Плагін Rapid2004 SH — або Rapid2004 security fixes — Core hardening з’явився випадково 
Як усе починалося.
Створюючи сайт для просування українського контенту, а також майданчик для розміщення власних розробок, я одразу вніс кілька змін для підвищення його безпеки.
Коли я зайшов на відомий усім користувачам движка сайт WordPress.org залишити відгук (потрібна реєстрація, у більшості користувачів її немає) на форумі підтримки плагіна, який мені сподобався, у мене з’явилося відчуття, що це теж WordPress. Звісно, нічого незвичайного в тому, що сайт, присвячений системі, працює на ній же, немає.
Перевіряючи своє припущення, я відкрив вихідний код проєкту й переконався — я не помилився. Переді мною WordPress. Досить свіжа, актуальна версія. Але!!! Попри всю свою актуальність, він, як і більшість сайтів користувачів (а таке зустрічається на 99,9 % сайтів), “АРШИННИМИ” літерами запрошує в гості сканери брутфорсу (перебору кодів із метою зламу сайту). Нічим не закрита, але добре відома досвідченим користувачам вразливість в безпеці.
Спойлер. Можете не писати в коментарях — я її не назву. Але мій досвід (понад 15 років із цим движком) її одразу побачив.
Так народилася ідея створити Rapid2004 SH. Я переглянув сотні статей, тисячі коментарів і, відібравши найчастіші проблеми, сьогодні пропоную користувачеві два рішення: безкоштовне базове, яке завдяки трьом латкам уже здатне засмутити ботів-сканерів, та розширене — ще плюс 10 латок зверху.
На момент написання цих рядків їх 10. Але розробка та перевірка коду не зупиняються ні на секунду.
Rapid2004 SH — можливості Free.
Щоб не переписувати цю статтю при кожному великому оновленні — я спеціально обмежуся можливостями лише безкоштовної версії. Опис функціоналу розширеної постачається разом із нею. Для особливо допитливих я (можливо, тут на сайті, на сторінці підтримки) виведу той текст, який можна буде побачити в адмінці на сторінці плагіна після встановлення Pro.
Праворуч показано, як виглядає сторінка плагіна в адмінці. Free, версія 3.2. Усі скріншоти знято безпосередньо з робочої машини — я сам використовую те, що пропоную іншим.
Перша зміна
Перевірити роботу ви можете прямо під час читання за кілька простих дій:
- Натиснувши на клавіатурі комбінацію Ctrl + U, ви відкриєте вихідний код сторінки;
- Потім відкрийте пошук Ctrl + F, щоб не шукати довго вручну;
- У рядок, що з’явився, введіть слово generator.
Серед знайдених варіантів ви побачите щось схоже на скріншот 1. Перекладати цей текст я не буду — сенс зрозумілий і без того. Бідний сканер упаде в ступор і в сльозах втече далі шукати простіший сайт. (Принцип дії сканера налаштований на те, що там мають бути цифри версії, а не авторитетна думка про його інтелектуальні можливості).
Фікс-латка не видаляє цей рядок, вона тонко тролить хакера, пропонуючи йому самостійно вгадати, яка саме версія використовується автором сайту, при цьому не залишаючи йому жодних підказок.
Друга зміна
Фікс два — так просто не продемонструєш на скріншоті. Доведеться описати його фізику.
Чи доводилося вам випадково вводити не той пароль або логін при вході на сайт? Для тих, хто (до речі, як і я) зберігає паролі в браузері, зауважу — WordPress буде люб’язно підказувати, що саме ви ввели неправильно. Або логін. Або пароль.
Rapid2004 SH повністю вимикає цю логіку. Зловмисник ніколи не зрозуміє, де саме він помилився. Після оновлення сторінки він побачить повідомлення, зображене на скріншоті два, та абсолютно очищені поля. Нехай спробує знову. Як доповнення скажу, що в розширеній версії ви зможете дати йому “перепочити”. Після кількох невдалих спроб подальший підбір блокуватиметься на деякий час. Ваш недоброзичливець може спокійно піти випити кави.
Остання зміна
Третій фікс ви побачите у своїй адмінці. Це єдине місце в плагіні, де я свідомо залишаю власне ім’я. У мене немає роздутої команди розробників — я один. Якщо ви настільки довіряєте моєму досвіду, що встановили мій плагін, може, не варто шукати на публічних форумах випадкових розробників, щоб розширити функціонал вашого сайту?
Скріншоти змін
Фікс перший
Фікс другий
Фікс третій
Перевірка
Для спокою майбутніх користувачів прикладаю скрін перевірки мого плагіна командою каталогу WordPress.org
Результат перевірки – помилок немає
Посилання
Хоча ножна шукати пошуком прямо с адмиин панелі вашого блогу, я додаю пряме посилання на його власну сторінку у каталозі WordPress.org. Приємного користування. Всі питання і багі можна писати у комментах під цим записом, но до цього рекомендую переглянуті сусідню сторінку – support
Посилання
Сторінка у каталозі
Висновок.
Під завісу постараюся відповісти на кілька поширених запитань.
• Ще один плагін — адже є … (варіанти) ?
Згоден, плагінів багато і з кимось мій напевно перетинається. Але, на відміну від інших плагінів, які важать як чавунний міст — мій не ґвалтує базу сотнею запитів, не намагається дізнатися версію РНР про всяк випадок і не шпигує, куди саме ви ходите в адмінці. Він просто завантажується в пам’ять і робить свою роботу.
• Я людина недосвідчена, чи зможу я встановити його самостійно? Іноді в описі все просто, а в реальності….
Розумію. Це було однією з головних цілей створення як Free, так і Pro версій. Ви просто завантажуєте його, активуєте — і насолоджуєтеся життям. Ви відпочиваєте, а автономний код працює.
• Ніяких обмежень у кількості інсталяцій, термінах роботи або залежностей від інших плагінів?
Безкоштовна версія Rapid2004 SH не має жодних штучних обмежень. Ви можете встановити її на свій особистий сайт, блог, сайт корпорації або інтернет-магазин! Є лише одне важливе обмеження: в основі вашого проєкту має бути WordPress. Але якщо ви читаєте ці рядки, ви напевно це й самі розумієте.
• Чому мій адмін-інтерфейс відображає підпис автора та домен?
Інтерфейс гордо відображає офіційний підпис Volodymyr Novosolov разом із головним доменом rapid2004.top. Якщо ви настільки довіряєте моєму досвіду, що захистили свою базову інфраструктуру за допомогою цього плагіну, можливо, вам варто припинити пошуки на публічних форумах розробників ненадійної допомоги для розширення функціоналу вашого сайту? Для цільових розширень архітектури та кастомних автономних модифікацій звертайтеся безпосередньо до автора через безпечний шлюз сайту.
