Wordfence的log导致WordPress数据库增大

Wordfence是一款由Feedjit开发并运营的WordPress应用防火墙,主要用于监控入站流量、检测并防御针对WordPress的网络攻击。功能涵盖从扫描WordPress主要文件是否遭到更改、是否存在恶意插件(后门)、暴力登录、弱密码攻击,到过滤垃圾留言、分析Google爬虫行为等等非常广泛。

我的Blog安装这个插件已经一年多了,总体状况还算满意。对性能几乎没有(可以主观感受到的)影响,而且通过后台观察统计数据也的确防范了一些攻击(然而没有防御先前的API提权漏洞攻击)。

前些天在整理数据库备份的时候偶然发现,WordPress的数据库这一年以来增大了几乎一倍,而目前托管在我这的几个网站几乎都处于停滞状态,文章和留言几乎都没有增加。

继续阅读Wordfence的log导致WordPress数据库增大

WordPress 4.7和4.7.1的提权漏洞

今天VempX联络我说Blog被黑了。结果我一看我俩的Blog、爱乳发布页都被黑了。症状是最新一条Blog文章遭到修改,标题和内容变成了“Hacked By BALA SNIPER”。

我的WordPress用的是强密码且不存在密码重复使用的问题,平日里后台也做了不少加强安全性的工作。因此可以初步排除爆破、撞库、社工渗透的可能性。

网上查了一下,同样症状的应该不少,日本WordPress社区有人提问相同的问题。原因貌似是WordPress 4.7和4.7.1的权限验证存在逻辑漏洞,造成恶意用户可以跳过用户登录直接修改某条特定ID的文章。

继续阅读WordPress 4.7和4.7.1的提权漏洞