站长快讯 WordPress跨站攻击漏洞修补
WordPress中发现一些漏洞，攻击者利用该漏洞可以发起跨站脚本攻击，绕过WordPress安全性限制，获取较为敏感的修订历史记录的信息，或者绑架站点以用于DDoS攻击。
CVE ID
CVE-2015-8834 CVE-2016-5832 CVE-2016-5834 CVE-2016-5835 CVE-2016-5837 CVE-2016-5838 CVE-2016-5839
为什么文章修订历史记录信息是敏感的？
关于这个问题，TSRC（腾讯安全应急响应中心）及NSTRC（绿盟科技威胁响应中心）都有撰文解释过。下面的描述引自后者
revisions字段用于记录草稿或者更新的发布，Wordpress中用revisions记录对于完成的提交和存储都会在posts数据库表中将post_type设置成revision，每个revision都会有一个’post_parent’字段，指明这个revision所基于的原版提交。
当尝试编辑一个revision时，会通过post_parent来进行校验，而不是revision本身。这样，如果我们基于一个post创建一个revision，那么我们可以任意设置它的状态为“trash”之外的任何状态，即使原始的post的状态是“trash”
使用这个trick，我们能够编辑这个“puppet revision”（傀儡文章？）和自由的向他添加评论，即使他的原版post已经被丢弃到了垃圾箱当中。
这个问题已经在如下版本中修正，我们建议您升级您的WordPress！
version 4.1+dfsg-1+deb8u9.
站长快讯 WordPress跨站攻击漏洞修补相关推荐
- http TRACE 跨站攻击漏洞测试与防御修复
http TRACE 跨站攻击漏洞测试与防御修复 apache关闭方法可以直接在配置文件http.conf添加TraceEnable off 关闭 有版本要求 好像是2.0以上 在httpd.conf ...
- WordPress4.8.1版本存在XSS跨站攻击漏洞
2017年10月19日,阿里云安全威胁情报系统监测到WordPress 官方发布了一条安全通告表示在4.8.1版本中发现了一个存储型的XSS漏洞,通过该漏洞,攻击者可以在受影响网站的评论区写下包含恶意 ...
- 【DVWA（五）】XXS存储型跨站攻击
XSS存储型跨站攻击(Stored Cross Site Scripting) 前言: 相较于XSS反射型跨站攻击,存储型具有更严重的危害,如果在窃取信息的同时对网页没有任何变化,那受害者将很难发现. ...
- 总结 XSS 与 CSRF 两种跨站攻击
在那个年代,大家一般用拼接字符串的方式来构造动态 SQL 语句创建应用,于是 SQL 注入成了很流行的攻击方式.在这个年代, 参数化查询 [1] 已经成了普遍用法,我们已经离 SQL 注入很远了.但是 ...
- http referer 验证防御方法_渗透测试 跨站攻击防御与安全检测手法剖析
上一节讲到了渗透测试中xss跨站攻击检测方法和防护,这一节也是关于跨站攻击的另一个手法CSRF,很多客户找到我们想要了解更多的跨站攻击检测方法以及防御此类攻击的办法,想要让网站的安全性更加坚固,对此提 ...
- XSS与CSRF两种跨站攻击比较
XSS:跨站脚本(Cross-site scripting) CSRF:跨站请求伪造(Cross-site request forgery) 在那个年代,大家一般用拼接字符串的方式来构造动态SQL 语 ...
- XSS和CSRF两种跨站攻击比较
以下是我从一个大佬那转过来的 觉得写得非常非常好哈哈哈 忍不住想转载 可惜好像从博客园直接转过来转不过来 这是原文链接 XSS:跨站脚本(Cross-site scripting) CSRF:跨站请求 ...
- 总结XSS与CSRF两种跨站攻击
XSS:跨站脚本(Cross-site scripting),实际应是"CSS",但由于和层叠样式表CSS名称冲突,故改为"XSS" CSRF:跨站请求伪造(C ...
- 渗透测试 跨站攻击手法剖析
上一节讲到了渗透测试中xss跨站攻击检测方法和防护,这一节也是关于跨站攻击的另一个手法CSRF,很多客户找到我们Sinesafe想要了解更多的跨站攻击检测方法以及防御此类攻击的办法,想要让网站的安全性 ...
最新文章
- 我们使用Leangoo敏捷实践分享
- Oracle之数据操作__分组统计查询
- MIMIC 以太坊医疗项目开发(4)Axios
- 一个屌丝程序猿的人生（十九）
- python pymysql实例_python-Mysql的操作（pyMysql的介绍）
- 设计和实时视图不一样_新宝骏“星际几何”设计理念，演绎不一样的跨界融合...
- WPF Multi-Touch 开发：Windows 7 安装多点触屏模拟器
- 凯撒密码和栅栏密码 - 密码学01
- 【MySQL】MySQL 8 ERROR 1193 (HY000): Unknown system variable ‘tx_isolation‘
- js中的call和apply方法的区别
- 安卓9开机 bootanimation.zip_小米手机如何从安卓10退回安卓9系统，不丢失传感器，不变砖...
- Linux weget （文件 下载）安装方法
- 阿里巴巴Java开发手册终极版v1.3.0（百度网盘资源）
- 密码学，有限域GF(2^8)乘法计算，不可约多项式为P(x)=x^8+x^4+x^3+x+1
- 两年多工作心得和体会
- ECharts绘制饼图
- LYOI2018 Hzy's Planets
- 如何有效地设置QTextEdit的背景
- 【SVR预测】基于matlab EMD优化SVR预测【含Matlab源码 1403期】
- QPSK调制解调FPGA实现成果展示：