Безопасность WordPress блогов http://wp-guard.com Как сделать ваш WordPress блог безопасным Tue, 06 Jul 2010 13:03:40 +0000 en hourly 1 wp-guardhttp://feedburner.google.comSubscribe with My Yahoo!Subscribe with NewsGatorSubscribe with My AOLSubscribe with BloglinesSubscribe with NetvibesSubscribe with GoogleSubscribe with Pageflakes Уязвимость в плагине WordPress Simple:Press Plugin http://feedproxy.google.com/~r/wp-guard/~3/ukapQwt4eIE/ http://wp-guard.com/uyazvimost-v-plagine-wordpress-simplepress-plugin/#comments Tue, 06 Jul 2010 13:03:40 +0000 admin http://wp-guard.com/?p=62 читать далее ..]]> Найдена уязвимость в плагине WordPress Simple:Press Plugin, которая позволяет удаленному пользователю обойти ограничения безопасности и произвести XSS-атаку на целевую систему.

  • Уязвимость существует из-за недостаточной обработки входных данных сценарием profile/ahah/sf-ahah-profile-save.php, если параметр "uid" принадлежит текущему залогиненому пользователю перед обновлением профиля. Атакующий может обновить профиль другого пользователя.
  • Уязвимость существует из-за недостаточной обработки входных данных различными сценариями перед возвращением пользователю в функцию sf_esc_int() в library/sf-primitives.php. Атакующий может выполнить произвольный сценарий в браузере жертвы в контексте безопасности уязвимого сайта.

Рекомендуется отключить данный плагин, до выхода новой версии, в которой данные уязвимости будут устранены.


]]> http://wp-guard.com/uyazvimost-v-plagine-wordpress-simplepress-plugin/feed/ 0 http://wp-guard.com/uyazvimost-v-plagine-wordpress-simplepress-plugin/ Обнаружен веб-сервис, позволяющий автоматизировать процесс взлома паролей WordPress http://feedproxy.google.com/~r/wp-guard/~3/M0BRJZLBVTg/ http://wp-guard.com/obnaruzhen-veb-servis-pozvolyayushhij-avtomatizirovat-process-vzloma-parolej-wordpress/#comments Sat, 05 Dec 2009 07:02:47 +0000 admin http://wp-guard.com/?p=59 читать далее ..]]> Хакеры разработали схему распределенного взлома паролей администраторов к аккаунтам WordPress, применение которой не сулит ничего хорошего тем блогам, чьи владельцы используют небезопасные пароли.

PHP-скрипты, расположенные на виртуальном сервере, запускают на целевые сайты брутфорс-атаки, позволяя одновременно подбирать пароли сразу ко многим ресурсам. Результаты таких атак записываются в специальную базу данных.

SANS Internet Storm Centre отмечает, что брутфорс-атаки на WordPress – это весьма распространенное явление. Тем не менее, специалисты Центра подчеркивают, что появление распределенных сервисов для взлома блогов выводит эту проблему на новый уровень.

“Несмотря на то, что данный конкретный образец достаточно прост, сила, стоящая за связкой скрипта и базы данных MySQL, позволяет нападающим осуществлять атаку не только по названиям сайтов, но и по испробованным паролям”, - пишет в сетевом дневнике организации ее эксперт Бойян Здрня.

Администраторам блогов во избежание взлома рекомендовано использовать трудные для подбора пароли и ограничить доступ к административной части по IP-адресам.


]]> http://wp-guard.com/obnaruzhen-veb-servis-pozvolyayushhij-avtomatizirovat-process-vzloma-parolej-wordpress/feed/ 0 http://wp-guard.com/obnaruzhen-veb-servis-pozvolyayushhij-avtomatizirovat-process-vzloma-parolej-wordpress/ Уязвимость в плагине WordPress DM Albums 2.x http://feedproxy.google.com/~r/wp-guard/~3/MSJAyHTNTTw/ http://wp-guard.com/uyazvimost-v-plagine-wordpress-dm-albums-2-x/#comments Wed, 28 Oct 2009 04:16:23 +0000 admin http://wp-guard.com/?p=57 читать далее ..]]> Найдена уязвимость в плагине WordPress DM Albums 2.x, которая позволяет провести XSS-атаку против вашего блога и получить доступ к файловой системе, с возможностью удаления папок.

Из-за ошибки при проверке входных данных в параметре "delete_album" сценарием dm-albums/wp-dm-albums-ajax.php. Атакующий может удалить папки извне root директории альбомов.

Эксплоит:

http://someblogsite/wp-content/plugins/dm-albums/wp-dm-albums-ajax.php?delete_album=../../../public_htm

Плагин обновлен 23.10.2009, с этим обновлением, исправлена и уязвимость, поэтому рекомендуется срочным образом обновить плагин, до версии 2.1.1.


]]> http://wp-guard.com/uyazvimost-v-plagine-wordpress-dm-albums-2-x/feed/ 0 http://wp-guard.com/uyazvimost-v-plagine-wordpress-dm-albums-2-x/ Скрываем версию WordPress http://feedproxy.google.com/~r/wp-guard/~3/P0me_W-ytWE/ http://wp-guard.com/skryvaem-versiyu-wordpress/#comments Fri, 23 Oct 2009 13:18:59 +0000 admin http://wp-guard.com/?p=54 читать далее ..]]> Для повышения безопасности блога, часто рекомендуют отключить отображение версии WordPress. Инструкций как это сделать, огромное множество и все они могут использовать разные методы для отключения отображения версии, но самый просто и правильный вариант, это добавить в файл functions.php который находится в папке шаблона вашего блога, следующую строчку:

remove_action('wp_head', 'wp_generator');

Эта строчка отключает отображение версии WordPress, для вашего блога. Таким образом злоумышленникам будет немного сложнее провести атаку на ваш ресурс.


]]> http://wp-guard.com/skryvaem-versiyu-wordpress/feed/ 2 http://wp-guard.com/skryvaem-versiyu-wordpress/ Скрываем сообщение о ошибке при логине. http://feedproxy.google.com/~r/wp-guard/~3/5mEth1QP9lo/ http://wp-guard.com/skryvaem-soobshhenie-o-oshibke-pri-logine/#comments Thu, 22 Oct 2009 12:38:21 +0000 admin http://wp-guard.com/?p=51 Дабы усложнить перебор паролей к вашему WordPress-блогу, можно попросить его не показывать сообщения об ошибке при попытках неправильного входа в блог, таким образом злоумышленник не увидит в чем суть проблемы, несуществующий пользователь или неправильный пароль.

Для этого, необходимо отредактировать файл functions.php и вставить следующую строчку:

add_filter('login_errors',create_function('$a', "return null;"));


]]> http://wp-guard.com/skryvaem-soobshhenie-o-oshibke-pri-logine/feed/ 4 http://wp-guard.com/skryvaem-soobshhenie-o-oshibke-pri-logine/ Уязвимость в файле wp-trackback.php http://feedproxy.google.com/~r/wp-guard/~3/lR09EJq8STQ/ http://wp-guard.com/uyazvimost-v-fajle-wp-trackback-php/#comments Tue, 20 Oct 2009 22:25:48 +0000 admin http://wp-guard.com/?p=49 Свежая уязвимость в WordPress которая позволяет провести DOS атаку на блог жертвы используя файл wp-trackback.php

Отключение трекбэков не избавляет от данной уязвимости, для того, чтобы обезопасить свой блог, необходимо установить плагин, который исправляет данную проблему.

Плагин можно скачать здесь

Эксплоит уязвимости: jarraltech.com/2009/10/new-0-day-wordpress-exploit/
Источник: blogproblog.com/wp-trackback_dos_attack/


]]> http://wp-guard.com/uyazvimost-v-fajle-wp-trackback-php/feed/ 0 http://wp-guard.com/uyazvimost-v-fajle-wp-trackback-php/ Уязвимость WordPress плагина DM Albums http://feedproxy.google.com/~r/wp-guard/~3/DCMuJwlZSJY/ http://wp-guard.com/uyazvimost-wordpress-plagina-dm-albums/#comments Thu, 09 Jul 2009 13:25:24 +0000 admin http://wp-guard.com/?p=47 В WordPress плагине DM Albums найдена уязвимость, которая позволяет злоумышленнику удаленно выполнить произвольный PHP файл на сервере жертвы.

Уязвимость возникла в связи с небезопасной обработкой входящих данных, в переменной SECURITY_FILE в файле album.php.

Благодаря этой уязвимости, может быть выполнен любой PHP файл, на системе жертвы, с правами доступа Web-сервера.

Подробнее о уязвимости.


]]> http://wp-guard.com/uyazvimost-wordpress-plagina-dm-albums/feed/ 0 http://wp-guard.com/uyazvimost-wordpress-plagina-dm-albums/ Уязвимость WordPress плагина Photoracer 1.0 http://feedproxy.google.com/~r/wp-guard/~3/Y0v2ZAekGko/ http://wp-guard.com/uyazvimost-wordpress-plagina-photoracer-10/#comments Wed, 17 Jun 2009 05:12:07 +0000 admin http://wp-guard.com/?p=45 В плагине Photoracer 1.0 найдена уязвимость типа SQL-injection, которая позволяет злоумышленнику выполнить любые команды в базе данных WordPress блога.

Данная уязвимость обеспечивается недостаточной обработкой данных, которые передаются скрипту viewimg.php. С помощью такого запроса, можно выполнять команды к базе данных:

http://site.pl/wp-content/plugins/photoracer/viewimg.php?id=-1+union+select+0,1,2,3,4,user(),6,7,8--

Рекомендуется отключить плагин, до исправления ошибки или выхода новой версии.


]]> http://wp-guard.com/uyazvimost-wordpress-plagina-photoracer-10/feed/ 1 http://wp-guard.com/uyazvimost-wordpress-plagina-photoracer-10/ Уязвимость в WordPress плагине FireStats 1.6.1 http://feedproxy.google.com/~r/wp-guard/~3/HBiT8fxvbUI/ http://wp-guard.com/uyazvimost-v-wordpress-plagine-firestats-161/#comments Mon, 15 Jun 2009 20:06:08 +0000 admin http://wp-guard.com/?p=43 Из-за неправильной обработки входных данных, злоумышленник может воспользоваться уязвимостью в плагине FireStats и выполнить любой сценарий с правами веб-сервера.

Передав имя файла, плагину, с помощью аргументов адресной строки, злоумышленник может передать имя файла, которое находится где-то на сервере.

Пример запроса: http://www.TARGET.com/[path]/wp-content/plugins/firestats/firestats-wordpress.php?fs_javascript=[darkc0de]


]]> http://wp-guard.com/uyazvimost-v-wordpress-plagine-firestats-161/feed/ 0 http://wp-guard.com/uyazvimost-v-wordpress-plagine-firestats-161/ Защита от перебора паролей в WordPress http://feedproxy.google.com/~r/wp-guard/~3/9KrcBzoyH_E/ http://wp-guard.com/zashhita-ot-perebora-parolej-v-wordpress/#comments Tue, 31 Mar 2009 06:41:59 +0000 admin http://wp-guard.com/?p=41 читать далее ..]]> Для того, чтобы обезопасить свой блог, от взлома путем перебора паролей, необходимо установить ограничение количества неправильных логинов, в этом случае бот или человек, который задумает подобрать пароль к Вашему блогу, после определенного количества неправильных логинов, будет забанен на определенное время.

Сделать это можно очень легко, достаточно просто скачать и установить WordPress плагин Limit Login Attempts. (как установить плагин)

  • Плагин позволяет настроить количество неправильных логинов, до того как забанить пользователя.
  • Плагин показывает пользователю сколько попыток осталось
  • Плагин показывает пользователю сколько времени осталось до следующей возможности логина
  • Отправляет уведомление администратору о том, что были попытки подобрать пароль

Устанавливайте плагин и делайте ваш WordPress блог более безопасным.


]]> http://wp-guard.com/zashhita-ot-perebora-parolej-v-wordpress/feed/ 0 http://wp-guard.com/zashhita-ot-perebora-parolej-v-wordpress/