关于WordPress任意文件删除漏洞安全指南

近日,阿里云云盾应急响应中心和腾讯云安全中心监测到知名开源博客软件和内容管理系统 WordPress 被爆存在任意文件删除漏洞,攻击者可利用该漏洞进行任意文件删除攻击。

wordpress图片

恶意攻击者可以利用该漏洞删除WordPress建站配置文件wp-config.php,从而导致界面进入网站安装页面。漏洞原因为WordPress程序 unlink() 函数在处理的用户输入传递给文件删除功能时,未进行适当判断处理,导致任意文件删除。
为避免您的业务受影响,各个服务器商建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵。

解决方案:

目前厂商还没有提供相关补丁,建议使用此软件的用户关注厂商的下载页以获取最新版本:

Download

【漏洞详情】WordPress 的 unlink() 函数处理的用户输入传递给文件删除功能时,会产生任意文件删除漏洞。

【风险等级】高风险

【漏洞风险】任意文件删除

【影响版本】
目前已知受影响版本如下:全系列 WordPress,包括当前的 4.9.6 版本。WordPress <= 4.9.6

 

目前 WordPress 官方并未发布最新更新补丁,漏洞研究人员发布了临时加固措施,请用户根据自身业务情况评估后决定是否采用临时加固措施。

临时加固方案如下:  在当前活动的主题/子主题的 functions.php 文件中添加如下内容:

123.png
【温馨提醒】建议变更前提前做好数据备份和验证评估,避免变更引起业务不可用。

 

临时止血方案:

漏洞研究者提供了临时止血方案,可以在当前活动的主题/子主题的 functions.php 文件中添加如下内容:

add_filter( ‘wp_update_attachment_metadata’, ‘rips_unlink_tempfix’ );

function rips_unlink_tempfix( $data ) {
if( isset($data[‘thumb’]) ) {
$data[‘thumb’] = basename($data[‘thumb’]);
}

return $data;
}

牛人视频演示:

注意:修复前请使用快照功能进行备份。进行充分测试后进行修复。

 

漏洞细节:https://blog.ripstech.com/2018/wordpress-file-delete-to-code-execution/

本文来自无忧SEO技术博客https://www.ainiseo.com/jianzhan/hosting/3259.html ,经授权后发布,本文观点不代表小嵘SEO立场,转载请联系原作者。

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2019年3月14日 00:39
下一篇 2019年3月14日 00:47

相关推荐

  • 防范织梦dede被黑?安全防护设置教程

    织梦网站被黑一直是困扰站长SEO们的棘手问题,据数据调查90%的织梦CMS程序都有被网马植入攻击篡改的风险。也经常有学员来咨询网站被黑数据被恶意跳转劫持的问题。 给大家分享一个安装的插件,一键把你的低版本织梦网站程序升级为高版本。这是由dede58开发的(织梦安全补丁工具箱)为了解决大家用织梦建站常遇到的安全问题,官网介绍如下: 织梦58现发布织梦一键安全补…

    2019年3月13日
    01.4K
  • 如果网站被黑被劫持了怎么办?

    网站遇到被黑,被恶意镜像怎么办?这是站长们最头疼的问题,只是有网站都有遇到过。今天无忧哥具体来讲讲几个安全防护和解决的办法,以供参考。 问:我的网站被同行恶意的镜像网站,被降权了怎么办? 网站被黑被恶意镜像,被植入垃圾代码,现象屡见不鲜。站长管理员应该及时发现分析网站数据和代码。不要等着网站出现了危机,再去进行恢复和处理。带来的后果严重影响排名的周期和SEO…

    2019年3月13日
    01.2K
  • 关于wordpress博客网站的杀毒教程

    这次,小编准备给大家介绍的是“关于wordpress博客网站的杀毒教程”。 实际上,WordPress建站非常简单,选择一个好的主题,多使用,多磨合,多练多时间,你就会了,你就熟悉了。 然而,关于网站中毒的话,虽然不是每个人都能遇到,遇到就非常麻烦了。 下面,是1个网站中了病毒的案例: 一个一直跟踪的网站流量被腰斩,起初以为这个是这个网站垃圾外链,被谷歌惩罚…

    2019年8月12日 网络安全
    0950
  • 推荐一款免费的网站后门在线查杀工具

    网络安全,对于各位站长来说,现在是至关重要。网站被黑,网站被挂后门,可能会造成各种的损失。做好网络安全防护对于SEO优化也是至关重要的一步,保护好自己的网站,也能保护好自己网站的排名。这次,小编来推荐一款免费的网站后门在线查杀工具,希望对大家有帮助。 最近网站被挂马劫持风险非常之高,负责的几个网站都被植入后门和挂马,网站流量深受其害,今天为大家介绍一款在线木…

    2019年12月15日
    01.5K
  • 各位PhpStudy开发者的电脑是否已经成为了“肉鸡”?

    随着互联网的飞速发展,PC电脑端的软件越来越多,使用PC电脑端工作的人也越来越多了,几乎办公室不可能缺少PC电脑,家里现在也不可能缺少PC台式电脑。那么,大家是否有想过自己每天使用的PC电脑是否有后门?是否中了病毒了呢?是否有注意过网络安全呢? 最近有一则比较重要的网络安全新闻,小编也来转载一下,广而告之各位开发者,各位站长: ”各位PhpStudy开发者的…

    2019年9月26日 phpstudy
    01.1K
  • 网络安全:简单地介绍关于文件包含漏洞

    这次,小编来介绍一下“关于文件包含漏洞”。 文件包含漏洞,一般来说,可以是这两种:文件包含漏洞分为本地文件包含(Loacl File Inclusion,LFI)和远程文件包含(Remote File Inclusion,RFI)) 其实呢,文件包含漏洞是一种最常见的漏洞类型,它会影响依赖于脚本运行时的web应用程序。当应用程序使用攻击者控制的变量构建可执行…

    2019年10月12日 网络安全
    01.2K
  • DNS污染怎么解决?DNS污染解决尝试方法

    小编相信,有很大一部分的朋友没有听说过dns污染这个词语,其实呢,dns污染就是dns劫持的一种,那么dns污染怎么办呢?下面就来跟您说说简单的dns污染解决方法,希望对大家有帮助。 什么是DNS污染? 按照百度百科的解释就是:某些网络运营商为了某些目的,对DNS进行了某些操作,导致使用ISP的正常上网设置无法通过域名取得正确的IP地址。某些国家或地区为出于…

    2019年9月28日
    01.5K
  • 转载:网站安全防护:记一次入侵网站的过程

    网站安全案例分享:记一次入侵网站的过程!某集团、招聘网集体沦陷;通过这个网站入侵的案例告诫大家做好网站安全的必要性,日常操作一定要谨慎仔细,稍有不慎就成为别人的肉鸡。 一,入侵小说网 当一切入侵方法无效时,使用暴力破解,无限穷举,尝试100亿次,总能找到正确的密码。 100亿次显然太多了,因为人们常用的密码极有规律,将生日、QQ号、幸运数字、手机号等拆分重组…

    2019年3月13日 网络安全
    0940
  • 实际上,渗透测试是什么?渗透测试的流程有哪些?

    这次,小编来给大家说说,关于 “渗透测试是什么?渗透测试的流程有哪些?” 的这个话题。 一般来说,其实呢,渗透测试是一种测试web应用程序、网络或计算机系统的方法,用于识别可能被利用的安全漏洞。主要目标是防止未经授权的访问、更改或利用系统。 渗透测试旨在针对已知的漏洞或跨应用程序发生的常见模式,不仅发现软件缺陷,还发现网络配置中的弱点。 为什么安全渗透测试很…

    2020年9月3日
    0716
  • 转载:实战案例:精准入侵号码交易网与黑客远程定位

    这是第二篇关于网站安全与黑客攻防的案例教程,本文系转载内容介绍到的工具和思路仅供学习参考,做为站长SEO从业人员要提升警惕,不要成为别人攻击的对象。 切记:害人之心不可有,防人之心不可无。 一,谨防网络骗子 有位读者粉丝打算买6位数的QQ号,发来个网址,问是不是骗子。 顺手打开网址~网页如下图。 哎,如今的骗子真是越来越不长进了。 哥哥之前写过多篇行骗大术,…

    2019年3月13日 网络安全
    1998
  • D盾Web查杀Webshell查杀下载

    D盾_Web查杀 软件使用自行研发不分扩展名的代码分析引擎,能分析更为隐藏的WebShell后门行为。引擎特别针对,一句话后门,变量函数后门,${}执行 ,`执行,preg_replace执行,call_user_func,file_put_contents,fputs 等特殊函数的参数进行针对性的识别,能查杀更为隐藏的后门,并把可疑的参数信息展现在你面前,…

    2019年3月13日
    01.3K
  • 关于Vbs脚本病毒专杀工具下载和用法

    BS脚本病毒是使用VBScript编写,以宏病毒和新欢乐时光病毒为典型代表的VBS脚本病毒十分的猖獗,很重要的一个原因就是其编写简单。VBS脚本病毒具有如下几个特点。 ①编写简单。一个以前对病毒一无所知的病者爱好者,可以在很短时间内编写出一个新型病毒!②破坏力大。其破坏力不仅表现在对用户系统文件及性能的破坏,它还可以使邮件服务器崩溃,使网络发生严重堵塞!③感…

    2019年3月14日
    01.4K