网站被黑该怎么修复漏洞

简介: 近日wordpress被爆出高危的网站漏洞,该漏洞可以伪造代码进行远程代码执行,获取管理员的session以及获取cookies值,漏洞的产生是在于wordpress默认开启的文章评论功能,该功能在对评论的参数并没有进行详细的安全过滤与拦截,导致可以绕过安全检测,直接提交html标签,导致可以写入XSS代码,对其CSRF跨站伪造攻击,很多在谷歌做的推广外贸站点导致被跳转到其他站点. 该网站漏洞的影响范围较广,几乎是通杀所有的wordpress博客网站,低于5.1.1版本的系统,据SINE安全统计国内,以及国外,受漏洞攻击影响的网站达到数百万个。
+关注继续查看

近日wordpress被爆出高危的网站漏洞,该漏洞可以伪造代码进行远程代码执行,获取管理员的session以及获取cookies值,漏洞的产生是在于wordpress默认开启的文章评论功能,该功能在对评论的参数并没有进行详细的安全过滤与拦截,导致可以绕过安全检测,直接提交html标签,导致可以写入XSS代码,对其CSRF跨站伪造攻击,很多在谷歌做的推广外贸站点导致被跳转到其他站点.

3b1bc7dd75274d32b5c4d32381516070.jpeg

该网站漏洞的影响范围较广,几乎是通杀所有的wordpress博客网站,低于5.1.1版本的系统,据SINE安全统计国内,以及国外,受漏洞攻击影响的网站达到数百万个。

我们来详细的分析该网站漏洞,wp官方其实有考虑到评论功能的安全问题,特意的使用wpnonce安全机制,对于一些html标签,A类的html标签都会进行拦截,通过代码可以看出来,整体上的安全过滤拦截,还是不错的,一般的JS地址都插入不到评论当中去。我们来看下过滤代码:

fc6b1a28218b44edbbb33163ec7d5e3c.png

上面的代码可以看出当用户进行评论的时候,会POST发送参数,那么wp_filter-kses负责过滤非法的参数,一般的html标签都会被拦截掉,只会允许白名单里的A标签进行插入评论,问题的根源就在于wp的白名单机制可以到导致写入恶意代码到评论当中去,我们对整个评论的过程了解清楚后就知道,我们构造函数通过拼接双引号的方式去进行构造,然后进行评论,系统自动将一些特殊代码进行去除,导致双引号可以正常的插入到代码中,恶意代码构造成功,漏洞的前提是需要诱惑管理员去看这条评论,然后将鼠标移动到这条评论的时候,才会导致该wordpress漏洞的发生,网站被黑被篡改和劫持,处理起来很麻烦,你需要去找出来它的病毒文件在哪里然后删除,有一些是被隐藏起来的不好找,要不就是加到代码里面了,在代码里面去找一个木马也是一件不简单的事情。如果是你自己写的网站熟悉还好,不是自己写的,建议找专业的网站安全公司来处理解决网站被篡改的问题,像Sinesafe,绿盟那些专门做网站安全防护的安全服务商来帮忙。

b12b12b5ea3a48a6b4e7b2eb73351137.png

我们对漏洞分析完后,才发现该漏洞的利用需要一定的条件才可以,如果是评论自己的文章是没有任何的安全拦截,可以随便写,所以在评论的时候也是要求是管理员自己写的文章才可以利用该漏洞,总体来说wordpress的安全机制还是很不错的,但一个网站管理员的权限,也是要进行详细的权限过滤,不能什么都可以操作,权限安全做到最大化,才能避免漏洞的发生,关于wordpress漏洞修复,可以登录WP系统的后台进行版本的更新,在线自动修复漏洞。

相关文章
|
11月前
|
安全 前端开发 网络安全
公司网站有高危逻辑漏洞要修复怎么办
在我SINE安全对客户网站进行逻辑漏洞检测的时候,逻辑漏洞就是指由于程序结构输入管理不紧,造成程序代码不能够 正常解决或错误处理,一般发生在新用户注册、找回密码、信息内容查询、网上交易结算额度等。我将全部逻辑漏洞的现象分成前端开发和后端开发2个组成部分,整体构思全部都是先检测前端开发再检测后端开发。在我解读中实际上便是能提升标准限定的便是漏洞【像无法更改的,利用抓包就能够更改了】。
68 0
公司网站有高危逻辑漏洞要修复怎么办
|
安全 前端开发 JavaScript
渗透测试 越权漏洞的检测与修复
渗透测试在网站,APP刚上线之前是一定要做的一项安全服务,提前检测网站,APP存在的漏洞以及安全隐患,避免在后期出现漏洞,给网站APP运营者带来重大经济损失,很多客户找到我们SINE安全公司做渗透测试服务的同时,我们积累了十多年的漏洞检测经验,对客户的网站各项功能以及APP进行全面的安全检测,下面我们就对渗透测试中的一些知识点跟大家科普一下:
480 0
渗透测试 越权漏洞的检测与修复
|
SQL 安全 前端开发
网站漏洞检测 wordpress sql注入漏洞代码审计与修复
wordpress系统本身代码,很少出现sql注入漏洞,反倒是第三方的插件出现太多太多的漏洞,我们SINE安全发现,仅仅2019年9月份就出现8个插件漏洞,因为第三方开发的插件,技术都参差不齐,对安全方面也不是太懂导致写代码过程中没有对sql注入,以及xss跨站进行前端安全过滤,才导致发生sql注入漏洞。
330 0
网站漏洞检测 wordpress sql注入漏洞代码审计与修复
|
缓存 安全 NoSQL
网站被攻击 如何查找漏洞并进行修复
很多公司的网站被攻击,导致网站打开跳转到别的网站上去,网站快照也被篡改,收录一些非法的内容快照,有些网站数据库都被篡改,修改了会员资料,数据库被删除,等等攻击症状,我们SINE安全在解决客户网站被攻击的问题,发现都是由于网站存在漏洞导致的,攻击者利用网站的漏洞对网站进行攻击,上传webshell文件,进而对网站进行篡改。
100 0
网站被攻击 如何查找漏洞并进行修复
|
SQL 安全 前端开发
网站漏洞修复 被上传webshell漏洞修补
近日,我们SINE安全在对某客户的网站进行网站漏洞检测与修复发现该网站存在严重的sql注入漏洞以及上传webshell网站木马文件漏洞,该网站使用的是某CMS系统,采用PHP语言开发,mysql数据库的架构,该网站源码目前是开源的状态。
256 0
网站漏洞修复 被上传webshell漏洞修补
|
SQL 安全 Oracle
网站漏洞如何修复jeecms网站程序
jeecms 最近被爆出高危网站漏洞,可以导致网站被上传webshell木马文件,受影响的版本是jeecms V6.0版本到jeecmsV7.0版本。该网站系统采用的是JAVA语言开发,数据库使用的是oracle,mysql,sql数据库,服务器系统支持windows2008,windows2012,以及linux centos系统。
271 0
网站漏洞如何修复jeecms网站程序
|
安全 JavaScript PHP
如何对ecshop网站漏洞进行修复防止被入侵
ecshop目前最新版本为4.0,是国内开源的一套商城系统,很多外贸公司,以及电商平台都在使用,正因为使用的人数较多,很多攻击者都在挖掘该网站的漏洞,就在最近ecshop被爆出高危漏洞,该漏洞利用跨站伪造函数,来对网站数据库进行攻击。
281 0
如何对ecshop网站漏洞进行修复防止被入侵
|
安全 前端开发 关系型数据库
网站漏洞修复之逻辑漏洞修补的方法
在网站安全的日常安全检测当中,我们SINE安全公司发现网站的逻辑漏洞占比也是很高的,前段时间某酒店网站被爆出存在高危的逻辑漏洞,该漏洞导致酒店的几亿客户的信息遭泄露,包括手机号,姓名,地址都被泄露,后续带来的损失很大,最近几年用户信息泄露的事件时有发生,给很多企业,酒店都上了一堂生动的安全课。关于网站逻辑漏洞的总结,今天跟大家详细讲解一下。
356 0
网站漏洞修复之逻辑漏洞修补的方法
|
SQL 安全 测试技术
Thinkphp网站漏洞怎么修复解决
THINKPHP漏洞修复,官方于近日,对现有的thinkphp5.0到5.1所有版本进行了升级,以及补丁更新,这次更新主要是进行了一些漏洞修复,最严重的就是之前存在的SQL注入漏洞,以及远程代码执行查询系统的漏洞都进行了修复,官方本以为没有问题了,但是在实际的安全检测当中发现,还是存在问题,还是可以远程代码进行注入,插入非法字符,提交到服务器后端中去。
257 0
Thinkphp网站漏洞怎么修复解决
|
SQL 安全 Linux
discuz网站漏洞修复X3.2 X3.4版本 SQL注入修复网站漏洞
2018年12月9日,国内某安全组织,对discuz X3.2 X3.4版本的漏洞进行了公开,这次漏洞影响范围较大,具体漏洞是discuz 的用户前段SQL注入与请求伪造漏洞,也俗称SSRF漏洞,漏洞产生的原因首先:php环境的版本大约PHP5.2,dizcuzX3.2 X3.4版本,服务器环境是windows 2008 2003 2012系统,linux centos不受此漏洞的影响。
401 0
discuz网站漏洞修复X3.2 X3.4版本 SQL注入修复网站漏洞
推荐文章
更多