關(guān)鍵詞
后門
“快速頁(yè)面 / 文章重定向”(Quick Page/Post Redirect)插件安裝量超 7 萬(wàn),5 年前被植入后門,可向用戶網(wǎng)站注入任意代碼。
該惡意軟件由 WordPress 托管服務(wù)提供商 Anchor 的創(chuàng)始人奧斯汀?金德(Austin Ginder)發(fā)現(xiàn)。他旗下有 12 個(gè)受感染站點(diǎn)觸發(fā)安全警報(bào)后,他展開調(diào)查并發(fā)現(xiàn)了這一情況。
“快速頁(yè)面 / 文章重定向” 插件已在WordPress.org上提供多年,是一款用于在文章、頁(yè)面和自定義 URL 中創(chuàng)建重定向的基礎(chǔ)實(shí)用插件。
目前,WordPress.org已暫時(shí)將該插件從插件目錄下架,等待審查。尚不清楚是插件作者主動(dòng)植入后門,還是其賬號(hào)被第三方入侵導(dǎo)致。
金德解釋稱,2020 年至 2021 年間發(fā)布的 5.2.1 和 5.2.2 官方版本插件,包含一個(gè)隱藏的自我更新機(jī)制,該機(jī)制指向第三方域名 anadnet [.] com,這使得在WordPress.org控制范圍之外推送任意代碼成為可能。
2021 年 2 月,在代碼審查人員有機(jī)會(huì)仔細(xì)檢查之前,該惡意自我更新程序已從WordPress.org上該插件的后續(xù)版本中移除。
據(jù)金德稱,2021 年 3 月,運(yùn)行 “快速頁(yè)面 / 文章重定向”5.2.1 和 5.2.2 版本的站點(diǎn),會(huì)悄然從外部服務(wù)器接收經(jīng)過篡改的 5.2.3 版本,這個(gè)版本引入了一個(gè)被動(dòng)后門。
不過,來自 “w.anadnet [.] com” 服務(wù)器且?guī)в蓄~外后門代碼的版本,與WordPress.org上同一版本插件的哈希值不同。
該被動(dòng)后門僅在用戶登出時(shí)觸發(fā),以對(duì)管理員隱藏其活動(dòng)。它與 “the_content” 掛鉤,并從 “anadnet” 服務(wù)器獲取數(shù)據(jù),很可能被用于 SEO 垃圾郵件操作。
金德解釋說:“實(shí)際的機(jī)制是寄生式 SEO 偽裝。2021 年,該插件利用 7 萬(wàn)個(gè)網(wǎng)站為運(yùn)營(yíng)這個(gè)秘密渠道的人換取谷歌排名。”
然而,受影響網(wǎng)站真正的危險(xiǎn)來自更新機(jī)制本身,它可按需實(shí)現(xiàn)任意代碼執(zhí)行。雖然使用該插件的網(wǎng)站上該機(jī)制依然存在,但處于休眠狀態(tài),因?yàn)閻阂獾耐獠棵钆c控制子域名已無法解析,不過主域名仍處于活躍狀態(tài)。
受影響用戶的解決辦法是卸載該插件,待WordPress.org再次提供 5.2.4 的干凈版本時(shí)重新安裝。
金德給后門背后的相關(guān)人員留話,敦促他們現(xiàn)在做正確的事,發(fā)布一個(gè)靜態(tài)更新清單,強(qiáng)制所有受影響的安裝自動(dòng)升級(jí)到WordPress.org的干凈版本,從而有效清除之前受感染網(wǎng)站上的后門。
研究人員警告稱,“快速頁(yè)面 / 文章重定向” 插件仍有 7 萬(wàn)安裝量,且更新檢查指向 “anadnet” 服務(wù)器。
![]()
安全圈
![]()
網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全
實(shí)時(shí)資訊一手掌握!
好看你就分享 有用就點(diǎn)個(gè)贊
支持「安全圈」就點(diǎn)個(gè)三連吧!
特別聲明:以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺(tái)“網(wǎng)易號(hào)”用戶上傳并發(fā)布,本平臺(tái)僅提供信息存儲(chǔ)服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.