Оставьте свой e-mail
чтобы получать от нас рекламные акции со скидками и
новыми предложениями
Согласие на обработку персональных данных:
Согласие на обработку персональных данных

Настоящим в соответствии с Федеральным законом № 152-ФЗ «О персональных данных» от 27.07.2006 года свободно, своей волей и в своем интересе выражаю свое безусловное согласие на обработку моих персональных данных ООО "ИНСЭЛИЯ" (ОГРН 1165053050161, ИНН 5053042155), зарегистрированным в соответствии с законодательством РФ по адресу:
Гостиничный пр-д, д.8 к.1, ОФИС 503-1, Москва, Россия (далее по тексту - Оператор).
Персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу.
Настоящее Согласие выдано мною на обработку следующих персональных данных:
- Имя;
- E-mail;
- Телефон;
- Комментарий.

Согласие дано Оператору для совершения следующих действий с моими персональными данными с использованием средств автоматизации и/или без использования таких средств: сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, обезличивание, передача третьим лицам для указанных ниже целей, а также осуществление любых иных действий, предусмотренных действующим законодательством РФ как неавтоматизированными, так и автоматизированными способами.
Данное согласие дается Оператору и третьему лицу(-ам) для обработки моих персональных данных в следующих целях:
- предоставление мне услуг/работ;
- направление в мой адрес уведомлений, касающихся предоставляемых услуг/работ;
- подготовка и направление ответов на мои запросы;
- направление в мой адрес информации, в том числе рекламной, о мероприятиях/товарах/услугах/работах Оператора.

Настоящее согласие действует до момента его отзыва путем направления соответствуюолжить обработку персональных данных без моего согласия при наличии оснований, указанных в пунктах 2 – 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона №152-ФЗ «О персональных данных» от 26.06.2006 г.
insalea
Заказать сайт
Город:

   
05
Уязвимости в бесплатных CMS
     
Уязвимости в бесплатных CMS

Уязвимости в бесплатных CMS

Ни для кого не секрет, что бесплатные cms (системы управления сайтом) очень уязвимые. 

Сегодня статья о уязвимостях wordpress 2018-2019 год. А в конце расскажем какие критические обновления получила новая версия cms. 

Уязвимость - это дырка, баг, слабое место, которое может быть использовано для атаки на ваш сайт/подмены информации и тд. 


Всего их сегодня известно 6677 штук. (данные на 2018 год, сейчас может быть уже гораздо больше)


Условно все уязвимости WordPress можно разделить на несколько типов: 


1. Уязвимости самой системы управления сайтом

2. Уязвимости плагинов (без которых не создать полноценный сайт)

3. Уязвимости шаблонов (темы оформления)

4. Уязвимость владельца сайта :) 



1. Уязвимость системы управления сайтом (cms) Wordpress.


На 2018 год было известно всего 247 уязвимостей WordPress, касающихся непосредственно движка и не относящихся к плагинам и темам. В основном это XSS эксплойты. На 2019 год, к сожалению, пока данных мы не нашли. Но мы будем следить за этим и выпустим вторую статью :)


2. Уязвимости плагинов и шаблонов (тем оформления). 


Для тем и плагинов основные уязвимости представляют собой бреши, с помощью которых можно получить несанкционированные привилегии пользователя, либо внедрить вредоносный код с использованием межсайтового скриптинга (XSS) и SQL-инъекций.

Отдельного внимания заслуживают скачанные бесплатно премиум-темы и плагины. Чаще всего они заражены и используются для черного SEO в 97% случаев заражения. Проявляется это внедрением ссылок в невидимые для пользователя блоки сайта с целью продвижения сторонних ресурсов. Остальные 3% приходятся на бэкдоры и веб-шеллы, дающие фактически полный доступ злоумышленнику к вашему ресурсу.


3. Человеческий фактор или уязвимость владельца сайта :) 


Ну и последняя группа появилась благодаря действиям пользователей. Например, некоторые люди устанавливают слабый пароль, который быстро подбирается. Из-за этого открывается доступ к панели администратора, а отсюда все вытекающие. Либо после установки движка не предпринимаются необходимые меры по борьбе с дырами из коробки.

Так же, к этому пункту можно отнести обновления сайта, необходимость закрытия админки от стандартного вида, скрытия части каталогов для индексации и тд. 



Одна из выдержек статьи про найденную уязвимость wordpress: 


Найдена уязвимость в WordPress, позволяющая нарушить работу сайтов (2018 год) 


Инженер-исследователь проблем безопасности компании Secarma Сэм Томас (Sam Thomas) выступил с докладом на конференции BSides, где рассказал об уязвимости WordPress. Её обнаружили в феврале 2017 года, и дальнейшее игнорирование проблемы может привести к сбоям в работе многочисленных сайтов, использующих эту CMS.

Суть проблемы


Сэм объяснил, как злоумышленники могут навредить ресурсу. Разрешение на добавление изображений позволяет им загрузить иконку и инициировать обработку файла через распаковщик архивов phar://. В свою очередь, эксплойт осуществит атаку XXE (XML External Entity) и вызовет ошибки SSRF (Server Side Request Forgery). Всё это приведёт к десериализации кода. Несмотря на то что из-за ошибок произойдёт незначительная утечка информации, их можно использовать для проведения более серьёзных атак. Десериализация происходит в момент, когда переменные конвертируются для PHP. При включённой автозагрузке выполнение кода нарушит работу PHP-фреймворков.


На 2018 год о проблеме было известно, но.... 


Март 2019


Эксперты компании Defiant предупреждают, что злоумышленники эксплуатируют XSS-уязвимость в плагине Abandoned Cart Lite for WooCommerce, установленном на 20 000 сайтов. Данный плагин позволяет администраторам и другим привилегированным пользователям просматривать «забытые» покупателями товары, в случаях, когда пользователь сложил товары в корзину, но не завершил покупку и по каким-то причинам покинул ресурс. Собранные таким образом данные, к примеру, могут быть использованы для формирования списка популярных товаров и другой аналитики.

XSS-уязвимость, которую используют преступники, позволяет положить в корзину товар с вредоносным, специально созданным названием. После этого эксплоит атакующих сохранится в БД магазина и сработает, как только на бэкэнде просмотрят эту страницу. В итоге эксплоит обратится к короткому адресу bit.ly и загрузит на уязвимый сайт JavaScript, который заразит ресурс двумя разными бэкдорами.


Первый бэкдор создает нового пользователя woouser с правами администратора, ну а дальше уже все вытекающие...


Второй бэкдор действует более изящно: он составляет список всех плагинов сайта и ищет среди них первый, отключенный настоящим администратором. Хакеры не включают этот плагин повторно, но подменяют его содержимое вредоносным скриптом. Хотя плагин остается отключенным, его файлы по-прежнему хранятся на диске, а значит, доступны для запросов, и второй бэкдор злоумышленников может быть задействован, например, если жертва обнаружит заражение и удалит учетную запись woouser.

По данным исследователей, к настоящему моменту к короткому адресу bit.ly обращались уже более 5200 раз, то есть, скорее всего, от данных атак пострадали уже сотни или даже тысяч сайтов.


И так, на дворе 11 апреля 2019 года. Уязвимостей меньше не становится. Но радует одно, что постепенно выходят критические обновления. Жаль что так редко: 



Опубликован корректирующий релиз системы управления web-контентом WordPress 5.1.1, в котором устранена CSRF-уязвимость, позволяющая совершить атаку на администратора сайта для выполнения кода на сервере.


В то время, как все переходят на php 7-7.1, wordpress добрался таки до PHP 5.6...


  • Ещё одна уязвимость в популярном плагине WordPress — Easy WP SMTP. Обновите плагин до 1.3.9.1 версии. Источник — wordfence.com.

Все что написано выше - это только маленькая часть, то есть верхушка айсберга. Будем и дальше следить за обновлениями wordpress и делиться с вами. 

UPD: Кто хочет посмотреть все уязвимости wp - вам сюда 


11 Апр 2019

Возврат к списку

                       






Спасибо за заявку, наши специалисты свяжутся с Вами в ближайшее время