Lỗ hổng WordPress trong mã ngắn Tác động cuối cùng lên 700.000 trang web

lỗ hổng wordpress, Lỗ hổng WordPress trong mã ngắn Tác động cuối cùng lên 700.000 trang web,

WordPress ban đầu được ra mắt như một nền tảng blog mà sau này trở thành giải pháp web hoàn chỉnh như ngày nay, cho các cửa hàng thương mại điện tử, blog, tin tức và các ứng dụng cấp doanh nghiệp. Sự phát triển này của WordPress đã mang lại nhiều thay đổi cho cốt lõi của nó và làm cho nó ổn định và an toàn hơn so với các phiên bản trước. Trong bài viết này, chúng tôi sẽ khám phá khác nhau lỗ hổng WordPress bảo mật và sẽ học cách tránh và sửa chúng để giữ an toàn!

Các lỗ hổng WordPress và các vấn đề bảo mật

Chúng ta sẽ thấy từng vấn đề và giải pháp của nó từng cái một.

  1. Tấn công Brute Force
  2. SQL Injection
  3. phần mềm độc hại
  4. Cross-Site Scripting
  5. Tấn công DDoS
  6. Xưa WordPress và phiên bản PHP
lỗ hổng wordpress, Lỗ hổng WordPress trong mã ngắn Tác động cuối cùng lên 700.000 trang web,
lỗ hổng wordpress

1. Tấn công vũ phu

Theo thuật ngữ của Cư sĩ, Tấn công Brute Force liên quan đến nhiều cách tiếp cận thử và sai bằng cách sử dụng hàng trăm cách kết hợp để đoán đúng tên người dùng hoặc mật khẩu. Điều này được thực hiện bằng cách sử dụng các thuật toán và từ điển mạnh mẽ để đoán mật khẩu bằng cách sử dụng một số loại ngữ cảnh.

Kiểu tấn công này rất khó thực hiện nhưng nó vẫn là một trong những cuộc tấn công phổ biến được thực hiện trên WordPress các trang web. Theo mặc định, lỗ hổng wordpress không chặn người dùng thử nhiều lần thử thất bại, điều đó cho phép con người hoặc bot thử hàng ngàn kết hợp mỗi giây.

Việc tránh Lực lượng vũ phu khá đơn giản. Tất cả những gì bạn phải làm là tạo mật khẩu mạnh bao gồm chữ hoa, chữ thường, số và các ký tự đặc biệt vì mỗi ký tự có các giá trị ASCII khác nhau và sẽ rất khó để đoán một mật khẩu dài và phức tạp. Tránh sử dụng mật khẩu như johnny123 or mật khẩu.

Ngoài ra, tích hợp Xác thực hai yếu tố để xác thực người dùng đăng nhập vào trang web của bạn hai lần. Xác thực hai yếu tố là một plugin tuyệt vời để sử dụng.

lỗ hổng wordpress, Lỗ hổng WordPress trong mã ngắn Tác động cuối cùng lên 700.000 trang web,

2. SQL tiêm

Một trong những vụ hack lâu đời nhất trong cuốn sách hack web là tiêm truy vấn SQL để thực hiện hoặc phá hủy hoàn toàn cơ sở dữ liệu bằng bất kỳ biểu mẫu web hoặc trường nhập liệu nào.

Khi xâm nhập thành công, tin tặc có thể thao túng cơ sở dữ liệu MySQL và hoàn toàn có thể có quyền truy cập vào WordPress quản trị viên hoặc chỉ cần thay đổi thông tin đăng nhập của nó để gây thiệt hại thêm.

Cuộc tấn công này thường được thực hiện bởi các tin tặc nghiệp dư đến tầm thường, những người chủ yếu đang kiểm tra khả năng hack của họ.

Bằng cách sử dụng plugin, bạn có thể xác định xem trang web của mình có phải là nạn nhân của SQL Injection hay không. Bạn có thể sử dụng WPScan or Sucuri SiteCheck để kiểm tra xem

Ngoài ra, cập nhật của bạn WordPress cũng như bất kỳ chủ đề nào hoặc plugin mà bạn nghĩ có thể gây ra vấn đề. Kiểm tra tài liệu của họ và truy cập diễn đàn hỗ trợ của họ để báo cáo các vấn đề như vậy để họ có thể phát triển một bản vá.

3. Phần mềm độc hại

Mã độc được tiêm vào lỗ hổng wordpress thông qua một chủ đề bị nhiễm, plugin hoặc tập lệnh lỗi thời. Mã này có thể trích xuất dữ liệu từ trang web của bạn cũng như chèn nội dung độc hại có thể không được chú ý do tính chất kín đáo của nó.

Phần mềm độc hại có thể gây ra thiệt hại từ nhẹ đến nghiêm trọng nếu không được xử lý đúng hạn. Đôi khi toàn bộ WordPress trang web cần phải được cài đặt lại vì nó đã ảnh hưởng đến cốt lõi. Điều này cũng có thể thêm chi phí vào chi phí lưu trữ của bạn vì một lượng lớn dữ liệu được chuyển hoặc đang được lưu trữ bằng trang web của bạn.

Thông thường, phần mềm độc hại thực hiện theo cách thông qua các plugin bị nhiễm và các chủ đề null. Bạn chỉ nên tải xuống các chủ đề từ các tài nguyên đáng tin cậy không có nội dung độc hại.

Các plugin bảo mật như Succuri hoặc WordFence có thể được sử dụng để quét toàn bộ và sửa phần mềm độc hại. Trong trường hợp xấu nhất, hãy tham vấn với WordPress chuyên gia.

4. Kịch bản chéo trang web

Một trong những các cuộc tấn công phổ biến nhất is Cross-Site Scripting còn được gọi là tấn công XSS. Trong kiểu tấn công này, kẻ tấn công tải mã JavaScript độc hại mà khi được tải ở phía máy khách sẽ bắt đầu thu thập dữ liệu và có thể chuyển hướng đến các trang web độc hại khác ảnh hưởng đến trải nghiệm người dùng.

Để tránh kiểu tấn công này sử dụng xác thực dữ liệu phù hợp trên WordPress Địa điểm. Sử dụng khử trùng đầu ra để đảm bảo đúng loại dữ liệu được chèn. Các plugin như Ngăn ngừa lỗ hổng XSS cũng có thể được sử dụng.

lỗ hổng wordpress, Lỗ hổng WordPress trong mã ngắn Tác động cuối cùng lên 700.000 trang web,

5. Tấn công DDoS

Bất cứ ai đã duyệt mạng hoặc quản lý một trang web có thể đã gặp phải cuộc tấn công DDoS khét tiếng.

Dịch vụ từ chối phân tán (DDoS) là phiên bản nâng cao của Từ chối dịch vụ (DoS) trong đó một khối lượng lớn yêu cầu được gửi đến một máy chủ web khiến nó chậm và cuối cùng gặp sự cố.

DDoS được thực thi bằng cách sử dụng một nguồn trong khi DDoS là một cuộc tấn công có tổ chức được thực hiện thông qua nhiều máy trên toàn cầu. Mỗi năm, hàng triệu đô la bị lãng phí do cuộc tấn công bảo mật web khét tiếng này.

Các cuộc tấn công DDoS rất khó để ngăn chặn bằng cách sử dụng các kỹ thuật thông thường. Máy chủ web đóng một phần quan trọng trong việc che chắn của bạn lỗ hổng wordpress trang web khỏi các cuộc tấn công như vậy.

Ví dụ: nhà cung cấp dịch vụ lưu trữ đám mây được quản lý Cloudways quản lý bảo mật máy chủ và gắn cờ bất kỳ thứ gì đáng ngờ trước khi nó có thể gây ra bất kỳ thiệt hại nào cho trang web của khách hàng.

Cảnh báo lỗ hổng WordPress chưa khắc phục

Một lỗ hổng WordPress nguy hiểm đang tồn tại trong tất cả các phiên bản của WordPress. Lỗ hổng cho phép tin tặc xóa các tệp tin trên máy chủ và chiếm quyền điều khiển website. Các quản trị cần quan tâm và cập nhật bản vá nóng (hotfix) ngay.

Lỗ hổng nghiêm trọng trong WP Time Capsule cũng dẫn đến vượt qua xác thực, cho phép tin tặc đăng nhập với vai trò quản trị viên mà không cần xác thực. WP Time Capsule được sử dụng trên khoảng 20.000 website, được thiết kế để sao lưu dữ liệu trang web một cách dễ dàng hơn.

Bằng cách thêm vào chuỗi độc hại trong yêu cầu POST, tin tặc có thể lấy được danh sách tất cả các tài khoản quản trị và tự động đăng nhập vào tài khoản đầu tiên. Lỗ hổng đã được vá trong phiên bản 1.21.16. Các website cần cập nhật ngay phiên bản mới của plugin này.

Lỗ hổng này nằm trong chức năng xóa bài viết của WordPress. Tin tặc có thể lợi dụng để gửi yêu cầu xóa để chèn vào các đoạn mã độc. Từ đó có thể xóa bất cứ tập tin nào trên máy chủ.

Cụ thể, khi thực hiện xóa bài, lỗ hổng wordpress sẽ thực hiện xoá cả tập tin thumb tương ứng với bài viết đó nếu tồn tại. Thông tin về tệp tin thumb được gửi lên từ biến post trong gói tin HTTP. Việc xoá tệp tin này không thông qua các bước kiểm tra an ninh. Khi đó, hacker có thể thay đổi giá trị của biến thumb của bài viết để xóa bất cứ tệp tin nào.

lỗ hổng wordpress, Lỗ hổng WordPress trong mã ngắn Tác động cuối cùng lên 700.000 trang web,
lỗ hổng wordpress

Các tệp tin bị xoá có thể là bất kỳ tập tin nào trên thư mực hosting của website, bao gồm cả những tệp quan trọng như .htaccess (chứa một số thông số bảo mật), index.php, wp-config.php (tệp tin cấu hình của website). Việc này có thể gây ra những thiệt hại vô cùng lớn cho các website và có thể khiển chủ nhân website mất dữ liệu vĩnh viễn nếu không được sao lưu. Khai thác lỗ hổng này tin tặc thực hiện thêm nhiều chiêu thức tấn công khác, kể cả tạo tài khoản quản trị mới để chiếm quyền điều hành.

Các chuyên mục nội dung liên quan

Trả lời

Email của bạn sẽ không được hiển thị công khai.