建站
咨詢
售后
建站咨詢
新聞中心
WordPress最流行的插件之一、網(wǎng)站流量實(shí)時(shí)統(tǒng)計(jì)插件WP-Slimstat被曝存在高危漏洞，影響全球100萬(wàn)以上網(wǎng)站。
科普：了解WP-Slimstat
WP-Slimstat全稱為Wettable Powder Slimstat，是WordPress上最流行的網(wǎng)站流量實(shí)時(shí)統(tǒng)計(jì)插件。全球共有7000萬(wàn)使用WordPress搭建的網(wǎng)站，其中有超過(guò)130萬(wàn)使用了WP-Slimstat這款插件。
WP SlimStat 是一個(gè)功能非常強(qiáng)大的WordPress實(shí)時(shí)統(tǒng)計(jì)分析插件，功能眾多，而且有中文包，使用非常方便。其功能包括：
實(shí)時(shí)網(wǎng)絡(luò)分析報(bào)告 兼容W3 Total Cache 插件 靈活方便的管理界面(你可以自定義移動(dòng)、隱藏模塊) 符合 歐洲隱私法 (IP Anonymizer) 最準(zhǔn)確的IP地理位置、瀏覽器和平臺(tái)檢測(cè) 可以通過(guò)多個(gè)過(guò)濾器查看分析數(shù)據(jù)(IP地址、瀏覽器、搜索詞、用戶 和其他) 可以給特定用戶添加查看和管理的權(quán)限 平移和縮放JavaScript的世界地圖，支持移動(dòng)設(shè)備
漏洞描述
所有3.9.6以前版本的WP-Slimstat都包含一個(gè)簡(jiǎn)單可猜測(cè)的密鑰，這個(gè)密鑰被WP-Slimstat用來(lái)標(biāo)記網(wǎng)站的訪問(wèn)者。只要該密鑰被攻破，攻擊者可以通過(guò)SQL注入(盲注)攻擊目標(biāo)網(wǎng)站以獲取敏感的數(shù)據(jù)庫(kù)信息，包括用戶名、密碼(hash)以及至關(guān)重要的wordpress安全密鑰。
WP-Slimstat密鑰僅僅是該插件安裝時(shí)的時(shí)間戳(MD5 hash版本號(hào))，而諸如Internet Archive這種“網(wǎng)站時(shí)光機(jī)”可以幫助攻擊者更輕松地猜出插件安裝的時(shí)間。為此攻擊者需要付出3千萬(wàn)次的猜解測(cè)試，而對(duì)于流行的CPU來(lái)說(shuō)，這種量級(jí)的暴力破解只需要10分鐘。
安全專家建議所有使用這款流行插件的站長(zhǎng)盡快進(jìn)行升級(jí)。
消息來(lái)源：http://thehackernews.com/2015/02/wordpress-slimstat-plugin.html
網(wǎng)站名稱：WordPress流量統(tǒng)計(jì)插件Slimstat存在高危漏洞
文章分享：http://www.5511xx.com/article/cdpopjp.html
