افزایش امنیت پوشه uploads وردپرس؛ راهنمای جامع و علمی سپر دفاعی سایت

پوشه uploads در وردپرس قلب ذخیره‌سازی فایل‌های رسانه‌ای شماست. تمامی تصاویری که در نوشته‌ها استفاده می‌کنید، ویدئوها، فایل‌های PDF و حتی مستندات کاربران در این مسیر قرار می‌گیرند. اما آیا می‌دانستید این پوشه به دلیل نیازش به دسترسی نوشتن (Write Permission)، به محبوب‌ترین مقصد برای نفوذ هکرها و آپلود فایل‌های مخرب تبدیل شده است؟ اگر امنیت این بخش را جدی نگیرید، عملاً کلید اصلی سایت را به مهاجمان سایبری داده‌اید. در این راهنمای تخصصی، قدم به قدم یاد می‌گیرید چطور لایه‌های امنیتی شکست‌ناپذیری روی پوشه uploads بکشید.

چرا پوشه Uploads محبوب‌ترین هدف برای هکرهاست؟

هسته وردپرس طوری طراحی شده که بخش‌های اصلی آن نظیر wp-includes و wp-admin بیشتر شامل فایل‌های سیستمی هستند و نیاز کمتری به تغییر توسط کاربر عادی دارند. اما پوشه wp-content/uploads کاملاً متفاوت است. این پوشه برای این ساخته شده تا هر روز فایل‌های جدیدی دریافت کند. همین مسئله چند خطرات امنیتی جدی ایجاد می‌کند:

• دسترسی نوشتن عمومی: برای اینکه بتوانید عکس آپلود کنید، سرور باید مجوز نوشتن در این پوشه را داشته باشد.
• امکان آپلود کدهای مخرب: اگر مهاجم بتواند از خطاهای نویسندگی در افزونه‌ها استفاده کند، یک وب‌شل (Web Shell) یا بکت‌دور با پسوند PHP آپلود کرده و آن را اجرا می‌کند.
• دسترسی مستطیم وب: فایل‌های درون این پوشه باید توسط مرورگر بازدیدکنندگان قابل مشاهده باشند؛ بنابراین اگر فایلی اجرا شود، خروجی آن به راحتی نمایش داده خواهد شد.

به همین دلایل، تمرکز روی این نقطه حساس یکی از ارکان اصلی در حوزه امنیت وب‌سایت محسوب می‌شود. اگر بتوانید جلوی اجرای اسکریپت در این پوشه را بگیرید، بخش بزرگی از تهدیدات را در نطفه خفه کرده‌اید.

۱. غیرفعال کردن اجرای کدهای PHP در پوشه آپلود

مهم‌ترین و موثرترین کاری که باید انجام دهید این است: کاری کنید که وب‌سرور تحت هیچ شرایطی کدهای PHP قرار گرفته در پوشه آپلود را اجرا نکند. حتی اگر هکری موفق شد یک فایل shell.php در این مسیر قرار دهد، سرور نباید آن را پردازش کند.

روش اول: وب‌سرور آپاچی (Apache) و لایت‌اسپید (LiteSpeed)

اگر از هاست سی‌پنل، دایرکت‌المین یا هر هاستی با وب‌سرور Apache یا LiteSpeed استفاده می‌کنید، یک فایل متنی جدید به نام .htaccess در داخل پوشه wp-content/uploads بسازید و کدهای زیر را درون آن قرار دهید:

<Files *.php>
    deny from all
</Files>
<FilesMatch ".(php|php5|php7|php8|phtml|php-script|php_script)$">
    Order deny,allow
    Deny from all
</FilesMatch>

این کد ساده اما حیاتی، هرگونه درخواست برای فراخوانی فایل‌هایی با پسوند PHP یا پسوندهای مشابه آن را بلاک کرده و خطای 403 Forbidden برمی‌گرداند. اجرای این تکنیک گام مهمی است که در اکثر منابع افزایش امنیت وردپرس بر آن تاکید می‌شود.

روش دوم: وب‌سرور ان‌جین‌ایکس (Nginx)

در Nginx فایل .htaccess کار نمی‌کند. برای این سرورها باید فایل پیکربندی اصلی (تنظیمات block) را ویرایش کرده و قطعه کد زیر را اضافه کنید:

location ~* ^/wp-content/uploads/.*.php$ {
    forbid_action;
    deny all;
}

۲. تنظیم صحیح مجوز دسترسی (File Permissions)

یکی از اشتباهات رایج مدیران سایت‌ها هنگام مواجهه با خطای عدم آپلود تصویر، دادن سطح دسترسی ۷۷۷ (Full Permission) به پوشه آپلود است. این کار دقیقاً مانند قرار دادن تمام کلیدهای خانه پشت در ورودی است!

سطح دسترسی‌های استاندارد و امن به شرح زیر است:

1. پوشه‌ها (Folders): باید روی 755 یا 750 تنظیم شوند.
2. فایل‌ها (Files): باید روی 644 یا 640 قرار گیرند.

شما می‌توانید این تنزیمات را از طریق مدیر فایل (File Manager) هاست یا ابزارهای FTP مانند FileZilla روی پوشه uploads و تمام زیرپوشه‌های آن اعمال کنید. برای درک بهتر این موضوع و اینکه چطور امنیت وردپرس را بالا ببریم، چک کردن دوره‌ای این دسترسی‌ها الزامی است.

۳. جلوگیری از مرور فهرست فایل‌ها (Directory Browsing)

به طور پیش‌فرض، اگر کسی آدرس پوشه آپلود شما را (مثلاً example.com/wp-content/uploads/2023/10/) در مرورگر وارد کند، ممکن است وب‌سرور تمام فایل‌های موجود در آن پوشه را به صورت یک لیست نشان دهد.

این موضوع یک آسیب‌پذیری افشای اطلاعات (Information Disclosure) است. هکرها با دیدن نام فایل‌ها می‌توانند تصاویر حساس، نسخه‌های پشتیبان فراموش‌شده یا فایل‌های آپلود شده توسط کاربران را شناسایی کنند. برای بستن این قابلیت، کافیست عبارت زیر را به فایل .htaccess اصلی سایت (ریشه) یا همان فایل در پوشه uploads اضافه کنید:

Options -Indexes

۴. محدودسازی پسوندهای مجاز برای بارگزاری

وردپرس به صورت پیش‌فرض پسوندهای رایج مثل jpg, png, gif, pdf, docx را اجازه می‌دهد. اما گاهی اوقات افزونه‌های مختلف این فیلترها را ضعیف می‌کنند. بهتر است نوع فایل‌های قابل بارگزاری را کاملاً کنترل کنید.

می‌توانید کدهای زیر را به فایل functions.php قالب فعال یا یک افزونه اختصاصی اضافه کنید تا فرمت‌های مجاز را فقط به مواردی که واقعاً نیاز دارید محدود سازید:

function restrict_upload_mime_types($mimes) {
    // فقط مجاز ساختن تصویر و پی‌دی‌اف
    $mimes = array(
        'jpg|jpeg|jpe' => 'image/jpeg',
        'gif'          => 'image/gif',
        'png'          => 'image/png',
        'pdf'          => 'application/pdf'
    );
    return $mimes;
}
add_filter('upload_mimes', 'restrict_upload_mime_types');

حتی اگر مهاجم سعی کند فایل اسکریپتی را تغییر فرمت دهد، سیستم MIME type وردپرس مانع از آپلود آن خواهد شد.

جدول مقایسه روش‌های حفاظتی پوشه آپلود

برای اینکه بدانید کدام اقدام بیشترین تاثیر را بر امنیت سایت شما دارد، جدول زیر را بررسی کنید:

سناریوی واقعی: نفوذ از طریق فایل تصویر جعلی

تصور کنید یک فروشگاه اینترنتی مبتنی بر وردپرس دارید. یک هکر وارد فرم ارسال دیدگاه یا فرم ثبت‌نام می‌شود که قابلیت آپلود تصویر پروفایل دارد. هکر یک فایل کدهای مخرب را به این صورت نام‌گذاری می‌کند: avatar.php.jpg یا درون متاداده‌های یک تصویر واقعی (EXIF Headers)، کدهای PHP خود را جا می‌زند.

اگر سیستم آپلود شما فیلترهای درستی نداشته باشد، این فایل در پوشه uploads/2023/11/avatar.php.jpg ذخیره می‌شود. سپس اگر سرور شما به‌گونه‌ای کانفیگ شده باشد که پسوند اول را هم بخواند یا هکر بتواند آن را اجرا کند، دسترسی کامل به هاست پیدا خواهد کرد.

اگر لایه‌های حفاظتی که بالا اشاره کردیم را فعال کرده باشید، وب‌سرور حتی در صورت حضور این فایل، اجازه فراخوانی و اجرای کد داخل آن را نخواهد داد و پاسخ دسترسی غیرمجاز صادر می‌کند. افزون بر این، درگاه‌های ورودی ورود مدیران نیز باید با ابزارهایی مانند احراز هویت دو مرحله‌ای در وردپرس محکم شوند تا مهاجم حتی نتواند از پنل مدیریت فایل آپلود کند.

جالب است بدانید بسیاری از حملات پیچیده مانند حمله CSRF وردپرس نیز گاهی با هدف فریب دادن مدیر سایت برای آپلود فایل‌های ضمیمه مخرب صورت می‌گیرند که حساسیت ایمن‌سازی این پوشه را دوچندان می‌کند.

عیب‌یابی سریع (Troubleshooting)

گاهی اوقات بعد از اعمال کدهای امنیتی در پوشه آپلود، ممکن است با مشکلاتی روبه‌رو شوید. در ادامه راهکارهای رفع سریع آن‌ها آورده شده است:

سوالات متداول کاربران