据来自 Sucuri 和 Malwarebytes 的安全研究员称,本月有成千上万的的
WordPress
网站遭到黑客入侵并被恶意代码攻击。尽管这些事件的入口似乎都不同,但都遵循类似的模式 ——
从已知威胁者处加载恶意代码。

图片 1

研究人员认为入侵者正在想办法获取访问这些网站的机会,他们不是利用
WordPress CMS
本身的漏洞,而是利用过时的主题和插件中的漏洞。当获得对网站的访问权限时,他们会建立一个后门,以便日后访问并修改网站的代码。

XSS跨站脚本攻击

在多数情况下,他们会修改 PHP 或 JavaScript
文件以加载恶意代码,尽管有些用户报告记录了他们对数据库表的修改。

2017年10月19日,阿里云安全威胁情报系统监测到WordPress
官方发布了一条安全通告表示在4.8.1版本中发现了一个存储型的XSS漏洞,通过该漏洞,攻击者可以在受影响网站的评论区写下包含恶意代码的留言,当该留言页面被打开时,其中的恶意代码会执行,导致该网站的权限,插件等被更改,甚至被完全控制,安全风险为高危。
阿里云安全建议站长们关注,并尽快开展自查工作,及时更新WordPress。
具体详情如下:

图片 2

漏洞编号:
暂无
漏洞名称:
WordPress储存型XSS漏洞
官方评级:
高危
漏洞描述:
该漏洞影响WordPress4.8.1版本,攻击者可以未授权通过WordPress的评论注入JavaScript攻击代码。评论被查看的时候,JavaScript就触发了。如果管理员登陆查看评论触发后,可能导致攻击者进入后台通过主题或插件编辑从而命令执行控制整个服务器,安全风险为高危
漏洞利用条件和方式:
远程利用
PoC状态:
目前PoC已经公开
漏洞影响范围:
受影响的版本 WordPress 4.8.1
不受影响的版本 WordPress 4.8.2
漏洞检测:
开发或运维人员排查是否使用了受影响版本范围内的WordPress。

Malwarebytes 安全研究员 JérômeSegura
表示,这种恶意代码会筛选访问过受感染网站的用户,并将一些用户重定向到技术支持诈骗网站。其中一些技术支持骗局正是利用
Google Chrome 的 “evil
cursor” 漏洞,阻止用户关闭恶意网站。

漏洞修复建议(或缓解措施)如下:

这场 WordPress 网站劫持活动于本月开始,并在最近几天加剧。将这次攻击的
JavaScript 恶意代码片断放到搜索引擎搜索,会有超过 2,500
个结果。而这只被黑客攻击的网站总数的一小部分。

目前已经发布最新版本4.8.2 ,建议用户登录到面板点击“更新升级”修复该漏洞;

用户进入WordPress后台页面,选择“仪表盘”,可一键更新至WordPress最新版本。

图片 3

art97

图片 4

4.8.1版本WordPress用户若不想升级,可以关闭所有文章页面的评论;

打开所用主题的function.php文件,将以下代码添加进文件中,保存后重新上传到服务器。

//禁用页面的评论功能
function disable_page_comments( $posts ) {
    if ( is_page()) {
    $posts[0]->comment_status = 'disabled';
    $posts[0]->ping_status = 'disabled';
}
return $posts;
}
add_filter( 'the_posts', 'disable_page_comments' );

编译自:zdnet

使用阿里云服务器,启用阿里云安全WAF可支持该漏洞防御。购买阿里云服务器同时可领取幸运券享受优惠活动

(文/开源中国)    

阿里云服务器优惠券领取:点击领取

小科普:存储型XSS漏洞是什么?存储型XSS漏洞具有持久化,被插入的恶意代码是存储在服务器中的,如:在个人信息或发表文章等地方,如果没有过滤或过滤不严,那么这些代码将储存到服务器中,用户访问该页面的时候触发代码执行,这种存储类型的XSS漏洞安全风险很高,容易造成蠕虫,盗窃cookie等。反射型XSS漏洞是什么?反射型XSS,它具有非持久化特性,需要欺骗用户自己去点击(用户交互)链接才能触发XSS代码(服务器中没有这样的页面和内容),一般容易出现在搜索页面。
文章来自http://www.52aite.cn