当前位置:首页 >  站长 >  建站经验 >  正文

wordpress漏洞修复方案之第三方插件漏洞

 2019-09-16 11:31  来源:A5用户投稿  我来投稿   websafe的个人主页 撤稿纠错

  短视频,自媒体,达人种草一站服务

wordpress系统本身代码,很少出现sql注入漏洞,反倒是第三方的插件出现太多太多的漏洞,我们SINE安全发现,仅仅2019年9月份就出现8个插件漏洞,因为第三方开发的插件,技术都参差不齐,对安全方面也不是太懂导致写代码过程中没有对sql注入,以及xss跨站进行前端安全过滤,才导致发生sql注入漏洞。

目前发现的wordpress漏洞插件,AdRotate广告插件,NextGEN Gallery图片管理插件,Give赞赏插件,这些插件使用的网站数量较多,因为开源,免费,功能强大,使用简单,深受众多站长们的喜欢,关于该网站漏洞的详情我们SINE安全来详细的给大家分析一下:看下图的代码

在前端进行输入的时候,可以插入恶意的sql注入代码,如果后端没有对前端输入进来的参数值进行安全过滤拦截,那么就会导致sql注入漏洞的发生,我们来看上面的一段代码。该代码在写的时候,会将get中的ID,传入后数据库中进行查询,没有做任何的安全过滤导致sql注入,在wordpress最新版中以及将get、post、cookies、提交的方式进行了安全拦截,对一些非法的字符与sql注入攻击语句加强过滤,但是还是被绕过,导致sql注入的发生,就拿adrotate插件来说,在dashboard目录下的publisher文件夹下的adverts-edit.php代码中第46行:

对前端来的get_ad变量只是做了简单的html字符转换操作,并没有实质性的对sql语句进行拦截,导致可以执行SQL注入代码,获取管理员账户密码。截图如下:

give插件,也存在漏洞,漏洞产生的原因是includes目录下的donors文件夹里的class-give-donors-query.php代码,在获取订单的函数中,没有对其order by字符进行拦截,导致sql代码可以到后端进行查询数据库,导致sql盲注。代码如下:

关于wordpress漏洞修复办法,建议插件的开发公司在对代码编写过程中,对用户的输入,以及提交,get,post等请求进行全面的安全过滤与安全效验,及时的更新wordpress的版本以及插件版本升级,定期对网站代码进行安全检测,检查是否存在网站木马后门,以及webshell文件,对插件目录可以设置安全权限部署,防止恶意篡改,对wordpress的后台登录做安全验证,仅仅使用账户密码还不行,还要使用另外一种方式进行验证,短信验证以及google身份验证器。

友情提示:A5官方SEO服务,为您提供权威网站优化解决方案,快速解决网站流量异常,排名异常,网站排名无法突破瓶颈等服务:http://www.admin5.cn/seo/zhenduan/

作者: websafe    /    文章:76篇

申请创业报道,分享创业好点子。点击此处,共同探讨创业新机遇!

相关文章

  • 手机网站在建设中 能够提升利用率的一些要点

    在大部分上班族挤地铁或是公交车上下班的图中,也许打开手机浏览一些网页是很多白领获取信息的一个非常重要的方式。为了针对这些用户的需求,也有越来越多的企业开始重视手机网站的建设,因为手机网站如果能够建设得当的话可以给这些人带来非常不错的体验。

    标签:
    手机网站建设
  • 哪些类型的网站不适合使用虚拟主机?

    在如今的很多站长进行建站时,可能都会考虑选择虚拟主机。虚拟主机对比传统服务器,具有一定的优势,如操作简单、性价比也更高等特点,但也不可否认的是,虚拟主机在某些方面也具有较大的局限性,这也意味着并不是每一种网站都适合使用虚拟主机。今天与大家分享一些不适合使用虚拟主机的网站类型

    标签:
    虚拟主机
  • 网站安全防止被黑客攻击的办法

    从今年3月份全世界黑客攻击网站分析局势来看,黑客攻击的网站中中国占有了绝大多数。那麼作为一个公司或是开发公司,如何防止自身的网站黑客攻击,从企业网站建设之初,就应当搞好这种安全对策,当你的网站保证以下几个方面都做好了的话,相对性是较为安全的。

  • 一个小白影视站长的成长推广经历

    视频网站及抖音快手推广,可以通过视频剪辑的方式上传一些视频,到酷6,土豆,优酷,抖音,快手,上传视频都印上网站的LOGO或导入公众号。通过这样的方式也会为网站带来不少流量。

  • 电商时代,企业搭建商城系统的优势有哪些

    通过网上商城,消费者足不出户,即可轻松享受从产品咨询、下单、付款到收货的一站式客户体验。为了增强电商平台的互动性,独立商城系统还可以提供在线咨询、电话咨询与网络留言三种互动途径,消费者可以自由选择适合自己的方式与专职客服人员进行交流,互动性得到了显著提高。

    标签:
    商城系统
  • 建站CMS系统:织梦dedeCms、PageAdmin、帝国优缺点比较

    之前一直使用dedeCms建站的,时间也算很长了,但是最近我们公司用dede做的网站被频繁被挂马,网上已经找不到解决方法,客户天天投诉,dedecms从原创团队解散后,几年了基本没有什么更新和维护,没有办法只能重新寻找新的cms改版。

  • 痛定思痛!Shopify大规模封店给我们跨境卖家的启示

    就在昨天中午,毫无预兆的情况下,我们的Shopify店铺无法打开了,只显示wewillcomingsoon的提示。随后我们在一个群里也发现很多人跟我们一样遭遇,同样是没收到邮件通知,也没有任何先兆。

    标签:
    自助建站系统
  • 为什么在建站时最好选择独立IP的服务器

    企业网站在建设时,有一部分站长会为了让网站做的更加出彩选择在服务器方面压缩成本,所以会拒绝使用独立服务器,转而选择一些较为经济的空间。这其实是一种错误的做法,服务器是网站运营的根本,即使在网站设计方面节约一些成本,也一定要选择一个好的服务器,否贼会给网站日后的运营带来很多麻烦,省下的成本也许会在日后

    标签:
    独立IP主机
  • 在进行网站建设时 如何选择合适的服务器

    随着互联网带给传统行业的冲击越来越大,有很多企业都不得不选择通过搭建网站来保证自身的收益,但网站的搭建也并不是一件简单的事情,如果网站不能给用户带来很好的体验,那么可能就无法为企业带来正面的效果,反而会白白浪费运营网站的成本。

  • 谈谈分销系统那些事

    分销系统是新兴事物,有些老板对于分销系统这个行业的知识了解比较少,就会造成在选择分销系统公司时,有一些考虑不周全的地方,可以说有不少老板做分销系统的历程可谓是千辛万苦,不知道什么时候就出现了超出自己想象的麻烦。

    标签:
    分销系统
榜单

热门排行

信息推荐

扫一扫关注最新创业资讯