Canada Data

如果您使用 WordPress 作為您最喜歡的開源部落格平台，那麼您很可能已經聽說過 WP 的 TimThumb 外掛程式中最近發現的安全漏洞。如果你還沒有——你應該這樣做，因為它非常嚴重。以下是更多相關資訊：

這個安全漏洞不是 WordPress 的核心漏洞，因此您不會因為僅使用 WordPress 而受到攻擊。然而，壞消息是，相當多的主題使用 TimThumb 外掛才能正確運行，因此 TimThumb 包含在許多免費和付費的 WordPress 外掛和主題中。結果是，即使您並不真正了解或不關心，您也很有可能在您的 WordPress 上安裝並運行了易受攻擊的 TimThumb。


這個缺陷本身相當愚蠢——TimThumb 外掛程式允許從所謂的「受信任域」清單上傳檔案。這些網域包括“flickr.com”、“picasa.com”、“blogger.com”等- 如果您將圖片庫保留在那裡並希望將圖片傳輸到您的博客 智利電話號碼數據 那麼您可能會發現所有這些網域都很有用一目了然。但是，該檢查有缺陷，因為您可以使用 blogge 等網域繞過它。該網域通過了檢查，但屬於 hacker，因此該腳本可被利用。駭客已經在野外利用這個漏洞，許多部落客已經遭受了這個漏洞的困擾。

如果您是 WordPress 用戶並且安裝了 TimThumb，甚至更糟 – 您已經被駭客攻擊，您可能想知道如何解決問題？好消息是，這裡已經提供了該外掛程式的修復程式：


除了這種情況下的好消息和壞消息之外，如果您的 WordPress 託管在 SiteGround 上，還有一個好消息 - 無需您執行任何操作即可確保其安全！一如既往，我們一直在努力照顧我們的其他客戶，而不是用不必要的細節和過於複雜的技術內容來讓他們感到無聊。畢竟您將您的網站委託給我們，其安全性是我們的首要目標。所以這就是我們所做的——漏洞利用生效後的第二天，如果我沒記錯的話，大約是一個月前——我們檢查了有多少人在使用 TimThumb 插件。這個數字是毀滅性的——大約 15,000 個 WP 實例安裝了它，其中大約 350 個實例已經受到損害。顯然，升級15,000 個WP 實例不是一個選擇- 這是一個巨大的數字，而且考慮到TimThumb 有如此多不同的版本，而且我們需要在升級他/她的網站之前徵求客戶的同意，這根本不可能完成。至少短期內不會。因此，我們決定在更多客戶受到影響之前找到一種智慧且有效的方法來處理漏洞。好吧，大多數主機甚至不會費心提出修復建議，因為他們會將問題定義為“超出技術支援的範圍”，但我們嘗試以不同的方式做，並確保我們避免麻煩並盡可能為客戶服務。



然後在短短幾個小時內，我們的一位系統工程師找到了解決方案，優雅、簡單且快速 - TimThumb 插件使用一個名為 tmp/cache 的資料夾來儲存上傳的檔案。我們所做的是在所有 WordPress 實例中暫停執行該資料夾中的檔案。簡而言之，如果您上傳圖像，它會起作用，但如果您上傳腳本（例如 badass hack 腳本），它就不起作用。這神奇地解決了這一切，沒有為我們的客戶帶來任何麻煩。然後，我們修改了 Apache 安全模組 (mod_security)，並添加了一些阻止駭客執行的規則，這樣我們的客戶就可以受到兩層而不是一層的保護。然後通知不幸的 350 個被駭客攻擊的傢伙他們應該做什麼來解決問題——即擺脫駭客攻擊併升級插件版本。我們還提供了清理駭客和升級插件的服務，由 Super Heroes @ SiteGround 支援團隊為不確定如何自己做的人執行。

所以問題的答案是：“您的 WordPress 網站最近被黑客攻擊了嗎？”在一般情況下，令人不安的是，通常是“是”，如果您使用 SiteGround WordPress 託管，則很可能是“否” 。