آسیب پذیری افزونه افزونه Duplicator در وردپرس

سعید ناصریسعید ناصریمارس 22, 20202min0

افزونه Snapcreek Duplicator یکی از افزونه های بسیار جذاب ، محبوب ، پرطرفدار و البته دوست داشتنی وردپرس است که برای اولین بار در اواخر مارس 2015 معرفی شده است.
در گذشته شما برای راه اندازی یک وب سایت چند قدم داشتید. از نصب وردپرس گرفته تا قالب ها و افزونه ها.
اما افزونه Duplicator آن را بسیار ساده کرده است که نه تنها وب سایت شما را در زمان کمتری راه اندازی می کند بلکه بدون دردسر نصب وردپرس ، قالب ها و افزونه ها و سایر موارد اساسی ، یک وب سایت کامل برای مطابقت دارد. خواهد گرفت اما این افزونه محبوب مانند اکثر افزونه های وردپرس خیلی تهدیدی نیست! اگر وب سایت خود را با افزونه Duplicator نیز اجرا می کنید ، توصیه می شود که بقیه مقاله را بخوانید …

چرا افزونه Duplicator محبوب است؟

همانطور که قبلاً ذکر شد ، برای راه اندازی وب سایت وردپرس در گذشته ، ابتدا وردپرس نیاز به نصب داشت ، سپس قالب با داده های نمونه و در آخر پلاگین های مورد نیاز برای نصب. در مرحله بعد لازم بود که افزونه ها و وردپرس را تنظیم کنید.
افزونه Duplicator تمام مؤلفه های فوق و تنظیمات آنها را در یک بسته قرار داده و همراه با Installer می باشد. با چند مرحله ساده در Installer ، وب سایت شما دقیقاً مانند نمونه با تنظیمات کامل نصب می شود. به سادگی!

مرور میزبان وردپرس و خرید میزبان وردپرس

چرا باید در مورد پسوندهای تکراری دقت کنید؟

برای پاسخ به این سؤال ، بهتر است نحوه بسته بندی اطلاعات را توضیح دهید. فرض کنید شما ، به عنوان یک فروشنده قالب یا وب سایت آماده ، ابتدا تمام مراحل دسترسی را انجام دهید. ابتدا وردپرس را با نسخه فعلی نصب می کنید ، الگوی مورد نظر خود را اضافه می کنید ، افزونه ها را نصب کرده و تنظیمات و افزونه های WordPress و افزونه ها و قالب ها را تنظیم می کنید. سپس از افزونه Duplicator برای بسته بندی آنها برای فروش استفاده می کنید.

افزونه Duplicator که شما را دچار دردسر می کند!

مشکل اول: تنظیمات وردپرس مبتنی بر اطلاعات نمونه است. هنگام ایجاد یک بسته بندی ، ممکن است فروشنده از ایمیل و اطلاعات کاربر خود در WordPress استفاده کرده باشد. بنابراین پس از راه اندازی وب سایت از طریق Duplicator ، باید وارد WordPress Admin شوید و دو بخش زیر را بررسی کنید:
– به تنظیمات> عمومی بروید و آدرس خود را در قسمت آدرس ایمیل وارد کنید.
– به منوی کاربران> همه کاربران بروید و کاربرانی را که ایجاد نکردید حذف کنید.

مشکل شماره 2: این بسته مدتها قبل توسط فروشنده ساخته شده است ، بنابراین احتمالاً همه قسمتهای آن از نسخه قدیمی استفاده کنند. توصیه می شود بعد از راه اندازی وب سایت به جدیدترین نسخه وردپرس و سپس افزونه ها و قالب ها را ارتقا دهید.

هنگام راه اندازی وب سایت ، در صفحه اول نصب Duplicator بخشی به نام Notices و سپس Package Age وجود دارد که معمولاً سن بسته را به شما نشان می دهد:

مشکل شماره 3: Duplicator وب سایت شما را تغییر می دهد بنابراین خطرناک است ، بسیار خطرناک است!
ساختار افزونه Duplicator به گونه ای طراحی شده است که امکان تغییر در فایل های وب سایت ، پایگاه داده و سایر مؤلفه ها را دارد. حال تصور کنید این افزونه همچنین دارای یک سوراخ امنیتی است. بنابراین استفاده از سوراخ امنیتی و انجام آن آسان است! مورد استفاده قرار گیرد.

Duplicator از زمان انتشار تاکنون بیش از 120 بروزرسانی مختلف داشته است. اما جالب اینجاست که بیشتر فروشندگان قالب از نسخه های قدیمی تر آن استفاده می کنند که دارای حفره های امنیتی است. اگر از Duplicator 1.2.42 و بالاتر استفاده شود ، قطعاً وب سایت شما در معرض خطر جدی قرار دارد و باید در اسرع وقت آن را ایمن کنید.

گزارش آسیب پذیری Duplicator در نسخه های قدیمی تر
نسخه 1.2.32 و بالاتر
نسخه 1.2.40 و جلوتر می رویم
نسخه 1.2.42

آخرین نسخه افزونه Duplicator در زمان نوشتن این مقاله برای نسخه های رایگان 1.3.0 و برای نسخه های مجاز پرو (3.6.1) است.
نسخه جدید Duplicator را دریافت کنید

آسیب پذیری های افزونه Duplicator

افزونه Duplicator به دلیل نوع ساختار و همچنین برخی از حفره های امنیتی می تواند تغییرات زیر را در وب سایت شما ایجاد کند:

آسیب پذیری اول: وب سایت شما ناگهان به صفحه نصب وردپرس باز می گردد. بنابراین به جای نمایش وب سایت خود ، صفحه زیر را دریافت می کنید!

آسیب پذیری دوم: وب سایت شما به طور ناگهانی در دسترسی به بانک اطلاعاتی خطایی دارد. به نظر می رسد هیچ دیتابیس وجود ندارد یا ارتباط قطع شده است.

آسیب پذیری سوم: وب سایت شما در معرض حملات شدید XSS و DDOS است و بسته به حجم حملات ممکن است به خطر بیفتد.

آسیب پذیری چهارم: wp-config.php و index.php حذف می شوند.

آسیب پذیری پنجم: در بسیاری از پرونده ها و مسیرهای وب سایت شما ، کد مخرب تزریق شده است و حتی دسترسی به برخی پرونده ها مانند index.php برای اجرای کد مخرب به 700 یا بیشتر افزایش می یابد.

آسیب پذیری ششم: به دلیل تزریق کد مخرب ، وب سایت شما با خطاهای بی شماری روبرو است ، از جمله یک هدر قابل تغییر نیست.

آسیب پذیری هفتم: کدهای موجود در پرونده .htaccess به یک یا چند مسیر به وب سایت شما تزریق می شوند و باعث می شوند سایت شما به آدرس های ناشناخته هدایت شود. بعضی اوقات این فرآیند فقط در یک وب سایت موبایل و بعضی اوقات روی دسک تاپ یا هر دو اتفاق می افتد. این کدهای که از زیرساخت RewriteEngine استفاده می کنند ، معمولاً در ابتدای پرونده .htaccess چندین کاراکتر دنبال می شوند:

بازنویسی Engine On
بازنویسی پایگاه /
بازنویسی٪ {HTTP_USER_AGENT} android | …
بازنویسی٪ {HTTP_USER_AGENT} …
بازنویسی ^ ^ $ http: // بعضی وقتها (R، L)

قدرتمند لینوکس میزبان را بررسی کنید و میزبان های لینوکس را خریداری کنید

نحوه امنیت وب سایت پس از استفاده از افزونه Duplicator

اگر وب سایت شما هنوز در معرض آسیب پذیری های فوق قرار نگرفته است و به تازگی آن را راه اندازی کرده اید ، یا پس از هک و هک بهبود پیدا کرده اید ، توصیه می شود موارد زیر را انجام دهید:

1- وارد بخش WordPress Admin شوید و به منوی Plugins> Plugins Installed بروید. از لیست ، افزونه Duplicator را پیدا کنید ، سپس آن را غیرفعال کنید و حذف آن را به طور کامل ادامه دهید. (اطمینان حاصل کنید که پس از این فرآیند هیچ پوشه کپی برداری در مسیر wp-content / plugins وجود ندارد ، در صورت وجود آن را حذف کنید.)

به سایت نصب وردپرس خود مراجعه کرده و پرونده های زیر را با هر پسوند یا پیشوندی حذف کنید:

بانک اطلاعاتی.sql
installer-backup.php
installer-data.sql
installer-log.txt
installer.php
dup-data _…. sql
dup-installer-data _…. sql
dup-installer-log _…. txt
dup-installer

3. فایل زیپ شده را برای نصب قالب بردارید.

اگر فایلی برای نصب و نصب ندارید ، پیام زیر را در پنل مدیریت وردپرس مشاهده می کنید که هشدار می دهد که این موارد باید حذف شوند:

بعضی اوقات ممکن است پرونده های ذکر شده در مراحل 2 و 3 در پوشه wp-snapshot باشند. بنابراین محتویات این پوشه را نیز بررسی کنید.

3. با پسوند ، این افزونه معمولاً چندین پرونده .htaccess را در حساب شما ایجاد می کند که از لحاظ شخصیتی هستند. و تعدادی از اعداد نام آنها از هم جدا شده است. مانند: htacees.738293.orig
همه آنها را حذف کنید به جز پرونده ای که نام آن فقط بدون پیشوند یا پسوند .htaccess است.

4- در ابتدای پرونده .htaccess ممکن است توضیحی در مورد نحوه ساخت وب سایت با Duplicator ارائه شود. آن چند خط توضیح را حذف کنید:

نحوه تعمیر وب سایت در حالت هک شده

مطمئناً امن ترین راه برای استفاده از پشتیبان گیری ، بازیابی اطلاعات از زمان بروز مشکل است. اگر از خدمات پشتیبانی استفاده می کنید ، می توانید در طی درخواست ، از یک واحد فنی تهیه پشتیبان تهیه کنید.
اما اگر به هر دلیلی پشتیبان سالم ندارید ، می توانید این مراحل را دنبال کنید:

1- ابتدا باید پلاگین duplicator و پرونده های آن را مطابق با قسمت قبلی (غیرفعال کردن) غیرفعال و حذف کنید.

2. پرونده های از دست رفته را جایگزین کنید. اگر wp-config.php و index.php حذف شده اند ، آنها را از یک سایت خام وردپرس استخراج کرده و آنها را به وب سایت خود هدایت کنید. سپس ضمن تغییر نام کاربری و رمزعبور دیتابیس ، اطلاعات جدیدی از جمله نام کاربری پایگاه داده ، نام کاربری و رمزعبور را در بخش اطلاعات بانک اطلاعات پرونده wp-config.php ذخیره کنید.

3- اگر پایگاه داده شما با انجام مراحل 1-4 سالم است ، پیش بینی می شود وب سایت شما مجدداً در دسترس باشد. اما اگر با یک صفحه خالی یا خطای 500 مواجه شدید ، فایل خطا را بررسی کنید تا خطاهای احتمالی را ببینید.

اگر با عنوان "Can & # 39؛ t header modify" با خطایی مواجه شدید ، به این معنی است که کد مخرب به پرونده و خط تزریق شده است ، بنابراین باید آن پرونده ها را باز کرده و کد مخرب را که معمولاً در ابتدای شروع قابل خواندن نیست ، استخراج کنید. پرونده. تعداد زیادی حروف و شماره ها را وارد کنید.

اطمینان حاصل کنید که در نصب و زیر مجموعه های وردپرس ، فایلهای اضافی یا پوشه ای ایجاد نشده اند ، در این صورت اضافات را حذف کنید. این پرونده ها معمولاً با نامهای غیر متعارف و میزان در دسترس بودن بالا مانند 700 یا 755 ساخته می شوند. همچنین در این پرونده ها معمولاً تزریق پایه 64 وجود دارد.

5- در صورت مراجعه به یک سایت ناشناخته ، خطوط ذکر شده در قسمت هفتم آسیب پذیری را از پرونده .htaccess حذف کنید.

پرونده .htacees را باز کنید و اگر جزئی از اولین خط تصویر زیر بود. خطی را که نشان دهنده استفاده از تکراری است حذف کنید:

فراموش نکن!

به یاد داشته باشید که 15 مرحله ایمن سازی وردپرس همیشه به عنوان یک راهنما کلی در واکسیناسیون عمومی وردپرس مهم است. بنابراین توصیه می شود دستورالعمل های مقاله زیر را در وردپرس دنبال کنید:
15 نکته طلایی برای ایمن سازی وردپرس

یک نظر بدهید

ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت گذاری شده اند *

چهار × پنج =