Co to jest Clickjacking i jak mu zapobiegać

Opublikowany: 2023-01-17

Clickjacking to złośliwy exploit internetowy, który istnieje od czasu, gdy pierwsze strony internetowe pojawiły się w Internecie. Clickjackerzy wykorzystują metody osadzania jednej strony internetowej w innej. W połączeniu ze zwodniczą inżynierią społeczną, ataki typu „clickjacking” utrzymują absurdalnie wysoki wskaźnik skuteczności, atakując codziennie miliony niczego niepodejrzewających ofiar.

Jako najpopularniejszy framework do tworzenia stron internetowych na świecie, WordPress jest dużym celem przechwytywania kliknięć. Domyślnie tylko strona logowania WordPress i obszar administracyjny nie mogą być osadzone na innej stronie internetowej. Jeśli są inne części witryny, których nie chcesz umieszczać w innym miejscu, musisz samodzielnie podjąć działania w celu ich ochrony.

Ten przewodnik po atakach polegających na przechwytywaniu kliknięć lub atakach polegających na zmianie interfejsu użytkownika pokaże Ci, jak działa przechwytywanie kliknięć, dzięki czemu możesz mieć pewność, że zawartość witryny WordPress nie zostanie wykorzystana przez osoby atakujące do kradzieży poufnych informacji lub nakłonienia użytkowników do zrobienia czegoś, co im zaszkodzi i/lub pomoże klikacz.

Co to jest przechwytywanie kliknięć?

Jak sama nazwa wskazuje, clickjacking przejmuje kliknięcia i inne działania interfejsu internetowego. Pozwala to hackerowi na wykonanie działania dla własnych celów w imieniu niczego niepodejrzewających ofiar.

Techniczna nazwa przechwytywania kliknięć to „zmiana interfejsu”. Clickjackerzy „przebierają” legalną stronę internetową, osadzając ją we własnych witrynach, gdzie ich własny kod może ukradkiem modyfikować to, co dzieje się, gdy odwiedzający wchodzą z nią w interakcję. Osiąga się to poprzez osadzenie legalnej treści, takiej jak strona logowania lub ekran płatności z legalnej strony internetowej lub usługi, na złośliwej stronie internetowej stworzonej przez przestępcę. Odwiedzający mogą kliknąć pozornie nieszkodliwy przycisk, wpisać informacje w polu tekstowym, a nawet wykonać element „przeciągnij i upuść”. Nie widzą ukrytego interfejsu, który wykonuje inną, nieoczekiwaną akcję z korzyścią dla atakującego.

Ukrywając swoją witrynę za pomocą Twoich treści, złodzieje kliknięć mają nadzieję nakłonić odwiedzających ich witrynę do wykonania niepożądanych działań, takich jak przekazanie poufnych informacji lub pobranie złośliwego oprogramowania.

przechwytywanie kliknięć

Jak działa przechwytywanie kliknięć?

Ataki typu „clickjacking” wykorzystują zdolność HTML do wczytywania strony internetowej z jednej witryny na stronach innej witryny za pomocą elementów <iframe> lub <objects> .

W większości przypadków ataki polegające na naprawianiu interfejsu użytkownika polegają na tym, że użytkownik jest zalogowany do określonej witryny internetowej i wierzy, że jest w tej witrynie, gdy wchodzi w interakcję z „przebraną” witryną hakerów. W ten sposób osoba zwabiona na złośliwą stronę internetową może wykonać określone działania, których chce haker, nie zdając sobie sprawy, że nie wchodzi w interakcję ze swoim bankiem lub znaną witryną WordPress.

Pięć głównych typów przechwytywania kliknięć

Istnieje kilka rodzajów strategii przechwytywania kliknięć, w zależności od celu końcowego atakującego. Mogą obejmować stosunkowo nieszkodliwe działania (zwiększanie liczby wyświetleń swoich witryn z treścią lub zdobywanie polubień pod postem lub filmem) po kradzież danych logowania, a nawet pieniędzy od niczego niepodejrzewającej ofiary.

Clickjacking to wysoce wszechstronny sposób przeprowadzania szerokiej gamy złośliwych działań. Chociaż przechwytywanie kliknięć jest uważane za formę cyberataku, może również ułatwiać inne ataki, takie jak XSS lub ataki typu cross-site scripting, a nawet wykorzystywać ładunki XSS w celu ułatwienia ataków typu XSRF lub cross-site request forgery.

Oto pięć najczęstszych typów ataków typu „clickjacking”:

  • Klasyczne klikanie. Polega na wybraniu witryny lub usługi będącej ofiarą i wykorzystaniu jej zawartości w celu nakłonienia użytkowników do wykonania szeregu niepożądanych działań.
  • Łajkowanie. Stara odmiana przechwytywania kliknięć, której celem było zwiększenie liczby wyświetleń i polubień określonej strony internetowej lub filmu. Można go uznać za raczej nieszkodliwy i rzadko spotykany w dzisiejszych czasach.
  • Przeciąganie kursora. Technika używana przez atakującego do zastąpienia rzeczywistego kursora fałszywym w celu nakłonienia użytkownika do kliknięcia złośliwego elementu bez jego wiedzy.
  • Przechwytywanie ciasteczek . Powszechną taktyką stosowaną przez atakujących jest uzyskanie plików cookie przechowywanych przez przeglądarkę ofiary. W większości przypadków jest ona wykonywana przez użytkownika zaproszonego do wykonania pozornie nieszkodliwej operacji „przeciągnij i upuść” na stronie internetowej atakującego.
  • Przechwytywanie plików. Atak wykorzystuje zdolność przeglądarki do otwierania plików na urządzeniu użytkownika, umożliwiając atakującemu dostęp do lokalnego systemu plików. Oprócz lokalnego systemu plików osoba atakująca może uzyskać dostęp do mikrofonu na Twoim urządzeniu lub w Twojej lokalizacji.

Ofiary przechwytywania kliknięć: od platform mediów społecznościowych po systemy płatności online

Clickjacking stał się szczególnie popularny około dziesięć lat temu, kiedy główne platformy mediów społecznościowych, takie jak Facebook i Twitter, padły ofiarą różnych odmian clickjackingu. Na przykład atak typu „clickjacking” przeprowadzony pod koniec 2000 roku umożliwił atakującym nakłonienie ofiary do wysyłania spamu do całej listy znajomych na Facebooku za pomocą jednego kliknięcia.

Rosnąca popularność redressingu interfejsu użytkownika w ostatniej dekadzie skłoniła gigantów technologicznych do szybkiego podjęcia odpowiednich kroków w celu ochrony swoich platform przed tego typu atakami. Jednak badacze bezpieczeństwa wciąż zgłaszają więcej luk w zabezpieczeniach, które dotykają duże organizacje, nawet dzisiaj.

Jedna z najbardziej widocznych luk wykrytych w ostatnim czasie dotyczyła systemu PayPal. W 2021 roku badacze zagrożeń natknęli się na lukę w usłudze przelewów pieniężnych Paypal, która może potencjalnie umożliwić atakującym kradzież pieniędzy z kont użytkowników poprzez wykorzystanie transferów środków jednym kliknięciem. Paypal nagrodził naukowca i ogłosił plany rozwiązania tej sytuacji.

Otrzymuj cotygodniowy raport o lukach w zabezpieczeniach WordPress dostarczany do Twojej skrzynki odbiorczej w każdą środę.
Zapisz się teraz

Idealna pułapka: przygotowanie ataku typu clickjacking

Każdy atak typu „clickjacking” składa się z trzech głównych etapów: wybrania witryny docelowej lub ofiary, stworzenia złośliwej strony internetowej oraz zwabienia na nią klientów docelowej witryny lub usługi.

Krok 1. Wybór witryny docelowej

Ponieważ zdecydowana większość dużych organizacji stosuje silne środki bezpieczeństwa, które uniemożliwiają atakującym przeprowadzanie ataków typu „clickjacking” na ich klientów, hakerzy często atakują mniejsze firmy. Witryny WordPress są szczególnie atrakcyjne dla przestępców, ponieważ oprogramowanie nie wymusza żadnych domyślnych środków bezpieczeństwa, które uniemożliwiają osadzanie treści WordPress w witrynie atakującego.

Strona logowania WordPress i pulpit administratora służą jako wyjątki, ale odpowiedzialność za ochronę pozostałej części witryny spoczywa na właścicielu witryny. Następnym razem, gdy będziesz się zastanawiać, dlaczego haker miałby zaatakować Twoją witrynę, odpowiedź jest prosta — dla hakera jest to łatwe i wygodne, zwłaszcza jeśli nie aktualizujesz oprogramowania WordPress. Dzięki wielu lukom, które zawsze pojawiają się we wtyczkach i motywach WordPress, konieczne jest dokonywanie właściwych wyborów dotyczących tego, co zainstalować. A potem aktualizuj całe oprogramowanie. W przeciwnym razie staniesz się łatwym celem.

W zależności od rodzaju obsługiwanej witryny WordPress i publikowanych treści osoba atakująca może atakować różne jej części. Przechwytywanie kliknięć w WordPress często dotyczy formularzy internetowych, stron logowania poza administratorem WordPress oraz stron kasy WooCommerce z włączoną opcją płatności jednym kliknięciem.

Zdobądź dodatkową zawartość: Lista kontrolna czyszczenia zaatakowanej witryny
Kliknij tutaj

Krok 2. Tworzenie złośliwej strony internetowej

Po wybraniu witryny docelowej i stwierdzeniu, że jest ona podatna na przechwytywanie kliknięć, osoba atakująca tworzy złośliwą stronę internetową, aby nakłonić użytkowników do wykonania określonej czynności. Przechwytywanie kliknięć w WordPress prawdopodobnie ma na celu funkcjonalność e-commerce, ale kradzież danych uwierzytelniających i wysyłanie spamu pozostaje częstym celem atakujących.

Dobrym przykładem przechwytywania kliknięć jest strona informująca o wygraniu nagrody i zapraszająca do jej odebrania. Klikając przycisk „Odbierz nagrodę”, w rzeczywistości przekazujesz dane osobowe lub potwierdzasz zakup lub przelew pieniężny.

Krok 3. Zwabienie użytkowników witryny docelowej w pułapkę

Aby atak typu „clickjacking” się powiódł, osoba atakująca musi skłonić użytkowników do otwarcia złośliwej strony internetowej i przekonania, że ​​jest ona częścią legalnej, znajomej witryny. Można to osiągnąć na wiele sposobów, na przykład wysyłając link do niego w wiadomości e-mail lub przekierowując użytkownika z zainfekowanej witryny internetowej innej firmy, do której atakujący wcześniej się włamał.

Jeśli nie klikasz łączy w nietypowych, nieoczekiwanych lub podejrzanych wiadomościach e-mail, SMS-ach lub na czacie, prawdopodobieństwo, że próba przejęcia kliknięć zakończy się powodzeniem, jest bardzo niskie, nawet jeśli złośliwa strona internetowa atakującego wygląda całkowicie legalnie i nie budzi podejrzeń. Nowoczesne przeglądarki stosują również szeroką gamę zabezpieczeń przed przechwytywaniem kliknięć, a połączenie Twojej czujności i aktualnej technologii przeglądarki może znacznie zmniejszyć skuteczność wszelkich ataków polegających na naprawie interfejsu użytkownika.

Jak nie paść ofiarą clickjackingu

Aby chronić się przed wszelkiego rodzaju przechwytywaniem kliknięć, unikaj otwierania podejrzanych e-maili, reklam i linków do stron internetowych. Nigdy nie instaluj oprogramowania z niezweryfikowanych źródeł. Ponieważ clickjacking opiera się na oszukańczych praktykach inżynierii społecznej, nauczenie się, jak je wykrywać, jest najlepszą obroną. Poza tym należy aktualizować wszystkie przeglądarki i systemy operacyjne do najnowszych wersji. Możesz także zainstalować solidne rozszerzenia bezpieczeństwa przeglądarki i korzystać z nowoczesnego oprogramowania antywirusowego, aby upewnić się, że nie padniesz ofiarą przechwytywania kliknięć i innych niebezpiecznych cyberataków.

Bądź podejrzliwy w stosunku do zaproszeń do kliknięcia łącza

Oszuści często wysyłają linki do potencjalnych ofiar za pośrednictwem wiadomości e-mail, SMS-ów i aplikacji do przesyłania wiadomości. Jeśli nie zrobiłeś nic, aby zażądać lub wywołać taką wiadomość, spójrz na jej pochodzenie. Kłamcy często wysyłają wiadomości z domen, subdomen i nazw kont, które są podobne do legalnych witryn, takich jak Paypal. Sprawdź, czy potrafisz wykryć drobne różnice, które sprawiają, że ci podejrzani nadawcy:

  1. [e-mail chroniony]
  2. http://paypaI.com

W pierwszym przypadku „paypal” to subdomena, którą każdy może dołączyć do podstawowej domeny najwyższego poziomu, którą w tym przypadku jest „app1.com”. To nie Paypal.

W drugim przypadku mała litera „l” została zastąpiona dużą literą „I”, która jest identyczna w wielu popularnych czcionkach. Porywacze kliknięć często rejestrują domeny z niewielkimi literówkami, takie jak ta, aby oszukać ludzi, aby uwierzyli, że pochodzą od legalnego nadawcy.

Możesz także spojrzeć na nagłówki e-maili, aby zobaczyć pochodzenie wiadomości. Zapoznaj się z domenami i adresami e-mail używanymi przez Twoje instytucje finansowe i inne ważne konta. Będą mieć również zasady określające, w jaki sposób będą się z Tobą kontaktować lub nie, oraz jak będą się identyfikować. Nie ufaj żadnej komunikacji, która wykracza poza te parametry. Lepiej być bezpiecznym niż potem przepraszać!

Zainstaluj rozszerzenia przeglądarki Anti-Clickjacking

Oprócz wbudowanych funkcji bezpieczeństwa przeglądarki, rozszerzenia przeglądarki zapobiegające przechwytywaniu kliknięć mogą zapewnić wyższy poziom ochrony przed przechwytywaniem kliknięć i atakami typu cross-site scripting. NoScript to najpopularniejsze rozszerzenie między przeglądarkami obsługiwane przez Google Chrome, Mozilla Firefox i Microsoft Edge. JS Blocker to świetna alternatywa dla NoScript dla użytkowników Safari.

Trzy kroki do ochrony witryny WordPress przed przechwytywaniem kliknięć

WordPress domyślnie chroni pulpit administratora i stronę logowania przed kradzieżą kliknięć, ale wszystkie inne obszary Twojej witryny wymagają dodatkowej ochrony. Liczba ataków, które można dziś przeprowadzić na większość witryn internetowych, sprawia, że ​​bezpieczeństwo jest najwyższym priorytetem dla właścicieli witryn.

Na szczęście istnieje wiele sposobów ochrony przed przechwytywaniem kliknięć w WordPress. , Należy połączyć kilka podejść, aby zapewnić ich obsługę we wszystkich przeglądarkach. Co więcej, połączenie środków bezpieczeństwa pomoże zapewnić ochronę zawartości Twojej witryny przed wszystkimi rodzajami złośliwych działań, które mogą ułatwić ataki związane z interfejsem użytkownika.

Istnieją trzy duże kroki, które możesz podjąć, aby zabezpieczyć swoją witrynę WordPress przed przechwytywaniem kliknięć:

  • Skonfiguruj nagłówek X-Frame-Options, aby uniemożliwić komukolwiek ładowanie treści Twojej witryny w ramkach na niezaufanych zasobach stron trzecich.
  • Skonfiguruj dyrektywę frame-ancestors zasad bezpieczeństwa treści (CSP), aby określić, które witryny mogą osadzać strony Twojej witryny w ramkach. (Zwykle można to ustawić na „brak”).
  • Użyj atrybutu pliku cookie SameSite w nagłówku Set-Cookie, aby chronić się zarówno przed próbami przechwytywania kliknięć, jak i próbami fałszowania żądań między witrynami (CSRF).

Używanie .htaccess do konfigurowania nagłówków odpowiedzi HTTP dla WordPress

Nagłówki odpowiedzi to nagłówki HTTP używane do definiowania określonych zmiennych do komunikacji klient-serwer między Twoją witryną a przeglądarkami odwiedzających. Są niewidoczne dla odwiedzających. X-Frame-Options, Content Security Policy i Set-Cookie to przykłady nagłówków odpowiedzi HTTP.

Chociaż niektóre wtyczki WordPress mogą być używane do konfigurowania nagłówków odpowiedzi HTTP w witrynie WordPress, najłatwiejszym podejściem jest użycie lokalnego pliku .htaccess. (Przy założeniu, że środowisko serwera używa serwera Apache lub Litespeed do obsługi żądań HTTP). Konfiguracja nagłówka określona w pliku .htaccess w katalogu głównym witryny jest stosowana do wszystkich stron w witrynie.

Moduł mod_headers Apache umożliwia konfigurowanie nagłówków odpowiedzi w .htaccess za pomocą instrukcji Header set i Header append . Ponieważ niektóre nagłówki można skonfigurować w globalnej konfiguracji serwera WWW, czasami zaleca się użycie funkcji Header append w celu scalenia skonfigurowanej wartości z istniejącym nagłówkiem odpowiedzi zamiast zastępowania istniejącej konfiguracji.

Twój dostawca usług hostingowych może domyślnie skonfigurować określone nagłówki odpowiedzi HTTP dla wszystkich witryn internetowych, więc najlepiej skontaktować się z nim przed wprowadzeniem jakichkolwiek zmian w .htaccess, aby uniknąć problemów.

Skonfiguruj nagłówek X-Frame-Options

Nagłówek X-Frame-Options określa, czy strona internetowa może być renderowana w ramce oraz listę zasobów, które mogą to zrobić. Istnieją dwie dyrektywy dla X-Frame-Options – DENY i SAMEORIGIN. Dyrektywa ALLOW-FROM, która była wcześniej używana, jest teraz przestarzała.

Wartość DENY skutecznie zapobiega umieszczaniu treści Twojej witryny w ramkach przez dowolną witrynę internetową. Ustawienie opcji X-Frame-Options na SAMEORIGIN umożliwia umieszczanie treści w ramkach, jeśli żądanie pochodzi z innych stron Twojej witryny.

Aby skonfigurować nagłówek X-Frame-Options na swojej stronie WordPress, dodaj jedną z poniższych linii do pliku .htaccess w katalogu instalacyjnym WordPress. (Należy pamiętać, że używana jest opcja ustawiona.)

 Zestaw nagłówków X-Frame-Options „DENY”
 Zestaw nagłówków X-Frame-Options „SAMEORIGIN”

Chociaż nowoczesne przeglądarki zawierają tylko częściowe wsparcie dla X-Frame-Options lub nawet rezygnują z niego na rzecz dyrektywy CSP frame-ancestors, skonfigurowanie go na stronie WordPress ochroni starsze przeglądarki.

Skonfiguruj dyrektywę ramek dotyczących przodków zasad bezpieczeństwa treści

Nagłówek odpowiedzi Polityki bezpieczeństwa treści jest potężnym środkiem bezpieczeństwa, który może pomóc złagodzić wiele ataków, w tym ataki typu „clickjacking”, „cross-site scripting”, „fałszowanie żądań”, „sniffing pakietów” i „wstrzykiwanie danych”. Polityka bezpieczeństwa treści jest obsługiwana przez wszystkie nowoczesne przeglądarki.

Dyrektywę frame-ancestors Polityki bezpieczeństwa treści można ustawić na none lub self , aby uniemożliwić ramkowanie treści lub ograniczyć jej użycie do granic tej samej witryny internetowej, lub można określić listę zaufanych witryn internetowych wraz z listą typów zawartości każdy może oprawić.

Dodanie poniższej linii do .htaccess ograniczy ramkowanie wszystkich rodzajów treści do bieżącej witryny:

 Zestaw nagłówków Content-Security-Policy „frame-ancestors 'self'”

Poniższa odmiana wymaga użycia protokołu HTTPS:

 Zestaw nagłówków Content-Security-Policy „frame-ancestors 'self' https://mywpsite.com"

Dodaj nagłówek Set-Cookie z atrybutem SameSite

Nagłówek odpowiedzi Set-Cookie służy do przesyłania pliku cookie z serwera do przeglądarki. Skonfigurowanie atrybutu SameSite pozwala ograniczyć korzystanie z plików cookie do bieżącej witryny. Pomaga to zapewnić ochronę przed atakami typu „clickjacking”, które wymagają uwierzytelnienia użytkownika w docelowej witrynie internetowej oraz fałszowaniem żądań między witrynami.

Ustawienie SameSite na strict skutecznie zapobiega wysyłaniu sesyjnych plików cookie, jeśli żądanie zostanie wysłane do docelowej witryny sieci Web w ramce, nawet jeśli użytkownik jest uwierzytelniony w docelowym zasobie. Należy pamiętać, że sam środek nie może złagodzić wszystkich rodzajów ataków polegających na przechwytywaniu kliknięć i fałszowaniu skryptów krzyżowych.

Aby zaimplementować atrybut SameSite nagłówka Set Cookie w swojej witrynie WordPress, dodaj następujący wiersz do pliku .htaccess:

 Zestaw nagłówków Set-Cookie ^(.*)$ "$1; SameSite=Strict; Secure

Prosty test przechwytywania kliknięć

Możesz sprawdzić, czy zawartość Twojej witryny może być ładowana w ramkach z innego zasobu, tworząc prostą stronę HTML. Utwórz plik HTML z poniższym kodem dostarczonym przez OWASP i otwórz go w swojej przeglądarce. Jeśli nie widzisz osadzonej strony internetowej w ramce, pomyślnie ograniczono kadrowanie treści

Pamiętaj, że najlepiej jest przesłać stronę do innej należącej do Ciebie witryny, chyba że całkowicie wyłączyłeś wyświetlanie treści w ramkach. W takim przypadku możesz utworzyć jedną z tych samych witryn, które testujesz. 

<html>
<head>
<title>Clickjacking Test</title>
</head>
<body>
<iframe src="https://mywpsite.com/some-page" width="500" height="500"></iframe>
</body>
</html>

Zapobiegaj przechwytywaniu kliknięć i innym cyberatakom na Twoją witrynę WordPress dzięki iThemes Security Pro

Clickjacking, znany również jako zmiana interfejsu użytkownika, wykorzystuje możliwość załadowania strony internetowej w ramach innej strony internetowej w celu nakłonienia użytkowników do wykonania niepożądanych działań. WordPress Clickjacking stał się bardzo powszechny ze względu na brak wbudowanych zabezpieczeń, które zabezpieczałyby strony internetowe inne niż strona logowania WordPress i pulpit administratora.

Chroń się przed przechwytywaniem kliknięć, ograniczając innym możliwość umieszczania zawartości Twojej witryny w ramkach za pomocą nagłówków odpowiedzi HTTP, takich jak X-FRAME-OPTIONS, Zasady bezpieczeństwa treści i Set-Cookie. Korzystając z lokalnego pliku .htaccess w katalogu instalacyjnym WordPress, możesz łatwo zastosować te zasady bezpieczeństwa w całej witrynie.

Clickjacking pozostaje aktywnym zagrożeniem bezpieczeństwa, a cross-site scripting w połączeniu z fałszowaniem żądań często idzie z nim w parze. Zacznij chronić się przed typowymi zagrożeniami bezpieczeństwa, takimi jak te, ostrożnie podchodząc do wszystkich aspektów bezpieczeństwa witryny WordPress.

iThemes Security Pro oferuje ponad 30 sposobów ochrony najbardziej wrażliwych obszarów witryny WordPress, broniąc ją przed szeroką gamą nowoczesnych, wyrafinowanych taktyk stosowanych przez złośliwe podmioty. Zaawansowane skanowanie pod kątem luk w zabezpieczeniach, uwierzytelnianie bez hasła i monitorowanie integralności plików pozwalają radykalnie zmniejszyć powierzchnię ataku.

BackupBuddy i iThemes Sync Pro pomogą Ci regularnie tworzyć kopie zapasowe witryny WordPress i zapewnią zaawansowane monitorowanie czasu pracy, a także analizy SEO.

Dzięki iThemes będziesz na bieżąco z najnowszymi zagrożeniami bezpieczeństwa i wiadomościami ze społeczności WordPress. Jeśli dopiero zaczynasz przygodę z WordPressem, bezpłatne szkolenie iThemes dotyczące WordPressa może być dokładnie tym, czego potrzebujesz na dobry początek.

Najlepsza wtyczka zabezpieczająca WordPress do zabezpieczania i ochrony WordPress

WordPress obsługuje obecnie ponad 40% wszystkich witryn internetowych, więc stał się łatwym celem dla hakerów o złośliwych zamiarach. Wtyczka iThemes Security Pro usuwa zgadywanie z zabezpieczeń WordPress, aby ułatwić zabezpieczanie i ochronę witryny WordPress. To tak, jakby zatrudnić pełnoetatowego eksperta ds. bezpieczeństwa, który stale monitoruje i chroni Twoją witrynę WordPress.

Pobierz iThemes Security Pro