Vulnerabilità  cartelle WordPress

La vulnerabilità  di un sito WordPress può essere compromessa in un ambito di sicurezza poiché é possibile lasciare inconsapevolmente scoperta l’intera struttura delle cartelle facendo sì che il loro totale contenuto sia disponibile ad un accesso online non autorizzato. Alcuni fornitori di servizi di web hosting si prendono cura di questo aspetto debole della piattaforma proteggendo di fatto i file dei loro clienti da visite poco gradite: purtroppo, questa non é al momento una consuetudine particolarmente diffusa.

Chiunque abbia mai effettuato l’upload di un plugin via ftp avrà  notato che gli sviluppatori indicano un percorso dove il/i file andranno allocati nel sito remoto (server): generalmente, in una cartella a nome /wp-content/ la quale contiene una sotto-cartella: /wp-content/plugins/

Ciò che passa di sovente in secondo piano é il fatto che “/wp-content/plugins/” sia in sostanza parte di un indirizzo web consultabile via browser! Nello specifico, l’URL completo farà  riferimento al Vostro sito: http://NomeDelSito.net/wp-content/plugins/

Facciamo ora una prova: accordiamo l’indirizzo web di cui sopra con il nome del nostro sito, apriamo una pagina del browser e lanciamo la ricerca.

L’apparire di una pagina simile a quella qui sotto indica che la struttura delle cartelle non é protetta ed é visibile online da chiunque lo desideri!

Cliccando dunque su di ogni singola icona renderebbe pubblico il contenuto di tutte le cartelle del mio sito sotto /wp-content/plugins/ (dati sensibili compresi).

Qualora apparisse nel Vostro browser una lista di cartelle simile alla mia, non preoccupatevi: la soluzione del problema é semplice come il bere un bicchiere d’acqua!

Aprite il blocco note e create un file privo di contenuti a nome index.html…

…salvatelo ed effettuate via ftp l’upload del file allocandolo in /wp-content/plugins/ come se fosse un plugin.

Ad operazione compiuta, provate nuovamente a visitare il Vostro URL: questa volta, troverete una pagina web bianca!

Nota: per chi lo desiderasse, il file index.html può essere personalizzato (vedi il mio)

[dm]30[/dm]