首页 > 新闻资讯 > 警告!检查你的博客,WordPress 2.8.4 仍然存在注入漏洞!

警告!检查你的博客,WordPress 2.8.4 仍然存在注入漏洞!

12条评论
标签:
更多

请检查你的博客主页的html源码,看紧随在<body>标签之后是否有类似如下的代码:

<div style="position:absolute; left:-818px; top:-489px">...(接着是一堆链接代码)

如果发现了这段代码,那我只能告诉你,你被注入了。

再查看wp根目录的wp-blog-header.php文件,如果文件开头有类似如下的代码:

eval(base64_decode('aWYgKCFmdW5jdGlvbl9leGlzdH

那就100%确认你已经被注入了。

解决这个问题的方法如下:

  1. 下载一个干净的WordPress安装包,用干净的wp-blog-header.php覆盖到你的空间上
  2. 依次删除以下文件:
    wp-content/wp-manager.php
    wp-content/cache.php
    wp-includes/class-cache.php
  3. 删除wp-content/cache文件夹

这样问题就解决了。再次查看你的博客主页,注入的代码已经消失。不过为了安全起见,我仍然建议你修改你的数据库密码、wp管理员密码,并采取一些强化安全的措施

这一漏洞几个月前在WordPress官方论坛上及一些国外个人博客上有过报告(请看这里这里这里这里),由于当时出现问题的博客集中在DreamHost主机上,一些人误以为是主机商的过错。

今天国内著名汽车摄影网站爱拍车也遭受了同样的注入攻击(问题现已解决)。爱拍车使用最新版的WordPress 2.8.4,且主机在国内,证明WordPress 2.8.4版仍然存在注入漏洞。不过由于本人技术能力有限,我无法指出漏洞的具体细节。

目前仅在爱拍车这一个博客上发现了注入,暂不清楚这次国内受灾面有多大。望大家自我检查,同时提高警惕,做好博客的安全防范措施。

* 版权声明:作者WordPress啦! 转载请注明出处。

#1
前两星期我的blog被黑了,害我重装了一次,烦死了。
#2
不会吧 ,我检测检测,…… 没有奥,呵呵
#3
吓死我了 还好没有
#4
立马去查看了,还好没有。怎么漏洞一直都存在的..
#5
wp2.8飘过 我没升级284
#6
升吧,安全
#7
一方面,我的wp不知道为什么总不能检查新版本,也就是说,升级必须重新上传 另一方面,本人上初三,没时间升级。上次是暑假里2.7升2.8
#8
呵呵,这么早就开始玩博客,前途无量啊。
#9
仓促地升级到wp2.8是个错误...
#10
如果对新功能和插件没有追求的话,保持在一个中版本的最后一个小版本就可以了。
#11
是呀。不过已经退不回去了。以后要吸取教训。
#12
hehe....没有发现任何问题。。。