تبلیغات
حراجی دامنه های ویژهمشاهده
تبلیغات

تبلیغات
تبلیغات تبلیغات

جلوگیری از هک شدن در وردپرس با حذف افزونه Yuzo Related Posts

افزونه ها , افزونه وردپرس

گاهی اوقات هک شدن سایت‌ها دلایل خیلی پیچیده‌ای ندارد و با یک اتفاق ساده مانند یک افزونه آسیب پذیر در وردپرس مواجه هستیم. چنین افزونه‌ای نیز می‌تواند امنیت سایت ما را تهدید کرده و باعث تخریب شود. چندی پیش خبر حمله به سایت با Easy WP SMTP را شنیدیم که با بروزرسانی افزونه مشکل برطرف شد. امروز نیز افزونه دیگری را معرفی می‌کنیم که با حذف آن می‌توان به جلوگیری از هک شدن در وردپرس کمک کرد.

 

افزونه Yuzo Related Posts که روی بیش از ۶۰۰۰۰ سایت وردپرسی نصب بود، در تاریخ ۳۰ مارس ۲۰۱۹ از مخزن وردپرس پاک شد و این امر به خاطر آسیب پذیری ناخواسته این افزونه و بی مسئولیتی توسعه دهندگان بود. در همان روز خبر آسیب پذیری آن توسط یک محقق امنیتی پخش شد. اکنون حملات XSS در حال سوء استفاده از این آسیب پذیری هستند. به نظر می‌رسد این حملات با حملاتی که به افزونه های Easy WP SMTP و Social Warfare شد ارتباط داشته باشد.

 

جلوگیری از هک شدن در وردپرس

قابلیت محافظت در برابر حملات XSS در افزونه Wordfence اکنون جلوی این گونه حملات را گرفته و هر دو دسته از افرادی که از نسخه رایگان و پرمیوم این افزونه استفاده می‌کنند در برابر حملات XSS محافظت خواهند شد. براساس نتایج بررسی عمیق ضعف امنیتی موجود، تیم توسعه دهنده افزونه Wordfence در نسخه جدید قابلیت محافظت در برابر حملات دیگر و جلوگیری از هک شدن در وردپرس را نیز اضافه کرده است. البته کاربرانی که از نسخه رایگان استفاده می‌کنند، این قابلیت‌ها را کمی دیرتر دریافت خواهند کرد.

جلوگیری از هک شدن در وردپرس با حذف افزونه Yuzo Related Posts

تابع ()is_admin حادثه آفرید

آسیب پذیری افزونه Yuzo Related Posts از عدم وجود احراز هویت در قسمت‌های مختلف افزونه که مربوط به ذخیره سازی تنظیمات افزونه در پایگاه داده هستند سرچشمه می‌گیرد. کد زیر در مسیر assets/ilenframework/core.php اصل مشکل افزونه است:

بعضی از توسعه دهندگان وردپرس به اشتباه، از تابع ()is_admin برای بررسی اینکه یک قطعه کد که نیازمند امتیاز مدیر کل است باید اجرا شود یا خیر استفاده می‌کنند، اما طبق مستندات وردپرس، این راه درست استفاده از این تابع نیست. در این سناریو، تابع ()_self::_ini برای تمامی صفحات ادمین مثل /wp-admin/options-general.php و /wp-admin/admin-post.php فراخوانی می‌شود که باعث شده یک پست به صفحات ذکر شده درخواست پردازش با استفاده از تابع ;()self::save_options ارسال کند تا بعدا توسط کد مذکور انجام شود.

 

نتیجه حاکی از حضور افزونه آسیب پذیر در وردپرس

نتیجه این است که یک حمله کننده که احراز هویت نشده است می‌تواند محتوای مخرب به سایت تزریق کند؛ مثل تزریق یک payload جاوا اسکریپت در تنظیمات افزونه که بتواند از این آسیب پذیری استفاده کند. این payload در قالب‌های HTML وارد می‌شود و توسط مرورگر کاربرانی که از این سایت‌های خطرناک استفاده می‌کنند، اجرا می‌شود. این مشکل امنیتی می‌تواند منجر به عدم دسترسی افراد به سایت شود یا اینکه آن‌ها را به سایت‌های نا امن منتقل کند یا در شرایطی با حساب کاربری ادمین کاری نداشته باشد و با آن مدارا کند. اما به هر حال باید عملیات جلوگیری از هک شدن در وردپرس انجام شود.

جلوگیری از هک شدن در وردپرس با حذف افزونه Yuzo Related Posts

سوء استفاده از این شکاف امنیتی می‌تواند منجر به ریدایرکت‌های مشکوک شود

اکنون پس از اینکه این افزونه آسیب پذیر در وردپرس با بی توجهی توسعه دهندگان افشا و وجود آن نیز ثابت شد، برخی از افزاد سودجو شروع به سوء استفاده و بهره برداری از سایت‌هایی کردند که افزونه Yuzo Related Posts را روی سایت خود نصب کرده بودند.

هم اکنون نیز این سوء استفاده‌ها در برخی از کدهای جاوا اسکریپت مثل کد مقدار yuzo_related_post_css_and_style دیده می‌شود که بصورت زیر است:

جلوگیری از هک شدن در وردپرس با حذف افزونه Yuzo Related Posts

بعد از رفع ابهام، مشخص می‌شود که کد بالا در حال انجام چه کاری است:

وقتی کاربری از سایت تخریب شده‌ای که شامل payload بالا است، بازدید می‌کند، به صفحات کلاه‌برداری منتقل می‌شود. مثل صفحه زیر:

جلوگیری از هک شدن در وردپرس با حذف افزونه Yuzo Related Posts

۳ آسیب پذیری خطرناک و مشترک

تحقیقات نشان می دهد که تعداد حملات برای سوء استفاده از این افزونه آسیب پذیر در وردپرس انجام گرفته است، با تعداد حملاتی که بر روی شکاف امنیتی دو افزونه Social Warfare و Easy WP SMTP انجام گرفته است مشترکاتی دارد.

 

تا کنون در این حمله‌ها از یک اسکریپت مخرب که در hellofromhony[.]org میزبانی می‌شود، استفاده شده که تبدیل به آدرس۵۳ [.]۱۷۶٫۱۲۳٫۹ خواهد شد؛ همان IP که در حمله‌های افزونه های Social Warfare و Easy WP SMTP استفاده شد. هر سه این حمله‌ها از نوع stored XSS بود که کدهای مخرب را از طریق این شکاف امنیتی تزریق می‌کرد و کاربران را به صفحات دیگر و خطرناک ارجاع می‌داد. اکنون مطمئن هستیم که افراد سودجوی پشت این حمله‌های مخرب، مشترک هستند. و باید به سرعت عملیات جلوگیری از هک شدن در وردپرس را آغاز کرد.

 

نتیجه نهایی

همانطور که گفته شد، شکاف امنیتی یکی از افزونه های محبوب فاش شد که افرادی از این شکاف‌های امنیتی سوء استفاده کردند. همین امر، موضوع داشتن یک رویکرد امنیتی که شامل فایروال وردپرس می‌شود را برجسته‌تر می‌کند.

سایت‌هایی که این افزونه را نصب کرده‌اند، باید فورا آن را پاک کنند؛ حداقل تا زمانی که توسعه دهندگان این افزونه نسخه امن آن را ارائه کنند. کاربرانی که از افزونه Wordfence استفاده می‌کنند از شر این حملات در امان هستند. قوانین فایروال جدیدی بر روی افزونه قرار گرفته است که جلوی این حملات مخرب را بگیرد و طی چند روز آینده روی نسخه رایگان نیز اعمال خواهد شد.


دانلود


هاست ارزان، لایت اسپید، سرور مجازی منطبق با اسکریپت های 20script کلیک کنید >
مطلب مفیدی بود ؟

درخواست نصب

نویسنده : تیم محتوای 20اسکریپت 0 افزونه ها , افزونه وردپرس
لینک کوتاه مطلب : https://www.20script.ir/?p=44867
کلمات کلیدی پست :
تبلیغات تبلیغات
تبلیغات تبلیغات
مطالب مرتبط
1,344ایمیل مارکتینگ در وردپرس با افزونه AvangPress تاریخ : 2019/11/20
3,770استفاده از ویرایشگر کدها در وردپرس با افزونه WP Editor تاریخ : 2018/01/29
3,156پاک‌سازی کدهای HTML در ویرایشگر وردپرس با افزونه Cleanup HTML تاریخ : 2018/06/5
5,640بسته فوق امنیتی وردپرس تاریخ : 2016/07/18
3,138ایجاد پنجره پاپ‌آپ در وردپرس با افزونه Homepage Pop-up تاریخ : 2018/01/12
2,088افزونه سفارشی سازی پیشخوان وردپرس Slate Pro تاریخ : 2019/06/3
1,496ایجاد رزرواسیون هتل در وردپرس با افزونه WP Hotel Booking تاریخ : 2019/12/8
5,659افزونه وردپرس مدیریت تبلیغات Advanced Advertising System تاریخ : 2016/03/24
4,859افزودن تصویر رندوم در سربرگ وردپرس با افزونه WP Display Header تاریخ : 2017/06/10
17,090ساخت گرید در وردپرس با افزونه فارسی Essential Grid نسخه 2.3.2 تاریخ : 2019/02/1
9,247دانلود افزونه حرفه ای لیگ انجین برای وردپرس تاریخ : 2014/11/3
5,148افزونه وردپرس سئو و بهینه سازی وب سایت SEO Redirection تاریخ : 2016/02/27
برخی از قالب های وبلاگ - بیست اسکریپت
قالب عشق بین انگشت ها
قالب دخترونه و آرایش
قالب زیبای ماشین
قالب فانتزی و طنز چِشم
قالب دختر رویایی
قالب وبلاگ دکوراسیون
قالب وبلاگ کلبه و درخت
قالب دختر زیبا
قالب پسرونه غمگین
قالب عاشقانه قلب
تبلیغات
تبلیغات
تبلیغات
تبلیغات