Как взломали Fancybox для WordPress?
Fancybox для WordPress широко взломан ИГИЛ. Даже с установленной на данный момент последней версией (v3.0.6) мой сайт WordPress (v3.9.2) все еще распечатывает оператор ISIS. Чтобы решить эту проблему, нужно отключить / удалить плагин.
Хакер вставляет код через необработанную опцию Fancybox, чтобы «вставить» коды на сайт.
Однако мне любопытно, как хакеры могут выполнять такие атаки (например, как они нацелены на мой веб-сайт? Им нужно отправлять атаки без перерыва на наш сервер? кстати мой сервер очень медленный)? и как предотвратить эти атаки в нашем развитии?
Для более подробной информации об атаке, пожалуйста, прочитайте Эта статья.
Решение
Хотя я считаю этот вопрос «не по теме», я добавлю свои пять центов здесь:
Как взломали Fancybox для WordPress?
Во-первых, имейте в виду, что это не проблема FancyBox но уязвимость PHP. Любой плагин WP написан на PHP, а плохой PHP-код подвержен уязвимостям, недостаткам и атакам.
Во-вторых, автор плагина WP может не совпадать с оригинальным плагином jQuery (это не относится к этому случаю или любому другому, о котором я знаю), поэтому, хотя оригинальный плагин jQuery может быть надежным и стабильным, он может быть плохо реализован другие в WP.
как они нацелены на мой сайт?
Они не нацелены на ваш сайт, потому что это ваш сайт. Большинство атак выполняются роботами, которые просматривают сеть в поисках закулисных решений и уязвимостей, обнаруженных в плохом коде. Скорее всего, это была случайная атака, а вы были просто неудачником на пути ползания робота.
как это исправить?
Удаление скомпрометированного WP-плагина может не решить или остановить проблему, потому что атака может не исходить от этого плагина.
Некоторые атаки могут распространяться и внедрять другие файлы (через черный ход в уязвимом плагине) в структуру каталогов WP. Вам может понадобиться просмотреть ваши каталоги (через FTP) и удалить / переименовать любой подозрительный файл (наиболее вероятно, файлы PHP), который был создан / изменен после и после даты первой «атаки».
Возможно, вам также придется отозвать их разрешения.
как предотвратить эти атаки в нашем развитии?
Выберите надежный (хорошо документированный и обновленный) плагин и обновите также свою версию WP.
Несмотря на то, что я не должен одобрять какое-либо стороннее программное обеспечение или плагин, более стабильный и надежный плагин FancyBox WP для вашего сайта WP будет EasyFancybox.
Лучший вариант IMHO (не обязательно самый удобный для пользователя) вообще не использует плагин и жестко кодирует исходные файлы FancyBox js и css (а также сценарий инициализации FancyBox) самостоятельно в header.php файл вашей темы WP.
Другие решения
Других решений пока нет …