当前位置:首页 >  站长 >  建站经验 >  正文

wordpress漏洞修复方案之第三方插件漏洞

 2019-09-16 11:31  来源:A5用户投稿  我来投稿   websafe的个人主页 撤稿纠错

  各种互联网项目,新手可操作,几乎都是0门槛

wordpress系统本身代码,很少出现sql注入漏洞,反倒是第三方的插件出现太多太多的漏洞,我们SINE安全发现,仅仅2019年9月份就出现8个插件漏洞,因为第三方开发的插件,技术都参差不齐,对安全方面也不是太懂导致写代码过程中没有对sql注入,以及xss跨站进行前端安全过滤,才导致发生sql注入漏洞。

目前发现的wordpress漏洞插件,AdRotate广告插件,NextGEN Gallery图片管理插件,Give赞赏插件,这些插件使用的网站数量较多,因为开源,免费,功能强大,使用简单,深受众多站长们的喜欢,关于该网站漏洞的详情我们SINE安全来详细的给大家分析一下:看下图的代码

在前端进行输入的时候,可以插入恶意的sql注入代码,如果后端没有对前端输入进来的参数值进行安全过滤拦截,那么就会导致sql注入漏洞的发生,我们来看上面的一段代码。该代码在写的时候,会将get中的ID,传入后数据库中进行查询,没有做任何的安全过滤导致sql注入,在wordpress最新版中以及将get、post、cookies、提交的方式进行了安全拦截,对一些非法的字符与sql注入攻击语句加强过滤,但是还是被绕过,导致sql注入的发生,就拿adrotate插件来说,在dashboard目录下的publisher文件夹下的adverts-edit.php代码中第46行:

对前端来的get_ad变量只是做了简单的html字符转换操作,并没有实质性的对sql语句进行拦截,导致可以执行SQL注入代码,获取管理员账户密码。截图如下:

give插件,也存在漏洞,漏洞产生的原因是includes目录下的donors文件夹里的class-give-donors-query.php代码,在获取订单的函数中,没有对其order by字符进行拦截,导致sql代码可以到后端进行查询数据库,导致sql盲注。代码如下:

关于wordpress漏洞修复办法,建议插件的开发公司在对代码编写过程中,对用户的输入,以及提交,get,post等请求进行全面的安全过滤与安全效验,及时的更新wordpress的版本以及插件版本升级,定期对网站代码进行安全检测,检查是否存在网站木马后门,以及webshell文件,对插件目录可以设置安全权限部署,防止恶意篡改,对wordpress的后台登录做安全验证,仅仅使用账户密码还不行,还要使用另外一种方式进行验证,短信验证以及google身份验证器。

友情提示:A5官方SEO服务,为您提供权威网站优化解决方案,快速解决网站流量异常,排名异常,网站排名无法突破瓶颈等服务:http://www.admin5.cn/seo/zhenduan/

作者: websafe    /    文章:76篇

申请创业报道,分享创业好点子。点击此处,共同探讨创业新机遇!

相关文章

  • 如何创建一个个人网站

    今天来给大家介绍一下怎么建站,网站建设其实很容易的,首先你得需要买一个虚拟主机,然后还需要一个域名。那么主机和域名要去哪里买呢?可以去百度云,阿里云,还可以去景安。下面就来用景安做一下介绍吧。

    标签:
    建站
    建站经验
  • 企业网站建设过程中那些不可忽略的小设计

    数据包括用户数据,如注册、电话号码、支付宝账号、收货地址、IM号码、生日、购物习惯等。商品数据包括商品的类别、与其他商品的关系(如类似商品、配套商品)、商品销量、成交价格、存货量、销售速率、利润率等。

    标签:
    企业网站建设
  • 企业网站建设图片选择经验分享

    我们都知道图片是网站提高转化率的关键,而企业方或小卖家大多不会网站技术,简单的FTP并不方便,还是后台上传更受欢迎,在网站操作方面不能把用户与网站设计师相提并论,一定要以用户的能力来考虑网站设计。

    标签:
    企业网站建设
  • 企业网站建设中 如何设计一个清晰的导航设计

    这需要区分商品类别的多少。如果是大型网上商城,商品类别多,则需要有清晰的分类导航与关键词直接搜索(最好是有容错能力的模糊搜索),而且有些商品可以归于几个类别。

    标签:
    企业网站建设
  • 企业网站设计时需要注意哪些要点

    一旦同时在线用户达到好几千,网站负担就会很吃力,这时需要负载均衡才能保证网站不崩溃,避免流失顾客。至于带宽倒是相对好办,花钱提升服务器的带宽就是了,服务器里面百度云阿里云和腾讯云都是很好的。

    标签:
    企业网站建设
  • 企业网站制作要点:在线即时沟通

    当用户看完了你的公司简介,肯定会去看你的业务介绍。当用户进到产品中心如果看到的是杂乱无章的产品,可能就没有心思慢慢去找想要的信息了。所以要做好产品分类,让用户能又快又准地找到自己想要的产品。

    标签:
    企业网站制作
  • 企业建站就需要做好企业内容建设 要怎么做呢?

    用户找到了自己想要的产品之后,打开发现只有一张图片,你想一下客户还有继续浏览下去的意思吗?产品展示要详细一点,包括图片,文字,视频等等,越详细越好,越能满足用户的需求,转化率越高。

    标签:
    企业建站系统
  • 企业网站建设都有哪些内容

    企业网站建设可能需要考虑更多方面的是企业的产品和企业的信任程度,只有信任了企业后才能够对企业的产品产生信任,所以企业网站不仅仅要做好以上内容,仍旧需要做好企业的品牌营销,如果能够在全国行业内或者本地行业内获得影响力,那么还需要担心企业产品的营销途径吗?

    标签:
    企业网站建设
  • 企业网站建设的5点优势:主动抢占先机

    任何一家企业要想跟上时代发展的潮流,必须尽快上网。为了不被竞争对手建立网站抢占先机,为了不被时代所淘汰,应该考虑到建站的重要性。

    标签:
    企业网站建设
  • 个合适的网站建设对企业的影响有多大?

    在这个互联网+的时代,用户了解一家企业首先想到的是搜索企业的官网。如果一家企业没有官网即使你的服务和产品再好,那在用户的心里也会大打折扣。他们都会习惯性的通过关键词来寻找你的官网,希望通过官网来详细了解。

榜单

热门排行

信息推荐

扫一扫关注最新创业资讯