内容简介:据外媒报道,黑客发现了一种在运行开源 CMS 系统 WordPress 的网站上安装后门插件的前所未有的方法,这个方法依赖于使用弱保护的 WordPress.com 帐户和 Jetpack 插件。 这个方法非常复杂,为了拿下一个网站,黑客...
据外媒报道,黑客发现了一种在运行开源 CMS 系统 WordPress 的网站上安装后门插件的前所未有的方法,这个方法依赖于使用弱保护的 WordPress.com 帐户和 Jetpack 插件。
这个方法非常复杂,为了拿下一个网站,黑客必须经历不同的步骤,并且在此过程中,多件事情的出现就会导致攻击失败。尽管如此,据 WordPress 的报告,自 5 月 16 日后,依然出现不少被攻击的案例。
攻击步骤大致如下:
黑客从公开漏洞中获取用户名和密码,并尝试登录 WordPress.com 帐户,使用相同密码并且没启用双因子认证的用户特别容易受到攻击
黑客通过 Jetpack 安装后台插件,它是 WordPress 网站最受欢迎的插件之一。该插件的特点是能够将自主托管的 WordPress 网站连接到 WordPress.com 帐户
Jetpack 提供的功能选项之一是可以从 WordPress.com Jetpack 仪表盘跨不同站点来安装插件。该插件甚至不必在官方的 WordPress.org 存储库中托管或隐藏,攻击者可以轻松上传带有恶意代码的 ZIP 文件,然后将其发送到每个站点。
安全专家称,攻击从 5 月 16 日开始,黑客部署了一个名为"pluginsamonsters"的插件,后来在 5 月 21 日切换到另一个名为"wpsmilepack"的插件。
目前受感染网站的数量未知,并且检测受感染网站也很困难。
建议开发者如果发现可疑插件,应立即更改其 WordPress.com 帐号密码,启用该帐号的双因子身份验证,并启动站点清理程序。
【声明】文章转载自:开源中国社区 [http://www.oschina.net]
以上就是本文的全部内容,希望本文的内容对大家的学习或者工作能带来一定的帮助,也希望大家多多支持 码农网
猜你喜欢:- 【安全帮】彭博社指控华为网络设备有后门,但所谓的后门只不过是普通漏洞
- 某后门病毒分析报告
- Turla利用水坑攻击植入后门
- APT41 Speculoos后门分析
- CHAOS-简单实用的后门生成工具
- 权限维持及后门持久化技巧总结
本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们。
CSS3实用指南
吉伦瓦特 / 屈超、周志超 / 人民邮电出版社 / 2012-3 / 49.00元
CSS3为Web的视觉样式语言注入了强大的新功能,让设计人员更加轻松自如地设计优美而引人入胜的内容。借助CSS3,不使用图片就可以创建半透明背 景、渐变、阴影等夺人眼球的视觉效果;还可以使用漂亮、独特、非Web安全的字体显示文本;不用Flash就可以创建动画;不用JavaScript就可 以定制适应用户的设备和屏幕尺寸的设计。 本书通过一系列实用且新颖的范例,向读者展示如何实现以上功能和更多......一起来看看 《CSS3实用指南》 这本书的介绍吧!