安裝這些WordPress網(wǎng)站插件趕緊更新

3月2日 消息:到目前為止，wordpress是互聯(lián)網(wǎng)上使用最廣泛的網(wǎng)站建站技術(shù)。根據最近的統計，超過(guò)35%的互聯(lián)網(wǎng)網(wǎng)站使用WordPress CMS(內容管理系統)。

由于WordPress有著(zhù)大量的用戶(hù)，也就成為攻擊者的目標。據報道，今年 2 月份以來(lái)，針對WordPress網(wǎng)站的攻擊越來(lái)越頻繁。幾家專(zhuān)門(mén)從事WordPress安全產(chǎn)品的網(wǎng)絡(luò )安全公司，如Wordfence、WebARX和NinTechNet，已經(jīng)報道了對WordPress站點(diǎn)的攻擊數量不斷增加。

2 月份，有報發(fā)現所有新攻擊都集中在利用WordPress插件中的漏洞，而不是WordPress本身的問(wèn)題。許多攻擊的目標是最近修補的插件漏洞，黑客希望在網(wǎng)站管理員有機會(huì )安裝安全補丁之前劫持網(wǎng)站。

然而，也有一些攻擊也稍微復雜一點(diǎn)。一些攻擊者還發(fā)現并開(kāi)始利用零日漏洞。以下是以下是二月份發(fā)生的針對新WordPress插件漏洞攻擊的總結。建議網(wǎng)站管理員趕緊更新下列出現的WordPress插件，避免相關(guān)網(wǎng)站接下來(lái)遭黑客攻擊利用。

Duplicator

根據Wordfence的一份報告，自 2 月中旬以來(lái)，黑客已經(jīng)利用了Duplicator中的一個(gè)漏洞，這是一個(gè)允許站點(diǎn)管理員導出其站點(diǎn)內容的插件。

該漏洞允許攻擊者導出該站點(diǎn)的副本，并從中提取數據庫憑證，然后劫持WordPress站點(diǎn)的底層MySQL服務(wù)器，之后在1.3. 28 修復。

更糟糕的是，Duplicator是WordPress門(mén)戶(hù)上最流行的插件之一，大約在 2 月 10 日攻擊開(kāi)始時(shí)，其安裝量超過(guò) 100 多萬(wàn)次。另外 17 萬(wàn)個(gè)站點(diǎn)上安裝的該插件的商業(yè)版本Duplicator Pro也受到了影響。

Profile Builder

免費版和專(zhuān)業(yè)版的Profile Builder插件中還有另一個(gè)主要漏洞，允許黑客在WordPress網(wǎng)站上注冊未經(jīng)授權的管理帳戶(hù)。

該漏洞于 2 月 10 日被修復，但攻擊開(kāi)始于 2 月 24 日。根據報告，至少有兩個(gè)黑客組織正在利用這個(gè)漏洞。超過(guò)65， 000 個(gè)站點(diǎn)(50， 000 個(gè)使用免費版本，15， 000 個(gè)使用商業(yè)版本)容易受到攻擊，除非它們將插件更新到最新版本。

ThemeGrill Demo Importer

另外一個(gè)漏洞存在于ThemeGrill Demo Importer，該插件附帶了出售商業(yè)WordPress主題的web開(kāi)發(fā)公司ThemeGrill出售的主題。

WordPress安全公司W(wǎng)ebARX表示，老版本的ThemeGrill Demo Importer很容易受到未經(jīng)身份驗證的攻擊者的遠程攻擊。黑客可以將站點(diǎn)的內容重置為零，有效地清除了所有WordPress站點(diǎn)中ThemeGrill主題激活的內容，并且安裝了易受攻擊的插件。

此外，如果站點(diǎn)的數據庫包含一個(gè)名為“admin”的用戶(hù)，那么攻擊者將被授予對該用戶(hù)的訪(fǎng)問(wèn)權，該用戶(hù)擁有站點(diǎn)的完全管理員權限。超過(guò) 20 萬(wàn)個(gè)站點(diǎn)安裝了這一插件，建議盡快更新至v1.6. 3 版本。

 ThemeREX Addons

安全人員還發(fā)現了針對ThemeREX插件的攻擊，這是一個(gè)預裝了所有ThemeREX商業(yè)主題的WordPress插件。根據Wordfence的報告，攻擊始于 2 月 18 日，當時(shí)黑客發(fā)現了插件的零日漏洞，并開(kāi)始利用它在易受攻擊的站點(diǎn)上創(chuàng )建流氓管理帳戶(hù)。

盡管攻擊仍在繼續，但始終沒(méi)有提供補丁，網(wǎng)站管理員被建議盡快從他們的網(wǎng)站刪除插件。

Flexible Checkout Fields for WooCommerce

攻擊還針對運行 Flexible Checkout Fields for WooCommerce插件的網(wǎng)站，該插件安裝在超過(guò)20， 000 個(gè)基于WordPress的電子商務(wù)網(wǎng)站上。

黑客利用一個(gè)(現已修補)零日漏洞注入XSS有效負載，可在登錄管理員的儀表板中觸發(fā)。XSS的有效載荷允許黑客在易受攻擊的網(wǎng)站上創(chuàng )建管理賬戶(hù)。

自 2 月 26 日[1，2]以來(lái)，該類(lèi)型攻擊一直在進(jìn)行。

此外， Async JavaScript、10Web Map Builder for Google Maps、Modern Events Calendar Lite 三款插件也存在類(lèi)似的零日漏洞，它們分別應用在了100，000、20， 000 和40， 000 個(gè)站點(diǎn)。（zdnet）

發(fā)布者：水橋丶帕露西