Những Khám Phá Về Các Rủi Ro Trung Bình trên WordPress

Sự Đáng Ngại Của Các Rủi Ro Trung Bình

Một phần người phát ngôn từ WPScan, một công ty quét bảo mật WordPress thuộc sở hữu của Automattic, giải thích rằng họ sử dụng Hệ thống Điểm Rủi Ro Phổ Biến (CVSS Scores) để đánh giá mức độ nghiêm trọng của một mối đe dọa. Các điểm được dựa trên một hệ thống đánh số từ 1 - 10 và xếp hạng từ thấp, trung bình, cao và nghiêm trọng.

Người phát ngôn từ WPScan giải thích:

'Chúng tôi không đánh dấu các mức độ như khả năng xảy ra, mà là mức độ nghiêm trọng của lỗ hổng dựa trên khung công cụ CVSS của FIRST. Nói rộng, một điểm số nghiêm trọng ở mức trung bình có nghĩa là hoặc lỗ hổng khó khai thác (ví dụ, Injection SQL cần một tài khoản có đặc quyền cao) hoặc kẻ tấn công không thu được nhiều từ một cuộc tấn công thành công (ví dụ, một người dùng chưa xác thực có thể nhận nội dung của các bài đăng blog riêng tư).

Chúng ta thường không thấy chúng được sử dụng nhiều trong các cuộc tấn công quy mô lớn vì chúng ít hữu ích hơn so với các lỗ hổng nghiêm trọng hơn và khó tự động hóa. Tuy nhiên, chúng có thể hữu ích trong các cuộc tấn công có mục tiêu hơn, ví dụ, khi một tài khoản người dùng có đặc quyền đã bị xâm phạm, hoặc kẻ tấn công biết rằng một số nội dung riêng tư chứa thông tin nhạy cảm mà họ có thể sử dụng.

Chúng tôi luôn khuyến nghị nâng cấp các phần mở rộng có lỗ hổng càng sớm càng tốt. Tuy nhiên, nếu mức độ nghiêm trọng là trung bình, thì không cần gấp gáp như vì trang web ít có khả năng trở thành nạn nhân của một cuộc tấn công tự động quy mô lớn.

Một người dùng không được đào tạo có thể thấy báo cáo hơi khó hiểu. Chúng tôi đã cố gắng làm cho nó phù hợp nhất có thể với tất cả khán giả, nhưng tôi hiểu rằng sẽ không thể bao gồm tất cả mọi người mà không làm cho nó quá nhạt nhẽo hoặc dài dòng. Và điều tương tự có thể xảy ra với lỗ hổng được báo cáo. Người tiêu dùng thông tin sẽ cần một số kiến thức cơ bản về cài đặt trang web của họ để xem xét lỗ hổng nào cần chú ý ngay lập tức và lỗ hổng nào có thể được xử lý bởi WAF, ví dụ.

Nếu người dùng biết, ví dụ, trang web của họ không cho phép người dùng đăng ký vào đó. Tất cả các báo cáo về lỗ hổng người đăng ký+, độc lập với cấp độ nghiêm trọng, có thể được xem xét lại. Giả sử người dùng duy trì một xem xét liên tục về cơ sở người dùng của trang web.

Tương tự, áp dụng cho các báo cáo người đóng góp+ hoặc thậm chí là quản trị viên. Nếu người đó duy trì một mạng nhỏ các trang web WordPress, các lỗ hổng quản trị viên+ là thú vị cho họ vì một quản trị viên đã bị xâm phạm của một trong các trang web có thể được sử dụng để tấn công quản trị viên cấp cao.'

Các Lỗ Hổng Cấp Người Đóng Góp

Nhiều lỗ hổng với mức độ nghiêm trọng trung bình yêu cầu quyền truy cập cấp người đóng góp. Một người đóng góp là một vai trò truy cập cho phép người dùng đã đăng ký có khả năng viết và gửi nội dung, tuy nhiên, nói chung họ không có khả năng xuất bản chúng.

Hầu hết các trang web không cần lo lắng về các mối đe dọa bảo mật yêu cầu quyền truy cập cấp người đóng góp vì hầu hết các trang web không cung cấp cấp đóng góp.

Chloe Chamberland – Trưởng Thông Tin Độc Hại tại Wordfence giải thích rằng hầu hết chủ sở hữu trang web không cần lo lắng về các lỗ hổng mức độ trung bình yêu cầu quyền truy cập cấp người đóng góp để khai thác vì hầu hết các trang web WordPress không cung cấp cấp đóng góp. Bà cũng lưu ý rằng các loại lỗ hổng như vậy khó mở rộng vì việc khai thác chúng khó tự động hóa.

Chloe giải thích:

'Đối với hầu hết chủ sở hữu trang web, các lỗ hổng yêu cầu quyền truy cập cấp đóng góp và cao hơn để khai thác là điều họ không cần phải lo lắng. Điều này là vì hầu hết các trang web không cho phép đăng ký cấp đóng góp và hầu hết các trang web không có người đóng góp trên trang web của họ.

Ngoài ra, hầu hết các cuộc tấn công WordPress đều được tự động hóa và đang tìm kiếm lợi nhuận cao dễ khai thác nên các lỗ hổng như vậy không thể nhắm mục tiêu của hầu hết các đối tác đe dọa WordPress.'

Những Nhà Xuất Bản Trang Web Nên Lo Lắng

Chloe cũng nói rằng những nhà xuất bản có cung cấp quyền truy cập cấp đóng góp có thể có nhiều lý do để quan ngại về các loại khai thác như vậy:

'Thận trọng với các khai thác yêu cầu quyền truy cập cấp đóng góp xuất hiện khi chủ sở hữu trang web cho phép đăng ký cấp đóng góp, có người đóng góp với mật khẩu yếu, hoặc trang web có cài đặt plugin/chủ đề khác với lỗ hổng cho phép quyền truy cập cấp đóng góp một cách nào đó và kẻ tấn công thực sự muốn xâm nhập vào trang web của bạn.

Nếu kẻ tấn công có thể lấy được một trong những tài khoản này, và một lỗ hổng cấp đóng góp tồn tại, thì họ có thể có cơ hội nâng cao quyền hạn của mình và gây thiệt hại thực sự cho nạn nhân. Hãy xem xét một lỗ hổng Cross-Site Scripting cấp đóng góp ví dụ.

Do tính chất của quyền truy cập cấp đóng góp, một quản trị viên rất có khả năng xem trước bài đăng để xem xét tại thời điểm đó mã JavaScript bất cứ được chèn vào sẽ thực thi - điều này có nghĩa là kẻ tấn công sẽ có khả năng thành công tương đối cao do quản trị viên xem xét trước bài đăng để công bố.

Như bất kỳ lỗ hổng Cross-Site Scripting nào khác, điều này có thể được tận dụng để thêm một tài khoản người dùng quản trị mới, chèn cửa sau, và về cơ bản làm bất cứ điều gì mà một quản trị viên trang web có thể làm. Nếu một kẻ tấn công nghiêm túc có quyền truy cập vào một tài khoản cấp đóng góp và không có cách dễ dàng nào khác để nâng cao quyền hạn của họ, thì họ có khả năng sẽ tận dụng lỗ hổng Cross-Site Scripting cấp đóng góp đó để có thêm quyền truy cập. Như đã đề cập trước đó, bạn có thể không thấy mức độ tinh vi đó nhắm vào hầu hết các trang web WordPress, vì vậy chỉ có các trang web có giá trị cao cần quan tâm đến các vấn đề này.

Để kết luận, mặc dù tôi không nghĩ rằng phần lớn chủ sở hữu trang web cần phải lo lắng về các lỗ hổng cấp đóng góp, nhưng vẫn quan trọng phải coi chúng là nghiêm trọng nếu bạn cho phép đăng ký người dùng ở mức đóng góp trên trang web của bạn, bạn không áp dụng mật khẩu người dùng mạnh riêng biệt, và/hoặc bạn có một trang web WordPress giá trị cao.'

Hãy Cảnh Giác Với Các Lỗ Hổng

Mặc dù nhiều trong số các lỗ hổng mức độ trung bình có thể không phải là điều cần lo lắng nhưng vẫn là một ý tưởng tốt để cập nhật thông tin về chúng. Các công cụ quét bảo mật như phiên bản miễn phí của WPScan có thể cảnh báo khi một plugin hoặc chủ đề trở nên dễ bị tấn công. Đó là cách tốt để thiết lập hệ thống cảnh báo để kiểm soát các lỗ hổng.

Các plugin bảo mật WordPress như Wordfence cung cấp một cách tiếp cận bảo mật chủ động chặt chẽ để chặn các cuộc tấn công hack tự động và có thể được điều chỉnh thêm bởi người dùng nâng cao để chặn cụ thể các bot và tác nhân người dùng. Phiên bản miễn phí của Wordfence cung cấp bảo vệ đáng kể dưới dạng tường lửa và máy quét mã độc hại. Phiên bản trả phí cung cấp bảo vệ cho tất cả các lỗ hổng ngay khi chúng được phát hiện và trước khi lỗ hổng được vá. Tôi sử dụng Wordfence trên tất cả các trang web của mình và không thể tưởng tượng thiết lập trang web mà không có nó.

Bảo mật nói chung không được coi là một vấn đề SEO nhưng nên được xem xét vì việc không bảo vệ trang web có thể hủy hoại hết công sức đã làm để đưa trang web đến vị trí cao.

Hình Ảnh Đặc Điểm bởi Shutterstock/Juan villa torres