Pokročilé zabezpečení systémů pro správu webového obsahu

Abstract

V této práci jsou analyzovány nejčastější útoky zaměřené na systém pro správu obsahu WordPress a metody zabezpečení webových aplikací. WordPress se stal dominantní platformou pro tvorbu webových stránek a pohání více než 43 % všech webových stránek na světě. V práci jsou popsány osvědčené postupy v oblasti zabezpečení WordPressu, stejně jako implementace standardů bezpečného kódování a technik pro posílení zabezpečení, které mohou vývojáři a administrátoři použít k ochraně instalací WordPressu. Práce zkoumá zranitelnosti WordPressu z pohledu rámce OWASP Top 10 a popisuje konkrétní vektory útoků v tématech, pluginech a základních funkcích. Implementace testovacího prostředí založeného na Dockeru demonstruje praktické zneužití a nápravu 10 připravených zranitelností. Kromě toho práce poskytuje metodiku penetračního testování zaměřenou na reálná nasazení WordPressu. Testování se týká nejen zranitelností na úrovni aplikací, ale také nesprávných konfigurací serverů a slabých míst v autentizaci. V práci jsou popsány osvědčené postupy v oblasti bezpečnosti, stejně jako implementace standardů bezpečného kódování a technik pro zabezpečení nasazení, které mohou vývojáři a webový administrátoři použít k ochraně instalací WordPressu.

In this thesis, the most common attacks targeting WordPress content management system and methods for securing web applications are analyzed. WordPress has become the dominant platform for website creation, powering over 43% of all websites globally. Wordpress security best practices are described in the thesis, as well as implementation of secure coding standards and deployment hardening techniques, which developers and administrators can apply to protect WordPress installations. The thesis examines WordPress vulnerabilities from the perspective of the OWASP Top 10 framework, describing specific attack vectors in themes, plugins, and core functionality. Implementation of a Docker-based testing environment demonstrates practical exploitation and remediation of 10 prepared vulnerabilities. In addition, the thesis provides penetration testing methodology focused on real-world WordPress deployments. The testing covers not only application-level vulnerabilities but also server misconfigurations and authentication weaknesses. Security best practices are described in the thesis, as well as implementation of secure coding standards and deployment harden- ing techniques, which developers and administrators can apply to protect WordPress installations.