搜索

[14958] 2020-01-08_针对WordPress的攻击调查

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-01-08_针对WordPress的攻击调查 针 对 W o r d P r e s s 的 攻 击 调 查 K r i s t o n   F r e e B u f   2 0 2 0 - 0 1 - 0 8 W o r d P r e s s 是 一 个 著 名 的 开 源 内 容 管 理 系 统 （ 是 一 个 著 名 的 开 源 内 容 管 理 系 统 （ C M S ） ， 用 于 创 建 网 站 和 个 人 博 客 ， 据 估 计 ， 目 前 ） ， 用 于 创 建 网 站 和 个 人 博 客 ， 据 估 计 ， 目 前 3 5 % 的 网 站 都 的 网 站 都 在 使 用 在 使 用 C M S 。 。 针 对 C M S 平 台 的 攻 击 时 有 发 生 ， 本 文 分 析 了 针 对 W o r d P r e s s 的 不 同 类 型 的 攻 击 ， 以 及 管 理 访 问 、 A P I 、 S h e l l 部 署 和 S E O 等 攻 击 特 点 。 通 过 黑 客 管 理 访 问 攻 击 通 过 黑 客 管 理 访 问 攻 击 W o r d P r e s s 站 点 站 点 此 方 法 可 获 得 W o r d P r e s s 网 站 的 管 理 员 访 问 权 限 。 攻 击 者 可 以 利 用 漏 洞 或 泄 露 的 凭 据 进 行 攻 击 ， 向 目 标 网 站 上 的 / w p - l o g   i n . p h p 发 送 P O S T 请 求 来 完 成 。 成 功 登 录 后 ， 攻 击 者 可 具 有 管 理 员 权 限 ， 并 进 行 如 下 操 作 ： 安 装 带 有 后 门 的 自 定 义 主 题 安 装 插 件 以 上 传 文 件 这 两 个 操 作 通 常 在 成 功 获 得 管 理 员 权 限 后 使 用 ， 可 以 选 择 更 改 管 理 员 密 码 或 创 建 新 的 管 理 员 帐 户 。 常 见 的 方 法 是 使 用 公 共 主 题 并 嵌 入 带 有 远 程 代 码 执 行 （ R C E ） 功 能 的 自 定 义 后 门 ， 文 件 上 传 插 件 允 许 攻 击 者 直 接 上 传 有 效 负 载 。 利 用 一 个 后 门 部 署 另 一 个 具 有 类 似 功 能 的 后 门 是 常 见 操 作 。 当 有 效 负 载 / 命 令 / 代 码 编 码 在 C O O K I E S 或 P O S T 数 据 中 时 ， 通 过 使 用 G E T 或 P O S T 请 求 来 完 成 部 署 。 解 码 程 序 会 部 署 在 先 前 的 后 门 中 。 还 观 察 到 攻 击 者 会 p a t c h 已 经 存 在 的 . p h p 文 件 使 恶 意 请 求 更 加 隐 蔽 。 首 先 ， 记 录 所 有 可 写 路 径 ， 随 机 选 择 合 适 的 路 径 ， 然 后 p a t c h 所 选 文 件 。
在 本 例 中 ， 将 修 补 程 序 功 能 应 用 于 i n d e x . p h p ， 以 在 U n i x 隐 藏 文 件 （ 点 文 件 ） 中 包 含 恶 意 脚 本 ， 扩 展 名 为 . i c o 。 另 一 个 值 得 注 意 的 特 性 是 能 够 感 染 邻 居 域 （ 前 提 是 w e b 服 务 器 正 在 处 理 多 个 域 ， 并 且 当 前 用 户 对 其 目 录 具 有 写 访 问 权 限 ） 。 在 受 感 染 的 在 受 感 染 的 W o r d P r e s s 站 点 中 部 署 站 点 中 部 署 A l f a   S h e l l 攻 击 者 会 将 W e b   s h e l l 部 署 在 受 感 染 的 W o r d P r e s s 网 站 上 。
w e b   s h e l l 为 R C E 提 供 了 一 个 用 户 友 好 的 界 面 （ 例 如 ， 注 册 C G I 处 理 程 序 ， 允 许 执 行 P e r l 、 P y t h o n 和 B a s h 脚 本 ） 。 a l f a s h e l l 还 能 够 从 W o r d P r e s s 配 置 文 件 中 获 取 数 据 库 凭 据 ， 转 储 数 据 库 ， 以 及 获 取 所 有 虚 拟 域 和 D N S 设 置 。 w e b   s h e l l 还 支 持 多 种 平 台 ， 它 能 够 从 开 发 人 员 网 站 下 载 并 执 行 反 向 s h e l l 。
受 感 染 的 W o r d P r e s s 还 可 以 充 当 广 告 重 定 向 程 序 ， 通 过 修 改 J a v a S c r i p t 文 件 或 页 眉 / 页 脚 生 成 器 函 数 （ 例 如 w p c o n t e n t t h e m e   s t w e n t y 1 7 f u n c t i o n s . p h p ） 。 修 改 后 的 J a v a S c r i p t 将 用 户 重 定 向 到 攻 击 者 指 定 的 网 站 。
感 染 感 染 W o r d P r e s s 网 站 的 搜 索 引 擎 优 化 （ 网 站 的 搜 索 引 擎 优 化 （ S E O ） ） 受 感 染 的 W o r d P r e s s 站 点 的 另 一 个 实 例 是 搜 索 引 擎 优 化 （ S E O ） ， 已 发 现 部 署 的 P H P 脚 本 在 G E T 请 求 中 接 受 关 键 字 。 脚 本 首 先 检 查 用 户 代 理 是 否 与 正 则 表 达 式 之 一 匹 配 ， 或 者 S E R V E R [ “ R E M O T E _ A D D R ” ] （ 发 出 H T T P 请 求 的 I P 地 址 ） 的 反 向 D N S 查 找 是 否 包 含 G o o g l e 子 字 符 串 。 如 果 符 合 ， 则 将 $ i s b o t 不 为 零 ， 则 将 使 用 相 同 的 关 键 字 向 程 序 中 硬 编 码 的 U R L 地 址 发 出 另 一 个 H T T P 请 求 。 如 果 $ i s b o t 未 设 置 ， 而 H T T P _ R E F E R E R 包 含 G o o g l e 、 B i n g 或 Y a h o o 等 字 符 串 ， 则 会 将 其 重 定 向 到 另 一 个 服 务 网 站 。 如 果 返 回 的 文 本 长 度 小 于 1 0 0 0 个 字 符 ， 则 将 使 用 B i n g 搜 索 引 擎 执 行 其 他 查 询 ， 并 将 匹 配 指 定 正 则 表 达 式 的 结 果 附 加 到 $ t e x t 中 。 如 果 再 次 执 行 相 同 的 查 询 ， 则 返 回 最 终 的 H T M L 页 面 并 将 其 保 存 在 服 务 器 上 。 如 上 图 C o c k e y s v i l l e   E a g l e 的 F o o t b a l l 网 页 中 有 一 些 部 分 包 含 明 显 不 相 关 的 J a v a S c r i p t 框 架 的 文 本 ， 从 而 导 致 S E O 中 毒 。
散 布 虚 假 或 误 导 性 文 章 散 布 虚 假 或 误 导 性 文 章 被 黑 客 攻 击 的 W o r d P r e s s 网 站 也 可 被 用 来 传 播 虚 假 或 误 导 性 的 文 章 ， 其 中 的 内 容 很 少 或 没 有 真 实 的 细 节 ， 取 而 代 之 的 是 吸 引 眼 球 的 头 条 和 报 道 。 如 上 面 例 子 所 示 ， 被 破 坏 的 网 站 发 布 的 故 事 有 明 显 的 语 法 错 误 。 攻 击 者 通 过 W o r d P r e s s 的 X M L - R P C 接 口 （ A P I ） 实 现 ， A P I 允 许 数 据 传 输 并 执 行 任 务 ， 如 上 传 新 文 件 、 编 辑 和 发 布 帖 子 。 W o r d P r e s s 网 站 的 安 全 建 议 网 站 的 安 全 建 议 上 述 示 例 只 是 已 知 攻 击 者 使 用 的 技 术 。 易 受 攻 击 的 W o r d P r e s s 网 站 如 果 没 有 适 当 的 保 护 ， 很 容 易 被 利 用 。 为 了 降 低 风 险 ， 建 议 使 用 双 因 素 身 份 验 证 （ 2 F A ） 插 件 来 防 止 凭 据 泄 露 ， 并 及 时 扫 描 是 否 存 在 未 修 补 的 漏 洞 。 以 下 是 用 户 和 站 点 管 理 员 可 以 采 取 的 其 他 措 施 ： 采 用 基 本 的 安 全 措 施 来 减 少 网 站 的 攻 击 面 禁 用 或 删 除 过 时 或 易 受 攻 击 的 插 件 使 用 v i r t u a l   p a t c h 来 解 决 尚 未 提 供 修 补 程 序 的 漏 洞 执 行 最 小 特 权 原 则 定 期 更 新 C M S 到 最 新 版 本 ， 包 括 插 件 * 参 考 来 源 ： 参 考 来 源 ： t r e n d m i c r o ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理