Những Điều Cần Biết Về Lỗ Hổng Trung Bình Trên WordPress
Hơn 67% trong số tất cả các lỗ hổng báo cáo trên WordPress được xác định là trung bình cấp độ. Đây là những sự thật mà bạn cần phải biết.
Thế nào là một lỗ hổng cấp độ trung bình? Một người phát ngôn từ WPScan, một công ty Quét Bảo mật WordPress thuộc sở hữu của Automattic, đã giải thích rằng họ sử dụng Hệ thống Điểm Danh sách Lỗ hổng Phổ biến (CVSS Scores) để đánh giá mức độ nghiêm trọng của một mối đe dọa. Các điểm đánh giá dựa trên hệ thống số từ 1 - 10 và các đánh giá từ thấp, trung bình, cao và nghiêm trọng.
Người phát ngôn của WPScan giải thích:
"Chúng tôi không đánh dấu các cấp độ theo cơ hội xảy ra, mà là mức độ nghiêm trọng của lỗ hổng dựa trên khung CVSS của FIRST. Nói rộng, một điểm số nghiêm trọng cấp độ trung bình có nghĩa là hoặc lỗ hổng khó khai thác (ví dụ, SQL Injection yêu cầu một tài khoản có đặc quyền cao) hoặc kẻ tấn công không thu được nhiều từ một cuộc tấn công thành công (ví dụ, một người dùng chưa xác thực có thể nhận nội dung của bài đăng blog riêng tư).
Chúng ta thường không thấy chúng được sử dụng nhiều trong các cuộc tấn công tỷ lệ lớn vì chúng ít hữu ích hơn so với các lỗ hổng nghiêm trọng hơn và khó tự động hóa. Tuy nhiên, chúng có thể hữu ích trong các cuộc tấn công nhắm mục tiêu hơn, ví dụ, khi một tài khoản người dùng có đặc quyền đã bị chiếm đoạt, hoặc một kẻ tấn công biết rằng một số nội dung riêng tư chứa thông tin nhạy cảm mà hữu ích với họ.
Chúng tôi luôn khuyến nghị nâng cấp các tiện ích có lỗ hổng càng sớm càng tốt. Tuy nhiên, nếu mức độ nghiêm trọng là trung bình, thì không cần gấp đến việc làm điều đó, vì trang web ít có khả năng trở thành nạn nhân của một cuộc tấn công tự động tỷ lệ lớn.
Một người dùng không được đào tạo có thể thấy báo cáo hơi khó tiêu thụ. Chúng tôi đã cố gắng làm cho nó phù hợp nhất có thể với tất cả các đối tượng, nhưng tôi hiểu rằng sẽ không thể bao phủ tất cả mọi người mà không làm cho nó quá nhàm chán hoặc dài dòng. Và điều tương tự có thể xảy ra với lỗ hổng được báo cáo. Người tiêu dùng feed cần một số kiến thức cơ bản về cấu hình trang web của họ để xem xét xem lỗ hổng nào cần chú ý ngay lập tức và lỗ hổng nào có thể được xử lý bởi WAF, ví dụ.
Nếu người dùng biết, ví dụ, rằng trang web của họ không cho phép người dùng đăng ký. Tất cả các báo cáo về lỗ hổng subscriber+, độc lập với cấp độ nghiêm trọng, có thể được xem xét lại. Giả sử người dùng duy trì một xem xét liên tục về cơ sở người dùng của trang web.
Điều tương tự áp dụng cho báo cáo contributor+ hoặc thậm chí là cấp quản trị viên. Nếu người đó duy trì một mạng nhỏ các trang web WordPress, các lỗ hổng admin+ là thú vị đối với họ vì một quản trị viên bị chiếm đoạt của một trong những trang web có thể được sử dụng để tấn công siêu quản trị viên."
Lỗ Hổng Cấp Độ Đóng Góp
Nhiều lỗ hổng cấp độ trung bình đòi hỏi quyền truy cập cấp đóng góp. Một người đóng góp là một vai trò truy cập mà người dùng đã đăng ký đó có khả năng viết và gửi nội dung, mặc dù chung thường không có khả năng xuất bản chúng.
Hầu hết các trang web không cần lo lắng về các mối đe dọa bảo mật đòi hỏi quyền truy cập cấp đóng góp vì hầu hết các trang không cung cấp mức độ truy cập đó.
Chloe Chamberland - Trưởng Nhóm Tình báo Đe dọa tại Wordfence giải thích rằng hầu hết các chủ trang web không cần lo lắng về các lỗ hổng cấp độ trung bình đòi hỏi quyền truy cập cấp đóng góp để khai thác chúng vì hầu hết các trang WordPress không cung cấp mức độ quyền này. Cô cũng lưu ý rằng những loại lỗ hổng này khó mở rộng vì việc khai thác chúng khó tự động hóa.
Những Nhà Xuất Bản Trang Web Cần Lo Lắng
Chloe cũng nói rằng các nhà xuất bản có cung cấp quyền truy cập cấp đóng góp có thể có một số lý do để lo lắng về những loại khai thác này:
"Mối lo ngại với các lỗ hổng đòi hỏi quyền truy cập cấp đóng góp để khai thác xuất hiện khi chủ trang web cho phép đăng ký cấp đóng góp, có người đóng góp với mật khẩu yếu, hoặc trang web có một plugin/chủ đề khác được cài đặt với một lỗ hổng cho phép truy cập cấp đóng góp theo cách nào đó và kẻ tấn công thực sự muốn vào trang web của bạn.
Nếu một kẻ tấn công có thể lấy được một trong những tài khoản này, và một lỗ hổng cấp đóng góp tồn tại, thì họ có thể có cơ hội tăng cường đặc quyền và gây hại thực sự cho nạn nhân. Hãy xem xét một lỗ hổng Cross-Site Scripting cấp đóng góp ví dụ.
Do tính chất của quyền truy cập cấp đóng góp, một quản trị viên sẽ rất có khả năng xem trước bài đăng để xem xét vào lúc đó bất kỳ mã JavaScript nào được chèn sẽ thực thi - điều này có nghĩa là kẻ tấn công sẽ có khả năng thành công tương đối cao do quản trị viên xem trước bài đăng để xuất bản.
Như bất kỳ lỗ hổng Cross-Site Scripting nào khác, điều này có thể được tận dụng để thêm một tài khoản người dùng quản trị mới, chèn cửa sau và về cơ bản làm bất cứ điều gì mà một quản trị viên trang web có thể làm. Nếu một kẻ tấn công nghiêm trọng có quyền truy cập vào tài khoản cấp đóng góp và không có cách nào đơn giản khác để tăng cường đặc quyền của mình, thì họ có thể sử dụng Cross-Site Scripting cấp đóng góp đó để có thêm quyền truy cập. Như đã đề cập trước đó, bạn không thể thấy mức độ tinh vi đó nhắm vào đa số trang web WordPress, vì vậy chỉ có các trang web giá trị cao mới cần quan tâm đến các vấn đề này.
Kết luận, mặc dù tôi không nghĩ rằng đa số chủ trang web cần phải lo lắng về các lỗ hổng cấp đóng góp, vẫn quan trọng phải coi chúng một cách nghiêm túc nếu bạn cho phép đăng ký người dùng ở mức đó trên trang web của bạn, bạn không bắt buộc mật khẩu người dùng mạnh riêng biệt, và/hoặc bạn có một trang web WordPress giá trị cao.
Hãy Cảnh Giác Với Các Lỗ Hổng
Mặc dù nhiều trong số các lỗ hổng cấp độ trung bình có thể không phải là điều cần phải lo lắng nhưng vẫn là ý tưởng tốt để cập nhật thông tin về chúng. Các công cụ Quét Bảo mật như phiên bản miễn phí của WPScan có thể cảnh báo khi một plugin hoặc chủ đề trở nên lỗ hổng. Đó là một cách tốt để có một hệ thống cảnh báo để duy trì tình trạng lỗ hổng.
Các plugin bảo mật WordPress như Wordfence cung cấp một lập trường bảo mật tích cực chặt chẽ ngăn chặn các cuộc tấn công hack tự động và có thể được điều chỉnh thêm bởi người dùng nâng cao để chặn các bot và user agent cụ thể. Phiên bản miễn phí của Wordfence cung cấp bảo vệ đáng kể dưới dạng tường lửa và máy quét mã độc. Phiên bản trả phí cung cấp bảo vệ cho tất cả các lỗ hổng ngay sau khi chúng được phát hiện và trước khi lỗ hổng được vá. Tôi sử dụng Wordfence trên tất cả các trang web của mình và không thể tưởng tượng thiết lập một trang web mà không có nó.
Bảo mật thông thường không được coi là một vấn đề SEO nhưng nó nên được xem xét vì việc không bảo mật một trang web có thể hủy hoại tất cả công việc chăm chỉ để làm cho một trang web xếp hạng tốt.
Hình Ảnh Được Chọn Lọc bởi Shutterstock/Juan villa torres
