搜索

[27992] 2019-12-26_调查针对WordPress网站的攻击和技术

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2019-12-26_调查针对WordPress网站的攻击和技术 调 查 针 对 W o r d P r e s s 网 站 的 攻 击 和 技 术 O t s 安 全   2 0 1 9 - 1 2 - 2 6 作 者 ： 作 者 ： D a v i d   F i s e r （ 高 级 网 络 威 胁 研 究 人 员 ） （ 高 级 网 络 威 胁 研 究 人 员 ） W o r d P r e s s 是 著 名 的 开 源 内 容 管 理 系 统 （ C M S ） ， 用 于 创 建 网 站 和 个 人 博 客 。 估 计 C M S 已 被 当 今 所 有 网 站 的 3 5 ％ 使 用 ， 这 使 其 成 为 威 胁 参 与 者 的 理 想 目 标 。 该 平 台 的 一 个 弱 点 是 允 许 攻 击 者 破 坏 网 站 的 安 全 性 ， 而 这 种 缺 陷 是 由 于 网 络 安 全 卫 生 状 况 不 佳 而 引 起 的 安 全 性 问 题 所 致 。 对 C M S 平 台 的 攻 击 不 是 新 闻 ， 但 威 胁 行 动 者 仍 然 发 现 ， 攻 击 站 点 是 在 组 织 资 产 中 立 足 于 恶 意 目 的 的 有 效 途 径 。 这 篇 博 客 文 章 通 过 我 们 在 野 外 观 察 到 的 有 效 负 载 示 例 列 出 了 针 对 W o r d P r e s s 的 不 同 类 型 的 攻 击 ， 以 及 攻 击 如 何 利 用 被 黑 客 入 侵 的 管 理 员 访 问 权 限 和 A P I ， A l f a - S h e l l 部 署 以 及 S E O 中 毒 来 利 用 易 受 攻 击 的 网 站 。 通 过 被 黑 的 管 理 员 访 问 攻 击 W o r d P r e s s 网 站 此 方 法 涉 及 获 得 管 理 员 访 问 W o r d P r e s s 驱 动 的 网 站 的 权 限 。 攻 击 者 可 以 利 用 漏 洞 或 仅 通 过 泄 漏 或 薄 弱 的 凭 据 登 录 ， 这 可 以 通 过 向 目 标 网 站 上 的 / w p - l o g i n . p h p 发 送 P O S T 请 求 来 完 成 。 图 1 . 使 用 弱 凭 证 登 录 的 尝 试 示 例 图 2 . 攻 击 者 测 试 的 密 码 成 功 登 录 后 ， 具 有 管 理 员 访 问 权 限 的 攻 击 者 会 看 到 多 个 选 项 。 我 们 观 察 到 这 些 动 作 ： 安 装 带 有 后 门 的 自 定 义 主 题 安 装 插 件 以 上 传 文 件
成 功 获 得 管 理 员 特 权 后 ， 通 常 会 使 用 前 两 个 操 作 ， 还 可 以 选 择 更 改 管 理 员 密 码 或 创 建 新 的 管 理 员 帐 户 。 常 用 的 方 法 是 使 用 公 共 主 题 ， 并 使 用 远 程 代 码 执 行 （ R C E ） 功 能 嵌 入 自 定 义 后 门 。 还 有 几 个 文 件 上 传 插 件 ， 它 们 使 攻 击 者 可 以 直 接 上 传 有 效 载 荷 。 应 当 注 意 ， 部 署 具 有 相 似 功 能 的 另 一 个 后 门 的 后 门 是 常 见 的 。 当 有 效 负 载 / 命 令 / 代 码 被 编 码 在 C O O K I E S 或 P O S T 数 据 中 时 ， 使 用 G E T 或 P O S T 请 求 完 成 部 署 。 解 码 逻 辑 位 于 先 前 部 署 的 后 门 内 部 。 部 署 后 ， 攻 击 者 将 收 到 新 上 载 组 件 的 U R L 。 我 们 还 观 察 到 的 有 趣 功 能 之 一 是 能 够 修 补 已 经 存 在 的 . p h p 文 件 ， 从 而 使 恶 意 请 求 更 加 隐 蔽 。 首 先 ， 记 录 所 有 可 写 路 径 ， 选 择 一 个 合 适 的 随 机 路 径 ， 然 后 修 补 所 选 文 件 。 图 3 .   服 务 有 效 负 载 中 修 补 的 现 有   . p h p   文 件 功 能 在 这 种 情 况 下 ， 修 补 程 序 功 能 已 应 用 于 i n d e x . p h p ， 以 在 U n i x 隐 藏 文 件 （ 点 文 件 ） 中 包 含 带 有 . i c o 扩 展 名 的 恶 意 脚 本 ， 并 假 装 为 图 标 。
图 4 .   包 含 隐 藏 的   . i c o   的 修 补 W o r d P r e s s   i n d e x . p h p 的 示 例 另 一 个 值 得 注 意 的 功 能 是 能 够 感 染 邻 居 域 （ 前 提 是 W e b 服 务 器 正 在 处 理 更 多 域 ， 并 且 当 前 用 户 对 其 目 录 具 有 写 访 问 权 ） 。 图 5 . 尝 试 将 有 效 负 载 上 传 到 邻 居 域 在 受 感 染 的 在 受 感 染 的 W o r d P r e s s 网 站 中 部 署 网 站 中 部 署 A l f a - S h e l l 众 所 周 知 ， W e b   S h e l l 已 部 署 在 受 感 染 的 W o r d P r e s s 网 站 上 。 我 们 将 介 绍 A L F A   T E A M   /   s o l e v i s i b l e 使 用 A l f a - S h e l l 的 高 级 工 具 之 一 。 图 6 .   A l f a - S h e l l
图 7 .   S o l e v i s i b l e 的 G i t H u b 帐 户 该 W e b   S h e l l 为 R C E 提 供 了 一 个 用 户 友 好 的 界 面 （ 例 如 ， 注 册 允 许 执 行 P e r l ， P y t h o n 和 B a s h 脚 本 的 C G I 处 理 程 序 。 ） A l f a - S h e l l 还 能 够 从 W o r d P r e s s 配 置 文 件 中 获 取 数 据 库 凭 据 ， 从 而 转 储 数 据 库 。 ， 并 列 举 所 有 虚 拟 域 和 D N S 设 置 。 图 8 . 用 于 执 行 各 种 脚 本 类 型 的 C G I 处 理 程 序 图 9 . 部 署 的 B a s h 脚 本 示 例 该 W e b   S h e l l 还 支 持 多 种 平 台 ， 包 括 W i n d o w s 。 实 际 上 ， 它 能 够 从 开 发 人 员 网 站 下 载 并 执 行 反 向 S h e l l 。
图 1 0 .   A l f a   T e a m 的 简 单 W i n d o w s 反 向 s h e l l 二 进 制 文 件 被 感 染 的 W o r d P r e s s 也 可 以 用 作 广 告 重 定 向 器 ， 例 如 ， 通 过 修 补 主 题 的 J a v a S c r i p t 文 件 或 页 眉 / 页 脚 生 成 器 功 能 （ 例 如 w p - c o n t e n t     t h e m e s     t w e n t y s e v e n t e e n     f u n c t i o n s . p h p ） 。 修 改 后 的 J a v a S c r i p t 将 用 户 重 定 向 到 攻 击 者 指 定 的 网 站 。 图 1 1 . 模 糊 的 J a v a S c r i p t 重 定 向
图 1 2 . 重 定 向 后 的 网 页 受 感 染 的 受 感 染 的 W o r d P r e s s 网 站 中 的 搜 索 引 擎 优 化 （ 网 站 中 的 搜 索 引 擎 优 化 （ S E O ） 中 毒 ） 中 毒 受 感 染 的 W o r d P r e s s 网 站 的 另 一 个 用 例 是 搜 索 引 擎 优 化 （ S E O ） 。 我 们 发 现 已 部 署 的 P H P 脚 本 在 G E T 请 求 中 接 受 关 键 字 。
图 1 3 .   W o r d P r e s s “ 搜 索 引 擎 ” 脚 本 首 先 检 查 U s e r - A g e n t 是 否 与 以 下 正 则 表 达 式 之 一 匹 配 ， 或 者 $   _ S E R V E R   [ “   R E M O T E _ A D D R ” ] （ 发 出 H T T P 请 求 的 参 与 者 的   I P 地 址 ） 的 反 向 D N S 查 找 是 否 包 含 G o o g l e 子 字 符 串 。 如 果 检 出 ， 则 将 $   i s b o t 变 量 设 置 为 1 。 图 1 4 . 部 署 脚 本 的 一 部 分 如 果 $   i s b o t 不 为 零 ， 则 将 使 用 相 同 的 关 键 字 对 硬 编 码 的 U R L 地 址 发 出 另 一 个 H T T P 请 求 。 图 1 5 . 部 署 脚 本 的 一 部 分
如 果 返 回 的 文 本 长 度 小 于 1 , 0 0 0 个 字 符 ， 则 将 使 用 B i n g 搜 索 引 擎 执 行 其 他 查 询 ， 并 将 与 指 定 正 则 表 达 式 匹 配 的 结 果 附 加 到 $ t e x t 后 面 。 图 1 6 . 服 务 文 本 如 果 再 次 执 行 相 同 的 查 询 ， 则 返 回 最 终 的 H T M L 页 面 并 将 其 保 存 在 服 务 器 上 。 图 1 7 . 最 终 网 页 从 制 作 的 H T M L 文 件 中 可 以 看 到 （ 参 见 图 1 7 ） ， C o c k e y s v i l l e   E a g l e 的 F o o t b a l l 页 面 中 的 某 些 部 分 包 含 与 J a v a S c r i p t 框 架 有 关 的 文 本 ， 这 些 文 本 显 然 不 相 关 ， 因 此 S E O 中 毒 。 如 果 未 设 置 $   i s b o t 且 H T T P _ R E F E R E R 包 含 G o o g l e ， B i n g 或 Y a h o o 之 类 的 字 符 串 ， 则 将 其 重 定 向 到 另 一 个 服 务 网 站 。
图 1 8 . 部 署 脚 本 的 一 部 分 散 布 虚 假 或 误 导 性 文 章 散 布 虚 假 或 误 导 性 文 章 被 黑 的 W o r d P r e s s 网 站 也 可 能 被 用 来 散 布 虚 假 或 误 导 性 的 文 章 ， 其 中 内 容 几 乎 没 有 或 没 有 事 实 细 节 。 取 而 代 之 的 是 ， 使 用 引 人 注 目 的 标 题 和 故 事 。 图 1 9 . 在 受 感 染 站 点 上 发 布 的 故 事 样 本 从 上 面 的 示 例 中 可 以 看 出 ， 受 感 染 的 网 站 发 布 了 带 有 明 显 语 法 错 误 或 耸 人 听 闻 的 报 道 的 报 道 。 通 常 ， 这 些 文 章 写 得 很 模 糊 。 折 衷 方 案 是 通 过 W o r d P r e s s 的 X M L - R P C 应 用 程 序 编 程 接 口 （ A P I ） 来 完 成 的 ， 该 接 口 可 以 传 输 数 据 并 执 行 多 项 任 务 ， 例 如 上 载 新 文 件 ， 编 辑 和 发 布 帖 子 。 图 2 0 .   P O S T   / x m l r p c . p h p   和   m e t a W e b l o g . n e w P o s t   （ 左 ） ； 张 贴 文 字 范 例 （ 右 ） 黑 客 可 以 使 用 P O S T   / x m l r p c . p h p 和 m e t a W e b l o g . n e w P o s t ， 从 而 可 以 将 博 客 直 接 （ 甚 至 远 程 ） 发 布 到 W o r d P r e s s 网 站 。 W o r d P r e s s 网 站 的 安 全 建 议 网 站 的 安 全 建 议 上 面 提 到 的 示 例 只 是 攻 击 者 已 知 使 用 的 一 些 技 术 。 如 果 安 全 性 不 佳 ， 易 受 攻 击 的 W o r d P r e s s 网 站 很 容 易 被 滥 用 。 为 了 降 低 遭
受 威 胁 的 风 险 ， 我 们 建 议 使 用 两 因 素 身 份 验 证 （ 2 F A ） 插 件 来 防 止 凭 据 滥 用 和 扫 描 未 修 补 的 漏 洞 。 用 户 和 网 站 管 理 员 可 以 采 取 以 下 其 他 措 施 ： 采 用 基 本 的 安 全 卫 生 措 施 以 减 少 网 站 的 攻 击 面 禁 用 或 删 除 过 时 或 易 受 攻 击 的 插 件 使 用 虚 拟 补 丁 程 序 来 解 决 尚 不 可 用 补 丁 程 序 的 漏 洞 ， 尤 其 是 对 于 需 要 持 续 运 行 的 系 统 贯 彻 最 低 特 权 原 则 定 期 将 C M S 更 新 到 最 新 版 本 ， 包 括 插 件
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理