视频二区国产精品职场同事_日韩精品网站免费进入_最近的中文字幕在线mv视频_波多野A∨无码高清中文_骚虎999在线视频免费观看_欧美视频国产区一区二区_亚洲动作一级片高清无码_久久精品韩国日本国产_丁香花免费高清视频完整版_惠民福利亚洲欧美精品一中文字幕

        到目前為止，WordPress 是互聯(lián)網(wǎng)上使用最廣泛的網(wǎng)站構建技術。根據(jù)最新統(tǒng)計數(shù)據(jù)，所有互聯(lián)網(wǎng)網(wǎng)站中超過 35％ 的網(wǎng)站運行 WordPress CMS（內(nèi)容管理系統(tǒng)）版本。

　　由于安裝數(shù)量眾多，WordPress 是一個巨大的攻擊面。與去年相比在過去的幾個月中，嘗試攻擊 WordPress 的黑客一直處于較低水平。造成這種停機的原因可能是冬季假期，正如我們在前幾年所看到的那樣，這通常會導致惡意軟件和黑客活動在全球范圍內(nèi)放緩，因為黑客也會休息一下。

　　在過去的兩周中，我們發(fā)現(xiàn)針對 WordPress 網(wǎng)站的攻擊有所復蘇，這標志著 12 月和 1 月相對平靜的時期已經(jīng)結束。

　　Wordfence、WebARX 和 NinTechNet 等幾家專門研究 WordPress 安全產(chǎn)品的網(wǎng)絡安全公司報告說，對 WordPress 網(wǎng)站的攻擊越來越多。上個月發(fā)現(xiàn)的所有新攻擊都集中在利用 WordPress 插件中的錯誤，而不是利用 WordPress 本身。

　　許多攻擊都針對最近修補的插件漏洞，黑客希望在站點管理員安裝補丁之前劫持網(wǎng)站。一些攻擊利用了 0 day 漏洞，攻擊過程也更加復雜。

　　以下是 2 月份發(fā)生的一些 WordPress 攻擊活動的摘要，這些活動針對 WordPress 插件漏洞。

　　建議網(wǎng)站管理員更新以下列出的所有 WordPress 插件，因為它們很可能在整個 2020 年甚至更長時間內(nèi)都將被利用。

　　Duplicator

　　根據(jù) Wordfence 的一份報告，自 2 月中旬以來，黑客利用了 Duplicator 中的一個漏洞，該插件允許站點管理員導出其站點的內(nèi)容。

　　該漏洞在 1.3.28 中修復，攻擊者可以從中導出站點副本，從中提取數(shù)據(jù)庫憑據(jù)，然后劫持 WordPress 站點的底層 MySQL 服務器。更糟糕的是，Duplicator 是 WordPress 門戶網(wǎng)站上最流行的插件之一，大約在 2 月 10 日，在攻擊開始時安裝了 100 多萬個。這個插件的商業(yè)版本 Duplicator Pro，有 170000 個站點安裝，也受到了影響。

　　Profile Builder

　　Profile Builder 插件的免費和專業(yè)版本中還有另一個重要的 bug。該漏洞允許黑客在 WordPress 網(wǎng)站注冊未經(jīng)授權的管理員帳戶。該漏洞于 2 月 10 日修補，但攻擊始于 2 月 24 日，即 POC 代碼在網(wǎng)上發(fā)布的同一天。據(jù)報道，至少有兩個黑客組織正在利用這個漏洞。

　　超過 65000 個站點（50000 個使用免費版本，15000 個使用商業(yè)版本）易受攻擊，除非他們將插件更新到最新版本。

　　ThemeGrill Demo Importer

　　據(jù)信，利用上述插件的同兩個黑客組織還將目標鎖定在 ThemeGrill 演示導入程序中的一個 bug 上，ThemeGrill 是一家商業(yè) WordPress 主題供應商，該插件附帶ThemeGrill出售的主題。

　　這個插件安裝在超過 200000 個站點上，這個 bug 允許用戶刪除運行易受攻擊版本的站點，如果滿足某些條件，接管“admin”帳戶。

　　攻擊，已經(jīng)被 Wordfence、WebARX 和 Twitter 上的獨立研究人員證實。POC 代碼也可以在線獲得。建議用戶盡快更新到 v1.6.3。

　　ThemeREX Addons

　　還發(fā)現(xiàn)針對 ThemeREX Addons 的攻擊，該插件是預裝所有 ThemeREX 商業(yè)主題的 WordPress 插件。

　　根據(jù) Wordfence 的報告，攻擊始于 2 月 18 日，當時黑客在插件中發(fā)現(xiàn)了一個零日漏洞，并開始利用該漏洞在易受攻擊的網(wǎng)站上創(chuàng)建惡意管理員帳戶。

　　盡管攻擊仍在進行中，但始終沒有提供修補程序，建議站點管理員盡快從其站點中刪除該插件。

　　Flexible Checkout Fields for WooCommerce

　　攻擊還針對運行 WooCommerce 插件的“靈活結帳字段”插件的網(wǎng)站，該插件安裝在 20,000 多個基于 WordPress 的電子商務網(wǎng)站上。

　　黑客使用了一個（現(xiàn)在已修補）的零日漏洞來注入 XSS 攻擊，該攻擊可以在已登錄管理員的儀表板中觸發(fā)。XSS 有效加載使黑客能夠在易受攻擊的站點上創(chuàng)建管理員帳戶。

　　Async JavaScript、10Web Map Builder for Google Maps、Modern Events Calendar Lite

　　在 AsyncJavaScript、10WebMapBuilderforGoogleMaps、ModernEventsCalendarLite 插件中也發(fā)現(xiàn)了三個類似的 0 day 漏洞。這些插件分別用于100000、20000 和 40000 個站點。

　　（本文章轉載自網(wǎng)絡，該文章版權歸原作者所有。如涉及知識產(chǎn)權問題請盡快聯(lián)系我們，以保障您的合法權益）