Wordpress’in 11 Ağustos 2020 tarihinde yayınlanacak olan 5.5 sürümü içerisinde ön tanımlı olarak gelecek site haritasını kullanmak istemeyen arkadaşlarımız olabilir,

Kapatma işlemini gerçekleştirmek için temanızda yer alan functions.php dosyası içerisine aşağıdaki satırları eklemeniz yeterli olacaktır.

remove_action( 'init', 'wp_sitemaps_get_server' );

İşlem başarılı şekilde gerçekleşti, artık istediğiniz XML Sitemap harita eklentisini kullanabilirsiniz.

Ufak kod parçalarımız ile Wordpress sistemimizde hızlanma sağlayabiliriz. Aşağıda vermiş olduğum kod parçasını temanızda bulunan functions.php içerisine en son satıra ekleyin ve kayıt edip çıkın

Cache eklentisi kullanıyorsanız cache temizleyin. Daha sonra Tüm JS dosyalarının headerdan gittiğini göreceksiniz.

Bunu yaptığınızda sitenizin görüntüsü bozulabilir. Her temada çalışmayacağı gibi çalışanıda bozabilirsiniz. Ama Bozulmazsa hız artışınız olur 🙂

Evet hepsini body içerisine en alta attık gitti

function remove_head_scripts() { 
   remove_action('wp_head', 'wp_print_scripts'); 
   remove_action('wp_head', 'wp_print_head_scripts', 9); 
   remove_action('wp_head', 'wp_enqueue_scripts', 1);
 
   add_action('wp_footer', 'wp_print_scripts', 5);
   add_action('wp_footer', 'wp_enqueue_scripts', 5);
   add_action('wp_footer', 'wp_print_head_scripts', 5); 
} 
add_action( 'wp_enqueue_scripts', 'remove_head_scripts' );

Bir kaç gün wordpress ile uğraşınca bu konularda da insanlara yardımcı olmak istedim şöyle ki bu wordpress de gereğinden fazla ve bana göre de gereksiz olan bir takım özellikleri var. Bunlarda sitede fazlalık yapmasın diye ben genelde kapatıyorum. Kullanıyorsanız ayıklama işlemi yapabilirsiniz.

# Sürüm Bilgisi kapat
remove_action('wp_head', 'wp_generator');

# RSS linkleri Kaldır
remove_action('wp_head', 'feed_links', 2);
remove_action('wp_head', 'feed_links_extra', 3);
remove_action('wp_head', 'index_rel_link');

# Windows Live Writer Kapat (wlwmanifest.xml)
remove_action('wp_head', 'wlwmanifest_link');

# Random gönderi link kapat
remove_action('wp_head', 'start_post_rel_link', 10, 0);
remove_action('wp_head', 'parent_post_rel_link', 10, 0);

# Önceki ve Sonraki özelliğini kapat
remove_action('wp_head', 'adjacent_posts_rel_link', 10, 0);
remove_action('wp_head', 'adjacent_posts_rel_link_wp_head', 10, 0 );

# WP kısa link kapat
remove_action('wp_head', 'wp_shortlink_wp_head', 10, 0 );

# Canonical linkleri kaldır
remove_action('wp_head', 'rel_canonical', 10, 0 );

# Yorumlara ait çerez bilgisi tutma
remove_action('set_comment_cookies', 'wp_set_comment_cookies');

# Kayıt olunduktan sonra onay mail gönderme
remove_action('um_post_registration_approved_hook', 'um_post_registration_approved_hook', 10, 0);

# Emojileri kapat
remove_action('wp_head', 'print_emoji_detection_script', 7 );
remove_action('admin_print_scripts', 'print_emoji_detection_script' );
remove_action('wp_print_styles', 'print_emoji_styles' );
remove_action('admin_print_styles', 'print_emoji_styles' );	
remove_filter('the_content_feed', 'wp_staticize_emoji' );
remove_filter('comment_text_rss', 'wp_staticize_emoji' );	
remove_filter('wp_mail', 'wp_staticize_emoji_for_email' );

yukarıdaki kodları tema dosyalarınız içerisinde bulunan function.php dosyasına ekleyin.

Başlığın ilginç geldiğinin farkındayım.Bu günkü yılbaşı özel yazımızda sizlere wordpress sitelerde kullanılan ve statik olarak tutulmayan sitemap eklentilerinin aslında sitelere nasıl zarar verebilecek birer saatli bombaya dönüştüğünü göstermek istiyorum.

İlk olarak kullanılacak ekipmanları ayarlamanız gerekiyor.

• 1 Adet linux tabanlı bilgisayar
• İnternet bağlantısı

ilk olarak bilgisayarınızı güzelce açıyorsunuz herşeyi hazırlıyorsunuz koltuğunuzu falan ayarlamanız lazım internete bağlanıyorsunuz.Daha sonrasında sisteminizde aşağıdaki uygulamayı kurmanız gerekiyor.

sudo apt-get install parallel

bu uygulama size paralel olarak işlem yapma imkanı tanıyacak yani birden çok istek gönderebilmeye yarayacak kullanım amacınıza göre yapılacak işlemler tabikide değişiklik gösterecek ancak genel amacı paralel işlem yaptırma

Wordpress sitelerde genelde popüler olan üç adet sitemap eklentisi bulunmakta bunlar genellikle sitelerdeki içeriği PHP aracılığı ile sitemap oluştururlar yani bir bakıma sanal bir sitemap dosyanız olur. Bu 3 eklentinin de siteler üzerinde yükünün oldukça fazla olduğu ve ram kullanımını ciddi şekilde arttırdığı gözlemlenmiştir.Yapılacak olan işlemde bu dosyalar üzerinde yoğunlaştırılmıştır.

• Yoast SEO
• Google XML Sitemap
• All in One SEO Pack

Statik olarak oluşturulmayan sitemap her seferinde istek aldığında tekrar ve tekrar sistem tarafından PHP aracılığı ile oluşturulur.Bu her oluşturulma da 43 MB ram kullanımı demektir.

43*1000=43000 MB Ram kullanımı demektir.Parametre değiştirilerek daha fazla RAM kullanımı sağlanabilir.Ayrıca sayfaya atılan her isteğin boyutu test için kullandığım bir web sitesinde 1.1MB buluyordu yaptığımız 1000 istekde ise karşı tarafdan 1.1*1000= 1100 MB veri demektir.Hal böyle olunca sitedede ciddi şekilde bir trafik olduğu için isteklere cevap veremeyecek duruma gelmekte ve isteklere timed out vermektedir.

ilk olarak saldırı geldiği anda  CPU yavaş yavaş artmaya gelen isteklere cevap verememeye başlıyor. Ddos koruması olan sunucularda bu şekilde sistemi kapatabilirsiniz.Çünkü bu basit bir HTTP saldırısıdır.Ancak engellenmesi kolaydır.

Saldırıya başladığımız ilk anda sistemden bir görüntü (Sisteme zarar vermemesi amacıyla 30 sn den sonra devam edilmemiştir.)

Saldırıya devam ettiğimizde CPU kullanımı %100 RAM kullanımı da %98 lere fırlıyor.Tabi sitede kullanılan eklentiye göre durum değişiyor misal all in seo kullanılıyor ise sadece CPU fırlıyor. Google XML Sitemap eklentisi ve Yoast SEO eklentisinde ki sitemap özelliği kullanılırsa hem CPU hemde RAM de ciddi derecede bir yükselme oluyor.

Saldırı anında ise web server tarafından tutulan loglara göz atabilirsiniz.Şu şekilde bir takım loglar ile karşılaşacaksınız.

Direk olarak HTTP GET saldırısını simule eden ilginç bir yapıya sahip olduk normalde pek çok site bu denli bir isteğe alışkındır ancak cache sistemi ile tutulmayan ve gelen her istek için yeniden sayfa oluşturan sistemlerde bu zafiyet oldukça etkili olacaktır. Tabi ki kullanılmasını önermiyoruz.

Parametremiz ise şu şekilde

seq 100000 | parallel -j0 --joblog log curl -s siteadresi/sitemap.xml{} ">" {}.txt

bu komutu kullanırken mümkün olduğunca dizini rastgele seçmeyin oluşacak olan txt dosyalarını kontrol edemeyeceğiniz için sıkıntı çıkartabilir herhangi bir klasör oluşturup bu komutu da o klasör içerisinde vermenizi öneririm.

Peki bu sıkıntıdan nasıl kurtulursunuz.Herhangi birisinin sitemap üzerinden yaptığı bu saldırıyı durdurmanız için gelen istekleri limitlemeniz oldukça işinize yarayacak.

nginx.conf dosyanızın içerisine http{ } bloğu içerisine aşağıdaki 2 adet komutu ekliyorsunuz ilki gelen istekleri limitler ikinciside bağlantıyı limitler

limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
limit_conn_zone $binary_remote_addr zone=addr:10m;

bu iki komut sonrasında sitenizde kullandığınız conf dosyasına aşağıdaki gibi bir satırı eklemeniz yeterli olacak.

location = .xml{
       limit_req zone=one burst=10;
}

aynı şekilde PHP uzantılı dosyalarada şöyle bir ekleme yapabilirsiniz.

location ~ .php$ {
       limit_req zone=one burst=10;
       limit_conn addr 1;
}

bu sayede sistemdeki dosyalarınıza gelen istekler sizin belirlemiş olduğunuz sınırı geçerse otomatik olarak yasaklanacak ve gereksiz yere sistem tüketmesi yaşanmayacak.Kesin bir çözüm olmasa da işinize oldukça yarayacağını düşünüyorum.

Yardımlarından dolayı Furkan Kalkan a Teşekkür ederim.

NOT: Yukarıdaki bahsettiklerim sistem yöneticileri tarafından unutulan ve yapılması gereken mutlak ayarlamaları içermekte ve bu ayarların yapılmaması dahilinde oluşabilecek basit ama zararlı zafiyeti göstermek amacı ile yazılmıştır.Site içerisinde bulunan ve uzantısı farklı olan dosyaların ve dinamik olarak oluşturulan tüm sayfaların korumaya alınması mecburidir.

Bilindiği gibi DMCA özgün içerik girişi yapılan sitelerin mutlaka kullanması gereken bir sistem ancak firmanın ciddiyetsizliği yüzünden benim canım 2 gündür sıkılmıştı yapmış oldukları wordpress eklentisinde gerek admin paneli gerekse eklentinin İD alamama durumu ve firmanın da eklentide sorun yok demesi üzerine bu makaleyi yazma gereği duydum hata alan arkadaşlar yada içeriklerinin sitede işlenmemesini giderebilirler

Öncelikle eklentiyi yükledikten sonra karşımıza admin panelinde “func_get_args()” syntax hatası karşımıza çıkacak eklentiyi yazarken ne düşünmüşler tam bilemiyorum bu syntax değişken tanımlamadan belli başlı yerlerde kullanılamaz işte o kullanılamayacak yerde bunlar kullanmış…

/wp-content/plugins/dmca-badge/libraries/sidecar/classes/ class-admin-page.php dosyasında 448.satıra bakınız

protected function _get_plugin_value( $method ) {
return call_user_func_array( array( $this, '_do_plugin_action' ), func_get_args() );
}

Aşağıdakiyle değiştir

protected function _get_plugin_value( $method ) {
$gethata1 = func_get_args();
return call_user_func_array( array( $this, '_do_plugin_action' ), $gethata1 );
}

yapılan syntax hatasını da giderdikten sonra geldik en büyük sıkıntıya konulara ID atanamaması ve DMCA.com sitesinde içeriklerin korumaya alınmaması sorununa aslında eklentide tasarım yada özellik değiştirmedik demişler ancak temiz kodlama yapacağız diyede unuttukları 1-2 kısmı da biz ekleyeceğiz…

Öncelikle yapmamız gereken DMCA.com sitesine girip sitenin bize vermiş olduğu badges embed kodlarını almak

Bize verilmiş olan kod satırları

<a href="http://www.dmca.com/Protection/Status.aspx?ID=557588e1-2f0a-451d-9d71-b825d1730ff2" title="DMCA"> <img src ="http://images.dmca.com/Badges/_dmca_premi_badge_1.png?ID=557588e1-2f0a-451d-9d71-b825d1730ff2"  alt="DMCA.com" /></a>

Sitenin bu kodu alması gerektiği yer ve sorun

/wp-content/plugins/dmca-badge/classes/ class-plugin.php dosyasında 433.satıra bakınız

function the_settings_badges_tab() {
echo '<p>' . __( 'Select a DMCA Website Protection Badge by clicking on it.', 'dmca-badge' ) . '</p>';

$branding = __( 'Content Protection by DMCA.com', 'dmca-badge' );
$badge_template = <<<HTML
<a href="http://www.dmca.com/" title="{$branding}"><img src="{{badge_url}}" alt="{$branding}"></a>
HTML;
$badge_template = htmlentities( $badge_template );
echo "<pre style="display:none" id="badge-template">{$badge_template}</pre>";
echo $this->get_badges_html( $this->get_form_settings_value( 'badge', 'url' ) );
echo $this->get_form( 'badge' )->get_html();
}

görüldüğü gibi sayfa ve içeriklere DMCA embed kodu eklerken hiç bir yerden İD bilgisi almıyor.nHal böyle olunca da sayfalara koruma işlememiş oluyor.

Kodu aşağıdaki gibi değiştiriniz.biz burada değişken tanımlayarak sorunu çözeceğiz…

function the_settings_badges_tab() {
echo '<p>' . __( 'Select a DMCA Website Protection Badge by clicking on it.', 'dmca-badge' ) . '</p>';

$branding = __( 'Content Protection by DMCA.com', 'dmca-badge' );
$idpar1="DMCA Link bilginiz"
$idpar2="Resimlerin sonuna eklenecek olan İD"
$badge_template = <<<HTML
<a href="{$idpar1}" title="{$branding}"><img src="{{badge_url}}{$idpar2}" alt="{$branding}"></a>
HTML;
$badge_template = htmlentities( $badge_template );
echo "<pre style="display:none" id="badge-template">{$badge_template}</pre>";
echo $this->get_badges_html( $this->get_form_settings_value( 'badge', 'url' ) );
echo $this->get_form( 'badge' )->get_html();
}

Örnek olarak

$idpar1="http://www.dmca.com/Protection/Status.aspx?ID=557588e1-2f0a-451d-9d71-b825d1730ff2"
$idpar2="?ID=557588e1-2f0a-451d-9d71-b825d1730ff2"

yapıp kayıt edip çıkıyoruz cache eklentisi kullanıyorsak cacheyi yeniliyoruz.işlemimiz sonuçlanıyor…