créer un accès administrateur à votre WordPress. Il contourne les processus sécurisés d’authentification habituels. Une fois le code installé sur votre serveur, le pirate peut venir activer cette porte à distance et prendre le contrôle de votre site internet. Très souvent, l’exécution de ce fichier permet au pirate de se créer un utilisateur sur votre back office WordPress avec un niveau administrateur. Il peut donc à sa guise, changer l’apparence de votre site internet, poster des messages comme si vous étiez à l’origine de la publication ou encore effacer complètement votre site.
Comment un backdoor se retrouve sur votre site internet ?
Pour prendre le contrôle de votre site internet, vous avez bien compris que le pirate va se servir de cette nouvelle porte d’entrée non officielle. Il a donc besoin de tromper les différentes sécurités que vous avez déjà mis en place ou qui sont nativement présentes sur WordPress. Pour ce faire, il existe plusieurs méthodes. Il est important d’avoir conscience des méthodes d’installation d’un backdoor dans le but d’être plus attentif et vigilant sur les bonnes pratiques à mettre en place pour éviter un piratage.
WordPress et Backdoor : Via des extensions
Une des méthodes pour pirater votre site internet avec un backdoor consiste à cacher cette porte dans une extension. Par exemple, vous cherchez à ajouter une fonctionnalité sur votre site internet. Vous trouvez une extension qui permet de répondre à votre besoin et vous l’installez sur votre WordPress. Cette extension contient le morceau de code qui permet au pirate d’accéder à votre site internet. À partir de ce moment-là et avec cet accès il peut mettre à exécution son piratage. Le plus souvent, le pirate se débrouille pour que l’extension réponde quand même à votre besoin pour tromper votre vigilance. C’est pour ces raisons que chez Pilowa, nous recommandons de ne jamais télécharger une extension qui ne présente aucun avis ou aucun téléchargement.
WordPress et Backdoor : en saisissant une commande dans l’url ou en exploitant un faille de sécurité dans un plugin
Une autre méthode pour poster un backdoor sur votre site consiste à exécuter des commandes informatiques via votre URL. Lorsque vous publiez une image sur un site internet, vous téléchargez l’image de votre disque dur sur un serveur. Nativement, WordPress propose cette action de façon pratique et ergonomique via la médiathèque. Parfois, lors d’apparition de failles de sécurité dans des extensions, il est possible de contourner l’authentification pour ce processus. À ce moment-là, le pirate peut en tapant une commande bien précise dans votre URL, télécharger directement le backdoor sur votre serveur sans passer par votre back office. Encore une fois une réelle attention est indispensable dans la réalisation des mises à jour ou pour l’installation de nouvelles extensions.
WordPress et Backdoor : par une pièce jointe avec un fichier exécutable
La dernière méthode utilisée consiste à cacher le fichier pirate dans un fichier. Sur beaucoup de sites internet, vous avez la possibilité d’envoyer des fichiers. On peut prendre pour exemple des CV sur un site internet de cabinets de recrutement. Les pirates se servent de cette fonctionnalité pour poster leur fichier corrompu et prendre le contrôle de votre site web. Il existe deux points clés où il est important d’être vigilant
- Limiter les extensions des fichiers qu’il est possible d’envoyer. Uniquement des PDF par exemple.
- Vérifier régulièrement les fichiers que vos utilisateurs vous transmettent via votre site web.
Les sauvegardes parades, inefficace contre le backdoor
En comprenant la méthodologie de l’exploitation d’un backdoor, on pourrait penser que le fait de réaliser régulièrement des sauvegardes est une parade efficace. En effet, lorsque vous découvrez sur votre site l’existence d’un backdoor, vous optez pour la solution de restaurer votre site quelques jours auparavant pour supprimer le fichier pirate. La méthode paraît simple et efficace. Il n’en est rien. La plupart du temps, les pirates prévoient ces parades et laissent le backdoor inactif un certain nombre de temps pour qu’il soit finalement intégré à vos sauvegardes. À partir de ce moment-là, la seule solution consiste à scanner votre site pour trouver le répertoire où est stocké le fichier pour le supprimer.
Les solutions pour sécuriser votre WordPress
En plus des astuces que nous avons mis en avant dans notre dernier article sur la sécurité de votre site internet (https://pilowa.fr/les-astuces-pour-optimiser-la-securite-de-votre-site-internet/) comme :
- Mettre en place des mots de passe forts.
- Effectuer vos mises à jour.
- Bloquer les visiteurs à risque.
Pour combattre les backdoors il faut ajouter les points de vigilance suivants :
- Vérification et contrôle des extensions lors de l’installation.
- Sécurisation des protocoles de dépôt de pièces jointes sur votre site internet.
- Mise en place d’un système de sécurité pour s’assurer qu’aucun backdoor est présent sur votre site.
Chez Pilowa nous vous partageons les astuces de sécurité que vous pouvez mettre en place facilement avec des outils gratuits. Pour aller plus loin, notre pôle sécurité est là pour répondre à vos questions et vous accompagner pour la mise en place de la sécurité de votre site internet.
D'autres articles qui pourraient vous intéresser...
Agence SEO Lyon de confiance
Le Blog de Pilowa Agence SEO Lyon : comment choisir une agence de confiance pour mon entreprise Le marketing digital en constante évolution, la mise
Pourquoi engager une agence web pour la refonte de son site ?
Vous envisagez de faire une refonte de site web ? Voici 5 bonnes raisons pour faire confiance…
Conserver le SEO de son site lors d’une refonte
Une refonte web peut nuire au SEO si ce n’est pas correctement réalisé ! Voici une …
