طی ماه گذشته اختلال امنیتی در افزونه بک‌آپ‌گیری و انتقال افزونه Duplicator وردپرس کشف و شناسایی شده است. این مورد باعث به وجود آمدن اختلالات گسترده درتمامی سایت‌ها وردپرسی از جمله در سایت‌های کاربران ایرانی شده است. طی اطلاعیه شرکت Synacktiv خصوص افزونه Duplicator مشخص شد که اختلال امنیتی در حال حاضر با patch ارائه شده قابل رفع می‌باشد و کاربران حتما باید اقدام به بروزرسانی این افزونه کنند. در اینجا کمی درخصوص اختلال در افزونه Duplicator وردپرس توضیح خواهیم داد
حفره امنیتی مذکور
کدی که دارای مشکل امنیتی است در واقع در خود دایرکتوری پلاگین قرار ندارد. مشکل زمانی نمایان می‌شود که کاربر اقدام به انتقال محتویات وردپرس و با بازگردانی آن میکند.
بک‌آپ‌گیری از سایت ،۲ فایل خروجی دارد که هر دو برای بازگردانی سایت مورد نیاز هستند: یکی فایل آرشیو .zip و دیگری اسکریپتی با نام installer.php که برای بازگردانی محتویات از آن استفاده می‌شود.
این فایلها می‌توانند به سرور جدیدی منتقل شوند و در دایرکتوری مربوطه قرار گیرند. سپس ادمین می‌تواند از طریق مرورگر خود فایل installer.php را بازدید کند و پروسه بازگردانی و انتقال سایت را آغاز کند.
پيشنهاد وب رمز: هاست وردپرس – WordPress Host
بعد از اینکه بازگردانی انجام شود، پیغامی مبنی بر آماده بودن سایت و امکان ورود به آن نشان داده می‌شود.
در این صفحه یک لیست از گام‌های نهایی وجود دارد که به کاربر یاد آوری میکند که باید فایل‌های اضافه و باقی مانده را به دلایل امنیتی حذف کند. در واقع این پیغام به صورت دائمی در داشبورد وردپرس نمایش داده می‌شود تا زمانی که کاربر اقدام به حذف فایلها کرده و یا Duplicator را uninstall کند.
ماندگار بودن این پیغام دلیل بسیار مهم و موجهی دارد، باقی ماندن فایلها و اسکریپت‌ها در دایرکتوری‌هایی که که از طریق وب قابل دسترس هستند کار بسیار خطرناکی است. در گذشته نیز این امر باعث به وجود آمدن اختلالات امنیتی در وردپرس بوده است.
مشکل از آنجا به موجود می‌آید که فایل installer.php مقادیر ورودی که از کاربر می‌گیرد را مستقیما وارد فایل wp-config.php میکند و این امر باعث به وجود آمدن حفره امنیتی برای تزریق کد می‌شود.
در حال حاضر patch ارائه شده از سوی شرکت Synacktiv دو کار مختلف انجام داده است:
۱) رفع مشکل امنیتی فایل installer.php و جلوگیری از تزریق کد توسط این فایل
۲) افزودن قابلیت ایمن سازی از طریق تعریف کردن رمز برای فایل‌های installer
این کار باعث می‌شود که در حین استفاده از فایل installer کاربر امنیت بیشتری داشته باشد و شخص سومی به طور کل به این فایلها دسترسی نداشته باشد.
هشدار !!!
با اینکه patch ارائه شده اقدامات امنیتی لازم جهت ایمن سازی پلاگین Duplicator را تا حد زیادی انجام میدهد، باید توجه داشت که حذف کردن فایل‌های installation بعد از پایان کار از اهمیت بسیار بالایی برخوردار است و تاکید شدیدی بر آن می‌شود.
در حال حاضر در هاست وردپرس وب‌رمز با وجود اینکه اطلاعات ورودی کاربر در زمان استفاده از پلاگین قبل از وارد شدن به فایل wp-config امن می‌شود، هم چنان ممکن است مقادیری که از قبل در این فایلها باقی ماندهاند باعث بروز مشکل شوند. مثلا ممکن است رباتها با دادن اطلاعات دیتابیس اشتباه باعث از دسترس خارج شدن سایت و بروز ارور زیر در سایت شوند:
چه کاری باید انجام دهیم؟
۱) در ابتدا تمامی افزونهها از جمله Duplicator را آپدیت کنید.
۲) سپس taller.php و در صورت وجود فایل installer-backup.php را حتما از داخل هاست خود پاک کنید. پس از هر بار استفاده از افزونه Duplicator حتما فایل‌های مربوط را بعد از بازگردانی حذف کنید.
۳) رمز دیتابیس وردپرس را ریست کنید.
۴) جهت اطمینان فایل wp-config.php را حذف کرده و مجددا بسازید. با استفاده از این لینک کلیدهای لازم جهت افزایش امنیت را در فایل wp-config.php کپی کرده و جایگزین کنید.
۵) دیگر فایل‌های وردپرس را چک کنید تا کدهای مخرب به آن تزریق نشده باشد.
ترجمه و گردآوری: علی فروغی
منبع : wordfence.com
