VietNetwork.Vn

Các plugin WordPress rất tuyệt vời về chức năng, tính năng và các cải tiến mà chúng mang đến cho trang web WordPress của bạn. Nhưng có một mặt tối đối với các plugin này. Giống như bất kỳ phần mềm nào, các plugin WordPress đôi khi dễ bị tấn công.

Lỗ hổng là trục trặc, sai sót hoặc điểm yếu trong mã hóa phần mềm. Nó có thể cho phép tin tặc đột nhập vào trang web WordPress của bạn và kiểm soát hoàn toàn. Có nhiều dấu hiệu của một trang web bị hack. Nếu trang web của bạn bị hack, sửa nó là một cơn ác mộng.


Lưu ý: Trong hầu hết các trường hợp, lỗ hổng thường được phát hiện và khắc phục kịp thời bởi các nhà phát triển đã tạo plugin. Bản sửa lỗi xuất hiện dưới dạng bản vá bảo mật trong bản cập nhật. Người dùng WordPress sẽ cần cập nhật phần mềm của họ lên phiên bản mới được phát triển bởi các nhà phát triển.

Bây giờ, bạn có thể chọn các plugin của mình một cách khôn ngoan bằng cách kiểm tra xem có bao nhiêu cài đặt hoạt động hoặc khi nó được cập nhật lần cuối:


Nhưng ngay cả trong số các plugin phổ biến, chúng tôi đã thấy nhiều trường hợp lỗ hổng trong nhiều năm.

Điều tệ hơn nữa là hàng triệu người dùng không cập nhật các phiên bản mới. Có thể họ tin tưởng rằng các plugin an toàn hoặc có thể họ không hiểu rằng các bản cập nhật có thể mang các bản vá bảo mật. Do đó, bạn nên kích hoạt cập nhật WordPress tự động trên trang web của mình.

Tại đây, chúng tôi đã giải quyết một số plugin phổ biến nhất đã bị lỗ hổng nhiều lần - để hy vọng khuyến khích người dùng giữ cho các trang web WordPress của họ được cập nhật và an toàn trước các tin tặc.

TL; DR

Nếu bạn lo lắng về sự an toàn của trang web do lỗ hổng trong plugin, hãy tải xuống và cài đặt MalCare. Nó cho phép bạn cập nhật tất cả các plugin trên trang web của mình cùng một lúc từ bảng điều khiển tập trung. Thêm vào đó, nó sẽ quét trang web của bạn để tìm phần mềm độc hại hoặc bất kỳ nỗ lực hack nào thường xuyên.

Trước khi chúng tôi đi sâu vào danh sách các plugin dễ bị tấn công, chúng tôi sẽ giải thích các lỗ hổng này là gì và các loại khác nhau tồn tại.

A. Lỗ hổng WordPress Plugin

Có nhiều loại lỗ hổng khác nhau trong WordPress. Ở đây, chúng tôi chạm vào một số trong những người cơ bản bạn nên biết về:

1. Xem tập tin tùy ý

Một tập nguồn là một tập chứa danh sách các hướng dẫn chương trình và dữ liệu mã hóa cần thiết khác. Nói chung, các plugin có kiểm tra bảo mật tại chỗ để cho phép chỉ xem các tệp nguồn nhất định. Những tập tin có chứa dữ liệu nhạy cảm được ẩn khỏi chế độ xem của bên thứ ba. Bây giờ, nếu các biện pháp bảo mật này phát sinh, các tin tặc sẽ có thể xem các tập tin nhạy cảm.

Ví dụ: tệp wp-config.php chứa thông tin về cơ sở dữ liệu của bạn và thông tin đăng nhập để truy cập nó. Nếu tin tặc có được thông tin này, chúng có thể xâm nhập vào cơ sở dữ liệu của bạn và tiêm các tập lệnh độc hại malicious scripts của chúng vào đó.

2. Tải lên tập tin tùy ý

Một số trang web cho phép người dùng tải lên các tập tin của riêng họ như ảnh hồ sơ hoặc tập tin PDF. Một số plugin thiếu các biện pháp bảo mật để kiểm tra loại tập tin nào đang được tải lên và nội dung nào trong đó.

Điều này có nghĩa là thay vì tải lên tập tin .pdf, tin tặc có thể tải lên tập tin .php có chứa mã thực thi. Mã này có thể là để tạo một tài khoản quản trị viên mới hoặc bất kỳ loại cửa hậu backdoor nào khác cho phép họ truy cập vào trang web hoặc ứng dụng web của bạn.

3. Tiêm mã độc Injection SQL

Injection SQL là một trong những lỗ hổng phổ biến nhất nơi nó khai thác các khu vực gửi thông tin đến cơ sở dữ liệu. Nó có thể xảy ra nếu plugin không xác thực thông tin sẽ được gửi đến cơ sở dữ liệu, chẳng hạn như thông tin được điền vào biểu mẫu hoặc thanh tìm kiếm trang web.

Một tin tặc có thể chèn các tập lệnh độc hại của riêng chúng vào các đầu vào này. Kịch bản sẽ không xác nhận trước khi chuyển đến cơ sở dữ liệu. Khi đã vào cơ sở dữ liệu, mã độc sẽ chạy. Bằng cách này, tin tặc có thể tạo tài khoản quản trị viên mới, thay đổi mật khẩu của bạn hoặc thậm chí tiêm liên kết spam.

4. Leo thang đặc quyền

Nếu tin tặc có thể truy cập vào bất kỳ loại người dùng nào trên trang web của bạn, ngay cả khi nó chỉ là một tài khoản bình thường, họ có thể nâng cấp đặc quyền cho quản trị viên. Sau đó, họ sẽ kiểm soát toàn bộ trang web của bạn.

5. Đánh giá thực thi từ xa

Các lỗ hổng kịch bản chéo trang Cross-site scripting cho phép tin tặc thực hiện các thay đổi đối với các yếu tố dường như vô hại như dữ liệu post_meta của hình ảnh. Nhưng khi làm như vậy, tin tặc có thể tạo ra hình ảnh độc hại của riêng chúng. Họ cũng có thể lạm dụng lỗ hổng để tạo bài viết mới hoặc cập nhật các bài đăng và hình ảnh khác.

6. Kịch bản chéo trang Cross-site scripting (XSS)

Thường được gọi là XSS - kịch bản chéo trang là một loại tiêm mã độc trong đó tin tặc thêm các tập lệnh độc hại vào các trang web. Điều này thường xảy ra thông qua các lỗ hổng trong ý kiến. Cách hack này thường nhắm mục tiêu người dùng trang web và không phải chính trang web. Tuy nhiên, tin tặc có thể sử dụng nó để đánh bại một trang web, thay đổi nội dung hoặc thậm chí chuyển hướng người dùng đến các trang web khác.

7. Giả mạo yêu cầu chéo trang Cross-site request forgery (CSRF)

Tin tặc lừa người dùng trang web thực hiện các hành động không mong muốn trên một trang web. Tin tặc sử dụng các lỗ hổng theo cách một trang web xác nhận dữ liệu mà nó nhận được. Tin tặc có thể sử dụng điều này để thay đổi mật khẩu, thông tin email hoặc thậm chí chuyển tiền! Bạn nên luôn luôn thực thi các mật khẩu mạnh trên trang web của bạn.

Bây giờ chúng tôi đã thấy các lỗ hổng tồn tại trong các plugin WordPress và cách chúng có thể ảnh hưởng đến trang web của bạn, chúng tôi sẽ liệt kê chi tiết danh sách các plugin dễ bị tổn thương.

B. 10 plugin WordPress phổ biến có lỗ hổng

Chúng tôi đã chọn các plugin hàng đầu trên thị trường có nhiều lỗ hổng hiện diện trong đó. Lưu ý: Hầu hết các lỗ hổng này đã được vá ngay lập tức. Nếu bạn có bất kỳ plugin nào trên trang web của mình, hãy cập nhật nó ngay lập tức. Bạn cũng có thể chọn xóa chúng nếu bạn không còn sử dụng chúng nữa.

1. Thương mại điện tử WooCommerce


WooCommerce là một trong những plugin phổ biến nhất trên WordPress, với hơn 5 triệu lượt cài đặt hoạt động.

Plugin cho phép các trang web WordPress trở thành cửa hàng thương mại điện tử. Các trang web như vậy có khả năng lưu trữ cả dữ liệu cá nhân và tài chính của khách hàng, do đó, cổ phần cao hơn nhiều cho các cửa hàng trực tuyến này. Các plugin được duy trì tốt, nhưng nó cũng đã thấy các lỗ hổng riêng của nó. Kể từ năm 2014, đã có 19 lỗ hổng được phát hiện trong plugin. Những lỗ hổng này bao gồm XSS (kịch bản chéo trang), SQL Injection và các lỗi leo thang đặc quyền.

Một trong những sai sót được phát hiện vào tháng 11 năm 2018 cho thấy rằng bất kỳ ai có đặc quyền của quản lý cửa hàng, đều có thể kiểm soát toàn bộ trang web nếu được cung cấp bởi WooCommerce. Phiên bản 3.4.6 mang bản sửa lỗi này.

Tuy nhiên, WooCommerce nhận được cập nhật thường xuyên cho plugin của mình, điều đó có nghĩa là các vấn đề bảo mật được xử lý nhanh chóng.

2. Ultimate Member


Plugin Ultimate Member cho phép chủ sở hữu trang web WordPress tích hợp tùy chọn đăng ký cho phép hồ sơ người dùng và tư cách thành viên. Nó là một phần mềm nguồn mở với hơn 100.000 cài đặt đang hoạt động.

Kể từ năm 2017, plugin đã thấy 13 lỗ hổng được biết đến. Điều này bao gồm đọc tập tin tùy ý và sai sót XSS.

Một trong những lỗ hổng lớn nhất của họ đã được tạo nếu quản trị viên đưa tùy chọn tải lên tập tin hoặc hình ảnh vào một trong các biểu mẫu form trên trang web của họ. Điều này có nghĩa là người dùng có thể tải xuống bất kỳ tập tin nào trên máy chủ.

Tuy nhiên, cần lưu ý rằng các nhà phát triển liên tục phát hành các phiên bản mới. Điều này có nghĩa là các vấn đề bảo mật được vá nhanh chóng. Nếu bạn sử dụng plugin này, hãy đảm bảo bạn luôn cập nhật các bản phát hành mới và cập nhật ngay lập tức.

3. Yoast SEO


SEO Yoast làm cho SEO đơn giản và dễ dàng cho chủ sở hữu trang web. Nó cho phép chủ sở hữu cải thiện SEO trang và bài đăng của họ ngay từ bảng điều khiển wp-admin.

Với hơn 5 triệu lượt cài đặt hoạt động, plugin này rất phổ biến. Và đúng như vậy. Các plugin đã tương đối an toàn.

Tuy nhiên, kể từ năm 2010, đã có 10 lỗ hổng được biết đến trong plugin. Một số lỗ hổng này có khả năng cho phép thực thi mã nguồn từ xa và XSS.

Lỗ hổng gần đây nhất là trong phiên bản 9.1 đã ảnh hưởng đến người dùng với vai trò Manager Trình quản lý SEO được bật. Lỗ hổng này là một vấn đề phức tạp hơn và không phổ biến được gọi là race condition. Trong trường hợp này, plugin mong muốn một quá trình xảy ra theo một trình tự nhất định, nhưng khi trình tự thay đổi, lỗ hổng sẽ xuất hiện.

Các nhà phát triển đã phát hành phiên bản 9.2 đã khắc phục lỗ hổng kịp thời. Nhưng tính đến tháng 11 năm 2019, chỉ có 19,5% người dùng SEO Yoast đang chạy trên phiên bản mới nhất.

4. Ninja Forms


Được biết đến là hình thức liên hệ miễn không giới hạn cho trang web WordPress của bạn, Ninja Forms có hơn 1 triệu cài đặt hoạt động.

Trong những năm qua, nó đã chứng kiến 10 lỗ hổng được biết đến, một số trong số đó đã rơi vào danh mục Rủi ro rất cao. Những lỗ hổng này bao gồm XSS, thực thi mã nguồn từ xa và SQL Injection.

Wordfence đã báo cáo rằng với lỗ hổng được tìm thấy vào năm 2018, tất cả các tin tặc cần là một URL trên trang đích có một biểu mẫu được cung cấp bởi Ninja Forms (phiên bản 2.9.36 đến 2.9.42).

Vấn đề này đã được vá. Nhưng kể từ đó, Ninja Forms đã phát hành hơn 10 bản sửa lỗi bảo mật cho plugin.

5. Wordfence


Wordfence có hơn 2 triệu cài đặt hoạt động và cung cấp dịch vụ quét tường lửa và phần mềm độc hại. Mặc dù bản thân nó là một plugin bảo mật, nhưng phải lưu ý rằng các ứng dụng web bảo mật thường bị tin tặc nhắm đến.

Trong quá khứ, plugin này đã thấy 10 lỗ hổng được liệt kê đã được vá. Nhưng một lần nữa, vào tháng 9 năm 2018, plugin đã tiết lộ nhiều lỗ hổng mới bao gồm các lỗ hổng XSS. Phiên bản 5.2.3 đã giải quyết lỗ hổng này.

Ngay cả với các plugin bảo mật, nó cũng không nên cài đặt và quên. Chủ sở hữu trang web nên giữ cho tất cả các plugin được cập nhật.

6. NextGen Gallery



NextGEN Gallery là một plugin phổ biến cho phép chủ sở hữu trang web hiển thị thư viện hình ảnh hoặc tạo trình chiếu. Plugin phổ biến trong giới nhiếp ảnh gia, khách sạn và blogger và có hơn 1,5 triệu lượt tải hàng năm.

Plugin NextGen Gallery đã thấy một số vấn đề bảo mật trong những năm qua. Từ năm 2017 đến 2019, có 7 lỗ hổng bao gồm XSS, SQL Injection và thực thi mã nguồn từ xa.

Nhưng lần gần đây nhất xảy ra vào năm 2019. Có một lỗ hổng SQL Injection trong đó tin tặc có thể thực thi các lệnh từ xa trên các trang web đã cài đặt plugin.

Phiên bản 3.2.11 được phát hành vào ngày 27 tháng 8 năm 2019 đã sửa lỗi bảo mật.

7. JetPack


JetPack là một công cụ quản lý WordPress chung tất cả trong một với hơn 5 triệu lượt cài đặt đang hoạt động. Plugin cung cấp một loạt các chức năng và tiện ích. Nó quản lý các chức năng trang web và mã hóa, do đó, bất kỳ lỗ hổng nào trong plugin có thể dẫn đến một trang web bị xâm phạm hoàn toàn.

Plugin đã nhìn thấy 5 lỗ hổng đã biết và lỗ hổng nghiêm trọng nhất được phát hiện vào tháng 12 năm 2018. Một lỗ hổng XSS có thể đã bị tin tặc khai thác để tiêm mã của chính họ để xâm nhập máy chủ của trang web.

Lỗ hổng mới nhất trong JetPack là cách nó xử lý mã nhúng. Tuy nhiên, vào ngày 19 tháng 11 năm 2019, JetPack đã phát hành phiên bản 7.9.1 với bản vá.

8. Gói SEO tất cả trong một All-in-One SEO Pack


Plugin này là một trong những plugin phổ biến nhất trong số tất cả các plugin và đã có từ năm 2007. Nó tự hào có hơn 50 triệu lượt tải xuống kể từ khi thành lập, với 2 triệu lượt cài đặt hoạt động.

Plugin đã thấy 2 lỗ hổng được biết đến là lỗ hổng XSS cũng như lỗ hổng leo thang đặc quyền.

Vào tháng 10 năm 2018, một lỗ hổng XSS dai dẳng đã được báo cáo trong phiên bản 3.2.6 trở xuống. Sử dụng lỗ hổng này, nếu kẻ tấn công quản lý để có quyền truy cập vào tài khoản quản trị viên, họ có thể thực thi mã của riêng mình và thỏa hiệp máy chủ web.

Kể từ đó, các plugin đã được an toàn. Chúng tôi khuyên bạn chỉ nên sử dụng phiên bản mới nhất của plugin này.

9. Elementor



Một trong những chương trình tạo trang kéo và thả phổ biến nhất trên WordPress, Elementor cực kỳ phổ biến. Nó có hơn 3 triệu cài đặt hoạt động và là một plugin được nhiều người yêu thích vì sự dễ dàng mà nó mang lại trong việc thiết kế các trang web.

Elementor đã nhìn thấy 2 lỗ hổng được biết đến là lỗ hổng leo thang đặc quyền trong năm 2017.

Những sai sót này đã được phát hiện trong thư viện mẫu, cài đặt trang và lịch sử. Những sai sót này đã được sửa trong phiên bản 1.8.8 và 1.8.9. Kể từ đó, Elementor đã không thấy bất kỳ vấn đề bảo mật nào. Tuy nhiên, có ít nhất 17,25% người dùng đang chạy trên các phiên bản lỗi thời của plugin.

10. Contact Form 7


Plugin này cho phép các trang web thiết kế và tùy chỉnh các hình thức liên lạc của họ. Các plugin, theo mặc định, không lưu trữ bất kỳ dữ liệu người dùng cá nhân. Nhưng chủ sở hữu trang web có thể cấu hình cài đặt để theo dõi một lượng dữ liệu.

Cho đến nay, đã có 2 lỗ hổng được biết đến trong plugin. Vào tháng 9 năm 2018, plugin đã tiết lộ một lỗ hổng leo thang đặc quyền. Nó cho phép kẻ tấn công tải lên các tập tin độc hại vào thư mục của trang web. Trong khi điều này không gây ra thiệt hại nghiêm trọng, nó sẽ mở ra cơ hội cho những vụ hack nghiêm trọng hơn.

Mặc dù số lượng lỗ hổng thấp, chúng tôi đã giới thiệu plugin này vì nó có hơn 5 triệu người dùng. Một bản vá đã được phát hành trong Phiên bản 5.0.4, nhưng tính đến tháng 11 năm 2019, có khoảng 22% người dùng chưa cập nhật plugin trên trang web của họ. Điều này khiến hàng triệu trang web WordPress dễ bị tấn công.

3. Các biện pháp bảo mật để chống lại các lỗ hổng Plugin trong WordPress

Để tránh các lỗ hổng trong plugin, chúng tôi khuyên bạn chỉ nên sử dụng các plugin đáng tin cậy. Kiểm tra xem có bao nhiêu cài đặt hoạt động và khi nó được cập nhật lần cuối. Đây là dấu hiệu cho thấy liệu plugin có được duy trì và cập nhật thường xuyên hay không.


Nhưng như chúng ta có thể thấy từ danh sách trên, nhiều plugin phổ biến và đáng tin cậy cũng phải đối mặt với các lỗ hổng. Vì vậy, bạn cần phải thực hiện các biện pháp bảo mật của riêng bạn chống lại các lỗ hổng như vậy. Bạn có thể làm điều này bằng cách thực hiện bốn bước chính:

    a. Cài đặt Plugin bảo mật

Luôn luôn giữ một plugin bảo mật đáng tin cậy như MalCare hoạt động trên trang web của bạn. Nó sẽ quét trang web của bạn để tìm phần mềm độc hại theo định kỳ. Và nó sẽ cảnh báo bạn về bất kỳ hoạt động đáng ngờ nào trên trang web của bạn ngay lập tức. Ngoài ra, trang web của bạn sẽ có tường lửa để chặn mọi nỗ lực hack đã biết và các địa chỉ IP độc hại đã biết đang cố gắng truy cập trang web của bạn.

    b. Luôn cập nhật trang web của bạn

Các nhà phát triển tung ra các bản cập nhật thường xuyên cho lõi core, theme và plugin WordPress. Các bản cập nhật này tăng cường chức năng, khắc phục bất kỳ lỗi hoặc lỗi, thêm tính năng mới, v.v. Nhưng quan trọng hơn, các bản cập nhật này có thể mang các bản vá bảo mật sẽ khắc phục mọi lỗ hổng hiện có. Nó cực kỳ quan trọng để cập nhật trang web của bạn thường xuyên.

Nếu bạn thấy việc cập nhật WordPress là khó khăn, hãy tham khảo hướng dẫn của chúng tôi về Cách cập nhật an toàn trang web WordPress của bạn.

    c. Thực hiện khóa cứng trang web Website Hardening

WordPress khuyên bạn nên thực hiện các biện pháp bảo mật nhất định trên trang web của mình để giúp giảm nguy cơ bị tấn công. Điều này bao gồm vô hiệu hóa trình chỉnh sửa tâp tin trong các theme và plugin, sử dụng thông tin xác thực mạnh, đặt lại mật khẩu cho tất cả người dùng và thay đổi khóa bảo mật và muối.

Bây giờ, tất cả điều này có vẻ giống như biệt ngữ, vì vậy chúng tôi đã tạo ra một hướng dẫn mở rộng về Hardening trang web WordPress.

    d. Không sử dụng các Plugin lậu

Không bao giờ sử dụng các phiên bản Plugins lậu hoặc bẻ khóa. Nó có thể cung cấp cho bạn quyền truy cập vào các tính năng cao cấp miễn phí, nhưng các plugin này có thể làm tổn hại đến trang web của bạn. Điều này là do chúng đi kèm với phần mềm độc hại được nhúng trong chúng.

    e. Xóa các theme và plugin không hoạt động

Xóa các theme và plugin không sử dụng. Nhiều lần, với tư cách là chủ sở hữu trang web, chúng tôi xây dựng một danh sách lớn các plugin mà chúng tôi không sử dụng. Càng nhiều plugin và theme bạn đã cài đặt trên trang web của mình, càng có nhiều cơ hội tin tặc xâm nhập.

Nó khuyên bạn chỉ nên giữ theme hoạt động của mình, phần còn lại có thể bị xóa. Với các plugin, hãy giữ những cái bạn cần và phần còn lại có thể được gỡ cài đặt.

Kết luận

Nó không phải là hiếm khi thấy phần mềm có lỗ hổng và vấn đề bảo mật. Lúc nào chả vậy. Nếu bạn phát hiện ra rằng một plugin mà bạn đang sử dụng có một lỗi bảo mật ứng dụng. Cập nhật nó ngay lập tức lên phiên bản mới nhất.

Nếu bạn nghĩ rằng trang web WordPress của bạn bị hack, chúng tôi khuyên bạn nên cài đặt MalCare trên trang web của mình. Nó sẽ quét trang web của bạn và tìm thấy hack nếu có. Sau đó, bạn có thể tự động làm sạch trang web của mình chỉ bằng một nút bấm. Điều này giúp loại bỏ bất kỳ nhu cầu cho hoảng loạn và căng thẳng!

Giữ trang website WordPress của bạn an toàn và củng cố chống lại tin tặc. Hãy dùng thử MalCare Security của chúng tôi.