插件中的安全风险是什么样子的？

时间：2011-08-23 作者：hookedonwinter

我的服务器这个周末被黑客攻击了。俄罗斯人！在我服务器上的50多个域名中，每一个都被黑客入侵了。htaccess文件，该文件将搜索结果和其他一些内容重定向到一个俄罗斯网站。

我假设wordpress的众多安装中有一个插件存在安全缺陷。

两个问题：

一个插件中的安全漏洞是否可能允许某人访问同一服务器上的其他站点问题可能是其他人的，Dreamhost（我的主机）有更大的问题。但是，我正在探索这是我的错的选择。

有什么想法？

2 个回复
最合适的回答,由SO网友:kaiser 整理而成

Personal Opinion: 去年，我曾两次使用（mt）mediatemple。他们告诉我/我们这是一个wordpress问题，但事实并非如此。去年我从dreamhost那里听到了同样的消息。所以：不要想太多，只需删除黑客并（再次）责怪你的主机即可。

无论如何，你可以read this thread. 如果您的数据库被“感染”：还有一个指向我编写的插件的链接，该插件用于从我的数据库中删除插入的链接。试试看。

SO网友:Wyck

我同意kaiser的观点，MT hack有点惨败，而且主机通常不愿意花费$来找到攻击向量，所以他们开始到处指责。专有主机系统使您很难自己解决问题（与使用cpanel、webmin、phpmyadmin等的主机不同）。

回答您的问题：

这可能是可能的，但这更多地取决于您的主机配置，而不是任何特定的WordPress漏洞。受损站点不应允许任何目录遍历。

很难说，但我的预感是，通过在您自己的计算机或主机上进行妥协，可以获得root访问权限。

ps.这是共享主机、VPS、云吗？

结束
标签： plugins   htaccess   security   小码农  

相关推荐

我可以更改默认注册链接(没有htaccess)吗？

我使用的url类似于«wp login。php？操作=注册（&M）；role=patient»和«register\\u form»挂钩，用于添加额外输入表单，该表单依赖于如下URL：add_action(\'register_form\',\'add_extra_role_fields\'); function add_extra_role_fields() { if (isset($_GET[\'role\'])) { $user_type = $_GET[\'role\']