해커가 내 wp-config.php로 무엇을 할 수 있습니까?

11

워드 프레스 블로그를 보호하려고합니다. 웹에서 내 게시물을 변경 table_prefix하고 숨겨야 하는 게시물을 읽었습니다 wp-config.php. 그러나 나는 그것을 얻지 못합니까? 침입자는 어떻게해야 wp-config.php합니까?

내 DB 구성이 있지만 공격자가 내 DB_HOSTDB에 연결하기 위해 쉽게 얻을 수없는 예를 필요로 합니까? (내 경우 define('DB_HOST', 'localhost');에는 공격자가 내 DB에 연결하는 데 사용할 수 없음) )

아니면 sth가 누락 되었습니까?

답장을 보내 주셔서 감사합니다.

plugins security wp-config

— 케어
소스

나는 그가 SQL을 주입하는 것이 쉬울 것이라고 생각합니다. 별표 표시. 전문가가 이에 대한 답변을 기다리는 중입니다.

— Robert hue

Programming Puzzles & Code Golf 베타 에 게시하여 사람들이 무엇을 생각하는지 확인할 수도 있습니다. :)

— Joshua Taylor

1

@JoshuaTaylor 제발 아니. 명백한 윤리적 문제를 제외하고, 그것은 우리 사이트의 문제가 아닙니다. 우리는 "어떻게 코드를 작성하고 재미있게 보내자!

— Doorknob

@Doorknob 글쎄, 그것은 인기 대회가 될 것입니다. 그러나 진지하게, 나는 ":)"가 내가 심각하지 않다는 것을 전달하기를 바랐다. 누구든지 결과적으로 wp-config 파일을 게시하려고 시도했다면 사과드립니다.

— Joshua Taylor

9

localhost실행중인 컴퓨터를 나타냅니다. 예를 들어 내 자신의 사이트에서 tomjn.com localhost는 127.0.0.1항상 있습니다. 이것은 해커의 대체합니다 의미, 해커가 연결할 위치를 알 수 없습니다 의미하지는 않습니다 localhost와를 tomjn.com.

물론 내가 앞에 프록시가 있으면 작동하지 않지만 공격자가 내에 액세스 할 수 wp-config.php있으면 동일한 액세스로 인해 해당 컴퓨터에서 다른 작업을 수행 할 수 있습니다.

이제 공격자는 데이터베이스 세부 정보를 가지고 있으며 읽을 수 있습니다 wp-config.php. 이제 데이터베이스의 모든 것에 액세스 할 수 있으며 데이터베이스의 모든 것을 변경할 수 있습니다.

설치 보안에 따라 사용자를 직접 생성하고, 로그인하고, PHP Shell 스크립트로 zip을 통해 플러그인을 업로드하고, 명령을 시작하거나 사이트를 봇넷의 일부로 사용할 수 있습니다.

그들은 또한 당신의 소금과 비밀 키를 가지고 있습니다 (이것이 없다면 나쁜 나쁜 나쁜 것입니다). 또한 이메일에 액세스 할 수 있습니다.

말하기는 말할 wp-config.php수없는 최악의 일 중 하나입니다. 더 많은 작업을 수행 할 수 있지만 이로 인해 가능한 모든 공격을 입력하는 데 몇 개월이 걸릴 수 있습니다.

귀하 wp-config.php를 인수 한 경우 실제 사람이 아니라 자동 공격 스크립트가이를 수행했을 가능성이 있습니다. 모든 세부 사항을 변경하고 모든 암호를 재설정 한 후 구멍을 막으십시오.

— 톰 제이 노웰
소스

2

이것은 해커의 대체합니다 의미, 해커가 연결할 위치를 알 수 없습니다 의미하지는 않습니다 localhost와를 tomjn.com. > 외부 세계에서 액세스 할 수있는 데이터베이스에 대한 포트가 있다고 가정합니다. 방화벽 규칙에서 포트를 닫아 로컬 네트워크 (워드 프레스 자체를 실행하는 컴퓨터 포함)의 컴퓨터 만 데이터베이스에 연결하도록 허용하면 안전하지 않습니까?

— IQAndreas

1

아직 정확한 위치 것이지만, 예 포트, 나는 주로 문제가되는 원 노트에서 관련 목표로하고있다

— 톰 J 노웰

2

에서 데이터베이스에 대한 액세스 만 허용하는 경우 localhost(로 정의 DB_HOST하여 달성 할 수 없음 localhost)? 그 자체로는 그리 많지 않지만 (최악의 경우 공격자가 관리자 계정을 인수 함), 다른 취약점과 함께 공격자가 구성에 액세스하는 것이 도움이 될 수 있습니다.

로그인 자격 증명

사람들은 자신의 사용자 이름과 비밀번호를 재사용합니다. 공격자는 데이터베이스 사용자 이름 및 비밀번호 (또는 그 변형)가 워드 프레스 설치, 호스트, 이메일 등에서 작동하는지 확인합니다.

최소한 공격자는 어떤 종류의 암호 (완전히 임의, 소문자 / 숫자, 길이 등)를 사용하는지 알 수 있습니다.

테이블 접두사

SQL 삽입이 가능한 경우 공격자는 테이블 이름을 알아야합니다. 데이터베이스에 따라이 작업은 매우 쉬워 지거나 추측이 필요할 수 있습니다. 추측과 관련된 경우 테이블 접두사를 사용하는 것이 가장 좋습니다.

열쇠와 소금

나는 발견 이 문서가 당신이 정말로이 유출하지 않을 것을 건의 나는 그것이 얼마나 - - 날짜 모르겠지만, (기본적으로 사람이 당신의 관리자 계정을 이상 걸릴 수 있습니다).

데이터베이스 문자셋

일부 SQL 삽입은 문자 집합에 따라 달라 지므로 공격자가이를 알고있는 것이 좋습니다.

요약

데이터베이스에 대한 외부 액세스를 허용하지 않거나 암호를 재사용하지 않고 SQL 주입이없는 경우 주요 염려가 될 것입니다.

— 팀
소스

그 기사는 충분히 최신입니다. 소금과 열쇠가 새는 것을 원하지 않습니다. 그것들은 개인 정보입니다. 사용 가능하다고 의심되는 경우 즉시 다른 임의의 데이터 세트로 변경하십시오. 변경하는 데 실질적인 단점은 없으며 단순히 웹 사이트에서 로그 아웃하므로 다시 로그인해야합니다. api.wordpress.org/secret-key/1.1/salt

— Otto

1

쓰기 액세스는 기본적으로 자신의 코드를 삽입하여 사이트에서 좋아하는 작업을 수행하는 액세스이므로 읽기 액세스에 대해 문의한다고 가정합니다.

DB 정보가 민감하지 않다는 가정은 잘못되었습니다. 귀하의 사이트가 godaddy에 호스팅되어 있다고 가정하겠습니다. godaddy AFAIK는 자체 서버에서만 액세스 할 수있는 전용 mysql 서버를 사용하고 있지만 세부 정보를 알고 있다면 godaddy 계정을 만들고 DB에 액세스하는 스크립트를 작성하는 것이 얼마나 어려운가요? 로컬 DB의 경우 악용하기가 어렵지만 공유 호스팅 서버에는 서버를 공유하는 100 개의 사이트가있을 수 있습니다. Evil이 침입하여 사이트를 공격 할 수 없을만큼 충분히 안전한 것으로 신뢰할 수 있습니까?

— 마크 카플 룬
소스