Как удалить или заблокировать загруженные файлы в WordPress через .htaccess

Диагностика проблемы с загруженными файлами WordPress

Иногда возникает необходимость ограничить доступ к определённым типам загруженных файлов в папке wp-content/uploads или полностью заблокировать доступ к отдельным файлам. Проблемы могут проявляться как нежелательная индексация медиафайлов, утечка конфиденциальных данных или атаки через загруженный контент (например, скрипты в SVG, PHP-файлах).

Чтобы диагностировать проблему, проверьте текущие правила в .htaccess в корне сайта и в папке uploads. Также проверьте, доступны ли нежелательные файлы напрямую по URL, например https://example.com/wp-content/uploads/secret.pdf.

Пошаговое решение: блокировка и удаление файлов через .htaccess

1. Создание резервной копии .htaccess

Перед любыми изменениями создайте резервную копию текущего файла .htaccess:

cp /path/to/wordpress/.htaccess /path/to/wordpress/.htaccess.backup

2. Блокировка доступа к файлам по расширениям

Добавьте следующий код в .htaccess в корне сайта для запрета доступа к опасным или нежелательным типам файлов в папке uploads:

# Блокировка доступа к определённым типам файлов в uploads
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{REQUEST_URI} ^/wp-content/uploads/.*\.(php|phtml|exe|sh|js|svg)$ [NC]
RewriteRule .* - [F,L]
</IfModule>

Пояснение:

• RewriteCond проверяет URL на наличие опасных расширений (php, svg и др.)
• RewriteRule возвращает ошибку 403 Forbidden для таких файлов

3. Удаление конкретных файлов через командную строку

Для удаления определённых файлов (например, старых резервных копий или подозрительных скриптов) используйте SSH и команду:

find /path/to/wordpress/wp-content/uploads -type f -name 'backup_*.zip' -delete

Проверка результата после внедрения

1. Попробуйте открыть в браузере URL с запрещёнными файлами, например:

• https://example.com/wp-content/uploads/malicious.php
• https://example.com/wp-content/uploads/vector.svg

Если настроено верно, сервер должен возвращать 403 Forbidden.

2. Проверьте логи сервера на наличие ошибок или попыток доступа к заблокированным файлам.

Частые ошибки и как их исправить

• Правила .htaccess не работают: Убедитесь, что на сервере включен модуль mod_rewrite Apache. Для nginx используйте аналогичные правила в конфигурации.
• Блокировка не срабатывает на вложенных папках: Проверьте, что правила применяются рекурсивно к папке uploads.
• Файлы с другими расширениями остаются доступны: Добавьте нужные расширения в правило RewriteCond.
• После изменений сайт перестал работать: Восстановите резервную копию .htaccess и проверьте синтаксис.

Практические советы по безопасности и производительности

• Регулярно сканируйте папку uploads на наличие подозрительных файлов с помощью WP-плагинов или сторонних сканеров.
• Для SVG файлов используйте специализированные плагины, которые фильтруют и очищают SVG-контент, чтобы избежать XSS-атак.
• Ограничьте права на запись в папку uploads, чтобы предотвратить загрузку исполняемых файлов.
• Для высоконагруженных сайтов используйте серверные правила (nginx или Apache) для блокировки, это эффективнее, чем проверка на уровне PHP.

Сравнение способов блокировки доступа к файлам