WordPress GDPR合规性插件漏洞曝光,黑客可接管网站后台

0
1203

超过10万个WordPress网站可能受到重大威胁

自5月底以来,GDPR合规性就一直是任何在欧公司或组织的关键考虑因素。在5月25日GDPR实施这一日期之前,众多GDPR合规性产品和服务就已被投放到了市场中。虽然很多是出于好意,但有时它们也会引发一些自己无法预料的问题。举个例子:近来发现,WordPress GDPR合规性插件上有一对漏洞很容易受到攻击者的利用来攻击自身网站。

在11月初发布的一份报告中,WordPress安全插件开发商WordFence列出了WordPress GDPR合规性插件的一个特权升级缺陷,该缺陷可能会危及超过10万个网站。

“在从WordPress插件库中删除之后,流行的插件WP GDPR合规性发布了1.4.3版本,这一更新修补了多个关键性漏洞。在撰写本文时(本文发表于11月12日),该插件在WordPress存储库中进行了重新发布,并且已经拥有超过10万个活跃的安装。报告的漏洞能够让未经身份验证的攻击者实现特权升级,从而允许他们进一步感染脆弱的网站。任何使用了此插件的网站都应将立即更新到最新版本作为首要任务,或者如果无法更新则禁用并删除它。”

因此,鉴于我们在讨论GDPR合规性这一问题上已经花费了很多时间,今天我们将复习一下什么是WordPress GDPR合规性插件,它的弱点是什么,以及如果要使用它你需要做什么。

让我们开始吧……

什么是WordPress GDPR合规性插件?

WordPress GDPR合规性插件旨在帮助各个网站和组织遵从欧洲的隐私法规。它由Van Ons设计,在本质上由一整套功能组成,比如对联系人表单的支持、重力表单、WooCommerce和WordPress评论。

作为一名网站所有者,WP GDPR合规性能够帮助你:

保留一份针对支持插件的同意日志。

为支持的插件添加复选框,以获得访问者明确的同意。

通过加密审计日志的“访问权”。

匿名用户数据“被遗忘的权利”。

正如我们之前所说,像WordPress这样的CMS的好处之一是能够使用插件,这可以节省网站所有者的时间和资源,否则这些时间和资源就需要花在开发web应用程序和网站的附加功能上。缺点是,有时这些由第三方设计的插件可能会导致不可预见的复杂性——比如禁用证书身份验证。

这就是WordPress GDPR遵从插件的基本情况。

WordPress GDPR合规性插件的关键性漏洞是什么?

漏洞有两个,而且已经被发现了,这意味着它们已经受到了利用。WordFence表示,尽管它还没有看到任何“最终有效负载”,但显然这些漏洞正造成巨大威胁,而这是十分紧迫的。

第一个漏洞更简单,也更为常见:

通过修改设置的管理员访问

这种攻击可以让攻击者创建一个新用户,给予它管理员权限,然后再更改它刚刚所利用的设置来创建新用户——作为一种防止攻击向量再次被利用的方式。

以下列举了一次攻击中的日志条目:

虽然我们不会逐行进行检查,但是你可以看到攻击者可以在哪里启用“users_can_register”选项,创建一个新帐户,然后再禁用注册选项,从而有效地关闭它们后面的窗口。

WordFence看到攻击者安装了一个允许远程访问的PHP webshell。从那里,攻击者可以上传任何他想要的附加的恶意有效负载。

通过注入Cron的后门安装

第二个漏洞稍微复杂一些,但是可以为攻击者提供一个持久的后门,如果它被发现并进行了移除,就可以替换它。这种攻击的工作原理是将恶意的行为注入网站的WP-Cron日程中。这利用了一项允许网站运行预定任务的技术,比如检查更新或推送实时的新内容。

这个漏洞利用了WooCommerce的部分功能:

“……来安装2MB的自动编码插件(Autocode),这允许在网站上的所有帖子中插入任意PHP代码。注入的代码将由2MB 自动编码插件存储在数据库中……”

然后再通过PHP后门脚本修改该设置,这个脚本会从攻击者的服务器上下载响应并将其保存为wp-cache.php,然后再掩盖它的足迹。这会使检测变得十分困难,但又导致可以对网站的后门进行持久访问。

“尽管在这些情况下看到的后门脚本与其他方式享有同样的名称wp-cache,但在内容上有很大的不同。这个脚本包含了部分解码函数和执行语法,而不是自包含的web shell,但是在文件中并没有存储一个有效的执行负载。相反,要解码和执行的有效负载是以POST变量或cookie的形式进行存储的。”

再说一次,WordFence并不知道攻击背后的意图是什么。它知道方式,只是还没有确定最终将会发生什么。尽管如此,拥有管理权限和远程访问网站的潜在危险仍然存在。

我怎么知道我有麻烦了?

WordFence提供了以下感染指标:

普遍的IP地址

管理员创建

  • 234.39.250
  • 234.37.214

Cron注入

  • 39.65.176
  • 123.213.91

攻击者域名已接入:pornman.com

恶意软件散列

管理员创建

  • MD5: b6eba59622630b18235ba2d0ce4fcb65
  • SHA1: 577293e035cce3083f2fc68f684e014bf100faf3

Cron注入:

  • MD5: c62180f0d626d92e29e83778605dd8be
  • SHA1: 83d9688605a948943b05df5c548bea6e1a7fe8da

安装的插件:2MB Autocode(如果你不是故意使用它的)

如果我正在使用WordPress GDPR合规性插件,我需要做什么?

立即更新。在WordFence报告插件暂时下线后,它就已经得到了修复,用户可以再次使用更新后的版本。如果你打算继续使用WordPress GDPR合规性插件,请立即更新它。

另外,搭建WordPress站点,也可以使用必盛互联的管理式WordPress主机,能够自动发布安全预警已经支持WordPress软件和安全包自动升级等功能。

LEAVE A REPLY

Please enter your comment!
Please enter your name here