wp博客php代码网站漏洞修复详情

时间：2020-03-08

2020年，刚刚开始WordPress博客系统被网站安全检测出有插件绕过漏洞，该插件的开发公司，已升级了该插件并发布1.7版本，对以前爆出的漏洞进行了修补，该企业网站漏洞造成的原因是未经许可身份认证的普通用户给以了系统管理员权限。黑客能够以网站管理员的身份进行登陆，并可以将wp企业网站的全部数据表信息恢复为以前的模式，进而上传webshell企业网站木马代码来进行篡改企业网站。现阶段受危害的版本包含较新的WP系统。

这个WP插件的主要功能是可以将网站的主题自定义的进行外观设计，与导入代码，让很多新手不懂代码设计的可以*的掌握该技巧对网站进行外观设计，目前**用该插件的人数达到二十五万多企业网站在使用该插件，也是目前较受环境的插件。该网站漏洞影响的插件版本，是存在于1.5-1.6版本。根据目前WP官方的数据资料统计，使用该版本的用户以及网站数量占比竟然达到百分之95左右，受漏洞影响的网站确实太多，建议各位站长尽快对该插件进行升级，修复漏洞。

该网站漏洞的利用方式以及条件，必须是该主题插件处于启用状态，并且是公司网站上都安装了这个插件才会受到漏洞的攻击，让黑客有攻击网站的机会。SINE安全技术在实际的漏洞利用测试过程中，也发现了一些问题，插件绕过漏洞的利用前提是需要有1个条件来进行，网站的数据库表中的普通用户必须有admin账户存在，目前的网站安全解决方案是尽快升级该插件到较新版本，有些企业网站不知道该如何升级的，先将改插件在后台关闭掉，防止黑客的入侵。

针对该插件漏洞的修复办法，可以在“wdcp_init”的Hook在网站环境中运行，而且还可启用*通过身份认证的普通用户的“/wp-wdcp/wdcp-ajax.tp框架”。缺少身份认证就使漏洞没有利用的机会了。假如数据表中存有“wdcp”普通用户，未经许可身份认证的黑客机会会应用此账号登陆，并删掉全部以已定义的数据表前缀打头的。可以将该用户删除掉，以防止网站被攻击。

只要删掉了全部表，它将应用高级设置和数据信息添充数据表，随后将“wdcp”普通用户的密码修改为其此前已经知道的登陆密码。某安全组织于2月6号检测到了该网站插件绕过漏洞，在同一天将其安全报告给插件的开发公司。十天之后，也就是上个星期，主题Grill插件公司，发布了修复该网站漏洞的新版本。

在编写这篇文章时，修补后的插件，较新版本下载数量达到二十多万，这说明应用还有很多企业网站没有修复漏洞，仍然处在被攻击的风险当中。针对于WP官方的数据安全中心发布的安全报告中显示的两个网站漏洞，当黑客利用这些网站漏洞时，都是会造成和本次安全事件一样的影响。建议使用该插件的wordpress公司网站尽快升级，修复漏洞，以免对网站对公司产生更大的经济损失以及影响。

在其中1个CVE-2020-7048准许未经许可身份认证的普通用户从其他数据表中重置表，而另外一个CVE-2020-7047则是赋予较低管理权限的账号网站管理员管理权限。如果您对网站代码不是太了解，不知道该如何修复wordpress的漏洞，或者是您网站使用的是wp系统开发的，被黑客攻击篡改数据，也可以找专业的网站安全公司来处理解决。

13280888826

词条
词条说明
thinkphp 较新漏洞导致可上传webshell木马文件
大年初五，根据我们SINE安全的网站安全监测平台发现，thinkphp官方6.0版本被爆出高危的网站代码漏洞，该漏洞可导致网站被植入网站木马后门文件也叫webshell，具体产生的原因是session ID参数值这里并未对其做详细的安全过滤与效验，导致可以远程修改POST数据包将session的值改为恶意的后门代码，发送到服务器后端并生成PHP文件直接生成，可导致网站被攻击，服务器被入侵，关于该t
网站安全防护措施有哪些
网站安全防护是指出于防止网站受到外来电脑入侵者对其网站进行挂马，篡改网页等行为而做出一系列的防御工作。启动一个新网站是一个令人兴奋的项目，充满了许多重要的步骤和决定。但是，作为网站的所有者，您不仅要处理被黑客入侵的后果，还要对其页面上的内容以及人们用来与之交互的机制负责。如果您计划存储用户信息（例如密码或电话号码），则必须妥善保护这些数据，否则根据某些法律，您可能会因数据泄露事件而受到罚款。为保护
疫情期间远程办公网站服务器被攻击该如何进行防御？
2020年疫情当前，为了较大程度降低**面对面交流接触、降低传染隐患，实施远程移动办公现已成为各个领域复工复产的至关重要手段。但一下子大规模网络移动办公操作，会带来非常多安全隐患问题，尤其是数据安全和信息泄露安全问题。企业一旦把业务平台部署到互联网公开访问，由于网站平台安全防护不足，*遭到网络黑客的攻击；为了方便一些服务器维护人员直接开启了服务器80、443、3389、21、22等对外端口，很
谷歌被拒登导致网站无法推广的处理解决过程 2020较新篇
2020年google adwords上线了较新的安全算法，针对客户网站存在恶意软件以及垃圾软件的情况，将会直接拒绝推广，显示已拒登：恶意软件或垃圾软件的提示。导致国内大部分做外贸以及google推广的客户受到影响，很多客户找到我们SINE安全公司寻求技术上的支持，帮忙解决问题，促使goole广告尽快上线。像这种问题该如何解决处理呢？首先我们要判断网站是不是被黑客攻击，导致被植入了恶意的软件以及垃