揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

前言

WordPress是一个知名的开源内容管理系统(CMS),用于创建网站和个人博客。根据预计,目前有35%的网站使用这一知名CMS,如此之大的比例也使其成为了威胁参与者的理想目标。WordPress平台存在的一大弱点就是允许攻击者破坏网站的安全性,而这个弱点会随着网络安全形势的严峻而更加恶化。

平时,我们经常可以看到有攻击者针对CMS平台发起攻击,这已经不再是一个新闻。威胁行为者已经发现,对网站进行攻击可以成为一种攻破组织资产的有效手段。这篇文章首先介绍我们在野外观察到的Payload示例,列举出针对WordPress的不同类型的攻击,深入揭秘攻击者是如何利用非法获取的管理员访问权限、API、Alfa-Shell部署和seo投毒来实现攻击。

利用非法获取的管理员访问权限攻击WordPress站点

这种方法需要使用管理员的帐户和密码访问使用WordPress架构的站点。攻击者可能会利用漏洞,或使用泄露的密码及弱密码实现登录,这一过程可以通过向目标站点的/wp-login.php发送POST请求来实现。

使用弱密码登录的攻击示例:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

攻击者进行暴力破解时所使用的密码:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

成功登录后,具有管理员访问权限的攻击者就能操作多个选项,攻击者通常会进行如下操作:

1、安装带有后门的自定义主题;

2、安装插件以上传文件。

在成功获得管理员特权后,通常会进行这两种操作,此外攻击者还可以选择更改管理员密码,或创建新的管理员帐户。最常用的方法是使用公共的主题,利用远程代码执行(RCE)漏洞来嵌入自定义的后门。除此之外,还有一些文件上传的插件,攻击者可以借助这些插件直接上传Payload。

应该注意的是,我们经常见到一个后门会部署具有相似功能的另一个后门。当Payload/命令/代码被编码在CookIEs或POST数据中时,使用GET或POST请求就可以完成部署。解码的逻辑位于此前部署的后门内部。在部署后,攻击者将收到新上传组件的URL。

我们观察到的另外一个值得注意的功能是能修改已经存在的.php文件,从而使恶意请求更加隐蔽。首先,记录所有可写的路径,选择一个合适的随机路径,然后修改所选的文件。

在已经使用的Payload中,修改现有.php文件的功能:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

在实际案例中,修改后的程序功能已经应用于index.php之中,以在Unix隐藏文件(点文件)中包含使用.ico作为扩展名的恶意脚本,并伪装成图标。

使用隐藏的.ico文件修改WordPress index.php的示例:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

另一个值得关注的功能是,可以影响其他相邻的域名。要实现这一点,需要Web服务器具有多个域名,并且需保证当前用户对该目录具有写访问权限。

尝试将Payload上传到相邻域名:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

在被攻击的WordPress站点中部署Alfa-Shell

众所周知,攻击者可能会将WebShell部署到其攻击的WordPress网站上。在这里,我们将重点介绍ALFA TEAM/solevisible使用的高级工具之一——Alfa-Shell。

Alfa-Shell:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

Solevisible的GITHub帐户:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

这个WebShell为远程代码执行提供了一个用户友好的界面。例如:注册CGI Handler以允许执行PErl、Python或Bash脚本。Alfa-Shell还可以从WordPress配置文件中获取数据库凭据,从而进行数据库转储,并列举出所有虚拟域名和DNS设置。

用于执行各种类型脚本的CGI Handler:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

部署的Bash脚本示例:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

该WebShell还支持多种平台,包括Windows。实际上,它能够从开发人员网站下载反向Shell并执行。

Alfa Team制作的简单Windows反向Shell二进制文件:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

被攻击者的WordPress也可以作为重定向到广告页面的网站,可以通过修改主题的JavaScript文件或页眉/页脚生成器功能(例如:wp-contentthemestwentyseventeenfunctions.php)来实现。经过修改后的JavaScript可以将用户重定向到攻击者指定的网站。

经过混淆后的JavaScript重定向:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

重定向后指向的网页

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

在被攻击的WordPress网站中实现搜索引擎优化(SEO)投毒

攻击者利用被攻击的WordPress网站做的另一类行为是搜索引擎优化(SEO)。我们发现,已经部署的PHP脚本会在GET请求中接收关键字。

WordPress“搜索引擎”:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

脚本首先检查User-Agent是否与以下正则表达式中的其中一条相匹配,并检查$_SERVER[“RemoTE_ADDR”](发出HTTP请求的参与者的IP地址)的反向DNS查询是否包含Google子字符串。如果发现,则将$isbot变量设置为1。

部署脚本的片段:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

如果$isbot不为0,则使用相同的关键字,对硬编码的URL地址发出另一个HTTP请求。

部署脚本的片段:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

如果返回的文本长度小于1000个字符,则使用必应(Bing)搜索引擎执行其它查询,并将与特定正则表达式匹配的结果附加到$text后面。

攻击者使用的文本:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

如果再次执行相同的查询,就会返回最终的HTML页面,并将其保存在服务器上。

最终页面:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

如果未设置$isbot,并且HTTP_REFERER包含类似于Google、Bing或Yahoo的字符串,则将其重定向到另外一个网站。

部署脚本的片段:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

发表虚假或误导性文章

遭到入侵的WordPress网站也可能会被用于发布虚假或误导性文章,其中的内容往往很少,或者没有真实的细节。取而代之的是,攻击者往往会使用引人注目的标题,并编造吸引人注意的故事。

在遭到入侵的站点上发布的故事示例:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

从以上示例可以看出,被攻击的站点发布了带有明显语法错误或煽情报导的故事。通常,这些文章的内容难以被理解。攻击过程是通过WordPress的XML-RPC应用程序编程接口(API)来实现的,该接口可以传输数据并执行多项任务,例如上传新文件、编辑和发布帖子。

POST /xmlrPC.php和metaWeblog.newPost(左侧)以及帖文内容(右侧)示例:

揭秘攻击者针对WordPress站点使用的攻击技术及防护建议

攻击者可以使用POST /xmlrpc.php和metaWeblog.newPost,这允许将博客内容直接(甚至远程)发布到WordPress网站。

针对WordPress站点的安全建议

上面提到的示例,只是目前已知攻击者会使用的一些技术。实际上,如果没有保证良好的安全性,易受攻击的WordPress站点很容易遭到攻击者的滥用。为了降低被攻击的风险,我们建议用户使用双因素认证(2FA)插件来防止凭据滥用,同时建议扫描未修复的漏洞。用户和网站管理员可以采用以下防护措施:

1、部署基本的安全防御措施,以减少网站的攻击面;

2、禁用或删除过时的或易受攻击的插件;

3、使用虚拟补丁程序来修复补丁不可用的漏洞,特别是针对需保障业务连续性的系统更要关注这一点;

4、应用权限最小化原则;

5、定期将CMS更新到最新版本,包括CMS中使用的插件。