受最新WordPress的漏洞影響超過67000個(gè)網(wǎng)站被攻擊
如果你的網(wǎng)站使用的是WordPress，并且沒有及時(shí)更新官方上周發(fā)布的補(bǔ)丁，升級(jí)到v4.7.2版本，那么你的網(wǎng)站很有可能受到這4個(gè)黑客組織的攻擊。
據(jù)國外Web安全公司Sucuri表示，自上周一該漏洞細(xì)節(jié)公開后，攻擊范圍不斷擴(kuò)大，最近每天趨于3000次。
隨著時(shí)間的推移利用REST API漏洞嘗試次數(shù)（來源：Sucuri）
攻擊者正在利用WordPress的REST API的漏洞，該漏洞由WordPress團(tuán)隊(duì)兩個(gè)星期前修復(fù)并更新補(bǔ)丁，他們于上周一公開了漏洞詳情。
攻擊者利用這個(gè)漏洞精心構(gòu)造一個(gè)向目標(biāo)站點(diǎn)REST API發(fā)起的HTTP請(qǐng)求，可以修改文章的標(biāo)題和內(nèi)容。
上周已經(jīng)有人提供了完整的利用代碼。
超過67,000的網(wǎng)站內(nèi)容已經(jīng)被篡改
即使該漏洞僅影響WordPress4.7.0和4.7.1兩個(gè)版本而且該CMS內(nèi)置有自動(dòng)更新的功能，但仍然有很多網(wǎng)站沒有更新。
據(jù)Sucuri部署的蜜罐服務(wù)器收集到的數(shù)據(jù)顯示，在過去的一周，有四波攻擊者正在著手利用這個(gè)漏洞。
由于攻擊已經(jīng)持續(xù)一段時(shí)間了，谷歌已經(jīng)可以檢索一部分被攻擊的內(nèi)容。
通過Google檢索被篡改的站點(diǎn)
通過Google搜索"by w4l3XzY3"，可以瀏覽一些受影響的站點(diǎn)。
部分受影響的站點(diǎn)列表
更多受影響站點(diǎn)可在http://www.zone-h.org/archive/notifier=w4l3XzY3/page=1查看。
目前，使用REST API漏洞篡改網(wǎng)站的這些組織只是做了一些知名度的曝光，將網(wǎng)站內(nèi)文章的標(biāo)題和正文修改為自己的內(nèi)容。
其中一個(gè)被篡改的站點(diǎn)
Sucuri's CTO, Daniel Cid表示希望看到更專業(yè)的內(nèi)容進(jìn)入大家的視野，如利用該漏洞發(fā)布更復(fù)雜的內(nèi)容，黑鏈SEO：如插入鏈接和圖像。
利用漏洞做這種篡改的話，做黑鏈SEO，可以提高其他網(wǎng)站的搜索引擎排名，或者宣傳一些其他的非法產(chǎn)品。
當(dāng)然如果網(wǎng)站內(nèi)容被篡改為一些惡意內(nèi)容，會(huì)導(dǎo)致網(wǎng)站被搜索引擎屏蔽。
建議所有使用WordPress的網(wǎng)站主及時(shí)更新至最新版本v4.7.2。避免由于REST API的安全問題，導(dǎo)致網(wǎng)站被搜索引擎屏蔽。
原文鏈接：https://www.bleepingcomputer.com/news/security/over-67-000-websites-defaced-via-recently-patched-wordpress-bug/
查看WordPress REST API 內(nèi)容注入漏洞分析：http://bobao.#/learning/detail/3467.html
- 蜜度索驥：以跨模態(tài)檢索技術(shù)助力“企宣”向上生長
- 從量子威脅到人工智能防御：2025年網(wǎng)絡(luò)安全將如何發(fā)展
- 后人工智能時(shí)代：2025年，在紛擾中重塑數(shù)據(jù)、洞察和行動(dòng)
- 2025年展望：人工智能推動(dòng)IT整合
- 量子計(jì)算：商業(yè)世界的新前沿與設(shè)計(jì)思維的融合
- IDC：三季度全球以太網(wǎng)交換機(jī)收入同比下降7.9%、環(huán)比增長6.6%
- Fortinet李宏凱：2025年在中國大陸啟動(dòng)SASE PoP節(jié)點(diǎn)部署 助力企業(yè)出海
- Fortinet李宏凱：2024年Fortinet全球客戶已超80萬
- 央國企采購管理升級(jí)，合合信息旗下啟信慧眼以科技破局難點(diǎn)
- Apache Struts重大漏洞被黑客利用，遠(yuǎn)程代碼執(zhí)行風(fēng)險(xiǎn)加劇
- Crunchbase：2024年AI網(wǎng)絡(luò)安全行業(yè)風(fēng)險(xiǎn)投資超過26億美元
免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。
