WOT系统2018年2月安全漏洞通报：修复方案与防护要点

公告说明

WOT平台在2018年2月21日的时候, 发布了安全更新。这个更新主要是修复了已经知道的多个漏洞。这些漏洞涉及SQL注入的问题。也包括跨站脚本攻击, 也就是常说的XSS问题。还涉及文件上传时的校验存在缺陷的情况。同时还有后台权限越权这类问题。

本次更新属于强制性的安全修复行动。所有的WOT站点管理员都应当收到公告。并且在收到公告以后的48小时之内, 完成升级操作。如果实例没有进行升级, 就会持续暴露在已知的攻击面之中。这种做法会存在数据泄露的风险。也会带来权限失控的可能和风险。

本次修复漏洞明细

在2018年2月21日发布的版本里, 上述那些漏洞都已经全部修复完毕了。受到影响的版本范围是WOT 4.1这个系列到WOT 4.3这个系列。而从4.4开始以及更高版本的系统, 它们不会被WOT-2018-003这个东西给影响到了。

管理员防护操作要点

1. 立即升级: 你需要把核心、主题以及所有的插件都更新到2018-02-21这个日期的修复版本, 在开始升级之前, 必须要把文件和数据库做完整的备份。

2. 收紧权限: 数据库账号只给SELECT、INSERT、UPDATE这三个权限, 不准用root去连站点；网站目录的权限设成755, 文件的权限设成644, 上传那个目录里面不许执行任何脚本代码。

3. 关闭冗余入口: 如果没有远程发布的需求, 就应该把XML-RPC停用掉；还有那些不再使用的主题与插件, 得把它们删除掉, 要知道停用操作并不等于真的把它删没了。

4. 加固后台: 管理员账号启用多因素认证；修改默认登录用户名；限制登录失败次数并开启告警。

5. 日志与监控: 要保留访问日志, 还要保留登录日志, 同时要把文件变更日志也保留下来。需要设置异常告警机制, 这些异常的情况包含大量的404错误, 频繁的登录失败现象, 以及出现的异常文件上传问题。

后续安全机制

目前WOT安全团队还在持续盯着组件依赖还有第三方插件的那些安全公告呢,所以这里就得跟各位各站点的管理员说道一说了。

每月执行一次授权范围内的漏洞扫描, 并复核结果。

你需要去订阅WOT官方安全公告频道这件事, 在重大漏洞发布之后的二十四小时之内进行响应。

需要来建立那个属于本地的备份恢复演练制度, 要确保至少保留3份备份数据, 在这其中的1份是放到异地去的, 这样做能够防止那一个单一的存储环节被勒索病毒进行加密攻击。

常见问题

Q：已装WAF是否仍需升级？

这是确实需要的。WAF是一种补充性的防御层级, 它没有办法去替代那些根本原因层面的修复工作。攻击者有可能会跳过已有的规则设置, 或者是通过其他没有被覆盖的入口进行侵入。

Q：无法立即升级的临时缓解措施？

让相关人员先把相关的功能入口给关掉, 接着再去添加那些可以访问这个系统的因特网协议地址的白名单, 与此同时还得把那受到影响了的那些插件临时给禁止掉, 然后把所发现的那些风险给记录下来, 等着系统升级到一定程度以后再把相关记录给移除掉。

Q：发现站点已被入侵怎么办？

A: 先把现场和日志都保留下来, 然后把受影响的实例进行隔离操作, 接下来要去排查那些异常的账号、计划任务以及最近被修改过的文件, 在把漏洞修复了之后, 需要更换掉所有的登录凭据信息, 从干净的备份里面恢复数据, 最后一件事就是向搜索引擎方面提交申诉的申请。

常见问题

《WOT系统2018年2月安全漏洞通报：修复方案与防护要点》主要讲什么？

WOT平台在2018年2月21日的时候, 发布了安全更新。这个更新主要是修复了已经知道的多个漏洞。这些漏洞涉及SQL注入的问题。也包括跨站脚本攻击, 也就是常说的XSS问题。

文章提到了哪些重点？

并且在收到公告以后的48小时之内, 完成升级操作；在2018年2月21日发布的版本里, 上述那些漏洞都已经全部修复完毕了