WordPress4.9 最新版本网站安全漏洞详情与修复

2018-09-05 06:02:34 浏览:303次【大中小】

　　wordpress 目前互联网的市场占有率较高，许多站长以及建站公司都在使用这套开源的博客建站系统来设计网站，wordpress的优化以及html静态化，深受google以及搜索引擎的喜欢，全世界大约有着百分之28的网站都在使用这套系统，国外，外贸网站，个人博客使用的最多。

　　我们SINE安全在对其wordpress网站进行详细的安全检测以及网站漏洞检测，发现wordpress存在着高危的网站安全漏洞，在wordpress4.9版本一下存在着管理员密码找回漏洞，可以在找回密码的过程中窃取用的密码资料，可以先人一步对其找回的密码进行设置。

　　WordPress 漏洞详情

　　在该系统代码里我们发现wp_mail这个函数具体的作用是用来发送邮件，用户找回密码首先会发送邮件过去，确认账号的所有者，然后再进行重新设置密码，但是在这个找回密码发送邮件的过程中，我们发现，代码里的发送服务器地址：server这个值里是可以伪造的，也就是说我们可以构造恶意的函数来对其进行sql注入以及查询数据库里的账号密码。

　　在正常的情况下，网站发送邮件的参数配置里会把退件的一个地址作为用户密码找回的时候，如果没有发送到对方的邮件里，会直接退回到退件的邮件地址里去，也就是说我们可以设置退件的地址发送到我们设置好的邮件地址里去，我们来进行重新找回密码，设置用户的新的密码。

　　我们首先利用阿里云的服务器，ECS购买一个按量付费的国内服务器，linux centos系统，然后安装nginx+PHP+mysql数据库的这么一个网站环境，再下载WordPress官方的一个版本，安装到服务器中，我们来现场实战一下：如下图：

　　我们创建一个我们自己的邮箱，在服务器里搭建好邮箱的环境，开启stmp25端口,然后抓包WordPress找回这里，远程代码执行我们的操作，如下图：

　　这里我们提交到我们的网站里去，邮件没有发送成功就会退送到我们远程代码指定好的邮件地址里去的.

　　然后如果邮件里没有用户密码找回的链接，我们可以通过查看源代码或者是html代码就可以看到重新设置用户密码的链接。

　　WordPress 网站漏洞修复建议：

　　建议各位网站的运营者尽快升级WordPress到最高版本，或者是关闭用户密码找回功能，对网站程序代码不懂的话，也可以直接关闭邮件的发送设置，还是不太懂的话，建议找专业的网站安全公司进行网站漏洞修复，国内SINE安全公司、以及绿盟、启明星辰都是比较专业的。

来源：sinesafe

全部评论(0)

5个搜索引擎信息流广告效果和投放体验

做了好几年的广告投放，很少对5个搜索引擎广告效果做一个总结和梳理。它们分别是百度竞价、360竞价、搜狗竞价、神马搜索、字节巨量广告。本篇谈下我的一些个人体验。1：百度我第一次了解百度竞价是2015年10月。当时..

iss浏览:775次评论:0条
2021-08-17 23:17

如何利用微博自建流量池自动持续引流

讲到微博，大家都不陌生，微博是继QQ、微信之后的中国第三大社交平台。关于微博引流的方式有很多，比如：热榜、超话、博文头条、更多兴趣用户推广、指定账号广、微活动、大 V 转发、批量群发，微博关键词搜索、微..

iss浏览:550次评论:0条
2021-06-20 23:02

五年花光数千万，百度竞价保姆级教程来啦!

我认为百分之90的小微创业者都需要学习百度竞价(SEM)，当我们掌握了百度竞价的技术，根本就不会缺精准的客户，因为在百度搜索的需求，比在任何平台的流量都来的精准。本文会是一篇保姆级的教程，从百度竞价开户搭建..

iss浏览:505次评论:0条
2021-06-09 14:58

百度移动端搜索与微信搜一搜搜索结果排序对比来看它们异同..

关键词关键词，用拆词来说是关键+词。很多人并没有明白关键词真正意思，即这个【关键】很重要。很多人选词就没有找到关键词，所以想获取精准流量也是不可能的。关键词理解和分析，确是是需要大量实操经验的。要想入..

iss浏览:543次评论:0条
2021-06-06 20:54

开源等于免费吗？

首先，开源软件和免费软件是两个概念：开源软件是指公开源代码的软件。开源软件在发行的时候会附上软件的源代码，并授权允许用户更改、传播或者二次开发。免费软件就是免费提供给用户使用的软件，但是在免费的同时，..

ad5浏览:685次评论:0条
2020-04-17 15:07

新媒体热点怎么找？搜索、判断、运用，走好这三步！..

近期和朋友聊天，说起她的一个困惑，她们公司做的一个抖音号，是以热点为竞争核心的，这样的定位虽说有些出圈困难，但好在是成本低，博概率。那么问题就来了，朋友说，以前总是看到很多热搜，直到自己做了，才发现想..

zzw浏览:723次评论:0条
2020-03-25 01:40

再也不怕 404 了，“网站时光机”可找回已删除的网页..

平常人们使用浏览器搜索资料时，打开一个链接后发现页面显示“404 找不到页面”，心里难免有些失望。如今在这个浏览器的最新版本中，集成“网站时光机”(Wayback Machine)技术，可找回存档的网页。网友：再也不用担..

duoaili浏览:928次评论:0条
2020-03-10 00:22

中小站长如何防范黑客攻击，避免网站遭受损失？..

安全一直以来都是各大站长们比较关心的问题，一个网站，如果没有一个安全的系统环境，做得再好，也没什么意义，一旦遭受攻击，损失就会非常大。因此，学会防范黑客攻击，保护好自己的网站，是必要的。本人从学习建站..

zzw浏览:768次评论:0条
2020-01-15 16:21

免费引流渠道！百度百家宣传品牌，拓展新客户，绝招在这里..

有句话说的好“有事没事搜一搜”，当工业品买家需要找产品的时候第一动作就是先百度一下。正是因为买家的习惯养成，成就百度搜索的价值提升，从而进入百度竞争也日益激励，特别是对中小企业来讲成本颇高。那如何免费..

ad5浏览:905次评论:0条
2019-12-28 17:40

分类信息网站如何增加搜索引擎收录

互联网发展至今，分类信息仍然是网民重要的需求之一，伴随着“互联网+”的发展，分类信息的重要性越发突出，虽然互联网的流量被各类型的平台所瓜分，但通过搜索引获取分类信息仍然是网民重要的渠道之一，这就为我们..

zzw浏览:694次评论:0条
2019-12-16 17:46