2020-09-30
研究人员在本周二表示,黑客正在积极利用一个漏洞,这个bug让他们在运行File Manager的网站上执行命令和恶意脚本。File Manager是一个有70多万活跃安装的WordPress插件用户。在安全漏洞被修补几个小时后,攻击的消息就传来了。
攻击者利用此漏洞上传包含隐藏在图像中的webshell文件。在那里,它们有一个方便的接口,可以允许它们在plugins/wp-file-manager/lib/files/(文件管理器插件所在的目录)中运行命令。虽然这一限制阻止黑客对目录之外的文件执行命令,但黑客可以通过上传脚本,在易受攻击的站点的其他部分执行操作,从而造成更大的损失。
泰国曼谷的一家网站安全公司NinTechNet,是最早报告这种疯狂攻击的公司之一。该帖子称,黑客利用这个漏洞上传了一个名为hardfork.php的脚本,然后用它将代码注入到WordPress script /wp-admin/admin-ajax.php和/wp-includes/user.php中。
NinTechNet首席执行官Jerome Bruandet(杰罗姆·布鲁代特)在电子邮件中写道:
现在要定义它的影响还为时过早,因为当我们发现攻击时,黑客们只是试图给网站打开后门。然而,我们注意到的一件有趣的事情是,攻击者注入了一些代码用以密码保护对脆弱文件的访问(connector.minimal.php),这样其他黑客组织就无法利用已被感染网站上的漏洞。
所有命令都可以在/lib/files文件夹中运行(创建文件夹、删除文件等),但最重要的是他们也可以将PHP脚本上传到这个文件夹中,然后运行它们并对博客做任何他们想做的事情。
到目前为止,他们上传的是“FilesMan”,这一个经常被黑客使用的文件管理器。这一个是严重混淆。在接下来的几个小时和几天里,我们将会看到他们会做些什么,因为如果他们用密码保护这个脆弱的文件,以防止其他黑客利用这个漏洞,他们很可能会再次来访问受感染的网站。
与此同时,另一家网站安全公司Wordfence在自己的帖子中说,过去几天里,它已经屏蔽了超过45万次攻击企图。该帖子称,攻击者试图注入各种文件。在某些情况下,这些文件是空的,最有可能是试图探测易受攻击的网站,如果成功,随后注入一个恶意文件。上传的文件的名字包括hardfork.php ; hardfind.php和x.php。
”这样的文件管理器插件将会让攻击者可以直接从WordPress仪表板操纵或上传他们选择的任何文件,从而有可能让他们升级特权在网站的管理领域”克洛伊Chamberland,安全公司Wordfence研究员,在周二的文章中写道。“例如,攻击者可能使用一个泄露的密码来访问站点的管理区域,然后访问这个插件并上传一个webshell来做进一步的枚举服务器,并有可能使用其他漏洞利用来升级他们的攻击。”
巧用WPS校园版制作带拼音课件
2011-06-22
支付宝私奔蝴蝶效应 互联网现融资恐慌
2011-06-22
门户网站的电商江湖 借微博取道电子商务
2011-06-10
U-mail邮件系统:谱写售后服务传奇
2011-06-22
谷歌副总裁称谷歌地图服务拥有1.5亿移动用户
2011-06-10
胡舒立:马云为什么错
2011-06-22
远离【色】【情】吧!互联网反黄完全解决方案
2011-06-11
腾讯SOSO开创情境搜索 领衔后搜索时代全面革新
2011-06-22
Twitter推广趋势服务费一年涨4倍达12万美元
2011-06-10
腾讯开放平台VS Facebook开放平台
2011-06-22
狂野钓鱼2无限钻石版下载v1.0.9 安卓破解版内置菜单
休闲益智 172.4M
下载网易赤痕夜之仪式手游版(bloodstainedrotn)下载v1.34 安卓版
角色扮演 1.65G
下载碉少堡独立服海岛奇兵下载v60.1.2 安卓版
策略塔防 315.6M
下载海岛奇兵联想版本下载v60.1.2 安卓版
策略塔防 315.6M
下载火影忍者木叶高手游戏下载v1.0.2 安卓版
卡牌对战 1.23G
下载海岛奇兵网易云版下载v60.1.2 安卓版
策略塔防 315.6M
下载刀塔霸业手游(Underlords)下载v1.1.0 安卓版
策略塔防 56.1M
下载海岛奇兵微信版本下载v60.1.2 安卓版
策略塔防 315.6M
下载海岛奇兵华为账号登录版下载v60.1.2 安卓版
下载
海岛奇兵拇指玩版本下载v60.1.2 安卓版
下载
海岛奇兵uc版本下载v60.1.2 官方安卓版
下载
海岛奇兵一号玩家版下载v60.1.2 安卓版
下载
如鸢官方正版下载v1.19 安卓最新版
下载
车祸模拟器2游戏下载v1.43.0 安卓版
下载
海岛奇兵昆仑最新版下载v60.1.2 安卓版
下载
cytoid苹果版下载v2.1.2 iphone手机版
下载