差不多一个多月没有查看网站情况了,五一回来想起来看了下谷歌统计,发现很多网站的统计数据停留在了4月21日这一天。事出反常必有妖,抓紧去后台看了下,所有出现这个问题的网站的全部的插件被停用,因为网站太多,只看了几个,以为是自动升级或者其他偶然因素造成的,毕竟这种情况也不少见,重新启用了下就没再管。
抽查发现异常
因为最近又新做了一批站群,隐隐感觉也是担心出现什么问题,随机抽查了几个,发现有网站文件被篡改,这种情况并不意外。清除做好权限后紧接着查看了下user里面有没有情况,这一查不得了,密密麻麻多出几十上百个xtw为前缀的异常用户。
盗版用户的猜测:Automatic
这些出问题的网站无一例外都是用WordPress做的,但是程序本身应该没大问题,另外一个共同点就是全都使用了售价39美金的Automatic这个插件。
功能强大的一批,看销量就知道了。
文章内容全靠他和ChatGPT输出,五美元的key用过上百个了,开始收费后的key也充值几十美元了,结果最后又连买带送配套输出个王炸漏洞出来。。。
当然我用的是盗版的,知道它有潜在危险因素,容易被人留后门被挂马什么的,奈何诱惑太大,网站太多,又穷又想占便宜,正版肯定买不起,白嫖惯了,然后就这样了。不过因为是插件本身的漏洞,不是被破解后留后门造成的,这次正版用户也在劫难逃。
新鲜的求证结果
去百度谷歌分别搜了下最近的WordPress漏洞和插件漏洞等相关词,猜测赫然在列,日期也很新鲜:
正版用户的愤怒、差评与哀嚎
淡定
因为你的插件我的网站被黑了
客气
不幸的是,由于安全漏洞,我们工作了 9 年的项目遭到了黑客攻击。我们不得不关门。我们的团队仍在尝试修复该网站。
他们宣称他们已经解决了问题,但不幸的是我们和许多像我们一样的人成为了受害者。
很遗憾,我们建议想要使用此插件的用户考虑到这一点。
我们还建议作者更加小心并勤奋工作。
问候。
头疼
不幸的是,我的网站因为这个插件而被黑了。
我最终没有注意到,作者花了一段时间才警告我这个错误,我尝试恢复备份,但我的 4 个备份已经感染了病毒。
我必须设置一个新服务器并彻底迁移该网站。
显然我在解决这个问题时很头疼。
最糟糕的是没有提前传达这一失败!
失去信心
在软件世界中,信任就是一切,用户依靠开发人员来保证其数字家庭的安全。但不幸的是,WP 自动插件因一个重大安全缺陷而让我们失望。
这个被称为 CVE-2024-27956 的缺陷是一个大问题。这就像为窃贼敞开你家的前门一样。更糟糕的是,开发商 Atef 先生并没有直接向我们坦白此事。
首先,该插件的销售页面上没有提及此漏洞。如果你仔细研究最近的更新,你也找不到任何关于它的字。就好像阿特夫先生希望我们不会注意到一样。
我只是在 4 天前从一篇 Hacker News 文章中发现了这个烂摊子(不是来自 Aetf 先生)。今天(2024 年 4 月 30 日)Envato Market 向我们发出了警告。
四天前我问过他这个问题(当时我读到了《黑客新闻》的文章)。阿特夫先生的回应虽然承认了补丁的存在,但未能解决更广泛的透明度和问责制问题。这不仅仅是在问题暴露后解决问题;这是从一开始就与用户保持友好的关系。这是关于在修复漏洞后公开宣布该漏洞。这是关于对客户诚实和直接。
在科技界,诚实是最好的政策。用户应该知道他们的数字安全何时面临风险。阿特夫先生保持沉默,正在将我们所有人置于危险之中。请参阅以下网站被黑客攻击并失去业务的客户的评论。
我已经对这个产品失去了信心,我不愿意再冒险了。如果 Atef 先生不能坦率地谈论安全这样重要的事情,那么我就不能信任他来管理我的网站。
底线:如果您正在考虑使用此插件,请再考虑一下。您的安全太重要,不能用来赌博
损失
大量网站被赌场和其他垃圾邮件攻击。完全毁掉了所有这些网站,损失了 1 万多美元……
由于这个插件,我丢失了我的一个网站,它被黑客攻击并且代码被删除。
证据
我的网站通过这个插件被黑了,我有所有的证据和所有的日志。
https://www.********/wp-content/plugins/wp-automatic/inc/csv.phpe1ab06ea21c2.php
https://www.********/wp-content /plugins/wp-automatic/inc/csv.phpe1ab06ea21c2.php
作者回复
很遗憾得知您遇到此问题
最先发现该问题的 PatchStack 联系了我们,我们在发现问题的当天就发布了修复程序,并且我们也不得在根据其保密条款规定的 30 天的期限之前向公众披露该问题
。问题出在插件的旧版本中,该插件在一个多月前就已修补,并且在发现问题的同一天修补,这意味着您没有及时更新插件,因此请确保及时更新我们的或任何插件或打开自动更新,因为当发现安全漏洞时,它会被修补,当问题公开发布时,它会被安装过时版本的网站上的恶意用户利用
我们还发布了一个无法拒绝的电话通知,要求进行此更新
要解决此问题,请尝试恢复出现此问题之前的备份,并确保您使用的是最新版本的插件
问候,
阿特夫
问题解决
原因找到了那就很简单了,直接清除可疑用户,因为升级是不可能的,所以只能暂时停用删除插件,只不过网站太多,前前后后一百七十个左右,一个个的登录,一个个的删除停用,搞的头大。
庆幸的是数据都还在,文件也很少被篡改,相比去年KT机房着火带来的损失简直九牛一毛都不毛。
做好之后批量迁移异地备份才算暂时告一段落。
启用Aiomatic
Automatic插件不能用了,最新版本的开心版还没有流出,内容暂时只能用本地生成了,感觉还是不大方便,用重启尘封已久的Aiomatic插件,当然同样是那个版本,不过相比前者算是属于小众,知道和使用的用户少一大截,被人关注的风险也降低一些,暂时先用着。
老老实实备份
不管是正版还是盗版插件,WordPress 还是其他CMS,出来做,被黑是常态,被烧也是有可能,参考去年KT机房失火,还是老老实实的做好备份。
去年用的KT服务器就是没有做异地备份,虽然最后服务器只是被水淋了,着火的是机房的其他区域,数据没有丢失,但是恢复也是一个多月以后的事了,所有网站凉凉了,最后谷歌直接拔毛,关键词到现在还没恢复过来,用了八年都没有出过事,这一次直接来个物理攻击,这你能受得了吗?
但是也别只知道备份不知道查看下情况,像上面的老哥,不仅备份了而且还备份了四份,但是四份都是被黑后的备份,即便恢复了也还是黑的。
最后
黑不怕,怕的是被黑了也不知道,知道被黑了也不知道怎么去解决。