گزارش آسیب‌پذیری وردپرس 2024 خطاهایی را که سایت‌ها مدام ایجاد می‌کنند نشان می‌دهد

اسکنر امنیتی وردپرس گزارش آسیب‌پذیری وردپرس 2024 WPScan توجه را به روند آسیب‌پذیری وردپرس جلب می‌کند و انواع چیزهایی را پیشنهاد می‌کند که ناشران وب‌سایت (و سئوکاران) باید به دنبال آن باشند.

برخی از یافته‌های کلیدی این گزارش این بود که بیش از 20 درصد از آسیب‌پذیری‌ها به‌عنوان تهدیدهای سطح بالا یا بحرانی رتبه‌بندی شدند و تهدیدات با شدت متوسط، 67 درصد از آسیب‌پذیری‌های گزارش‌شده، اکثریت را تشکیل می‌دهند. بسیاری آسیب‌پذیری‌های سطح متوسط ​​را تهدیدی سطح پایین می‌دانند و این یک اشتباه است، زیرا سطح پایینی ندارند و باید به آنها توجه شود.

این گزارش کاربران را برای بدافزار و آسیب‌پذیری‌های وب‌سایت مقصر نمی‌داند. اما اشتباهات ناشران می تواند موفقیت هکرها را در سوء استفاده از آسیب پذیری ها تقویت کند.

گزارش WPScan توصیه کرد:

“در حالی که شدت به طور مستقیم به خطر سوء استفاده ترجمه نمی شود، این یک دستورالعمل مهم برای صاحبان وب سایت است که تصمیمی آگاهانه در مورد زمان غیرفعال کردن یا به روز رسانی برنامه افزودنی بگیرند.”

توزیع شدت آسیب پذیری وردپرس

آسیب‌پذیری‌های سطح بحرانی، بالاترین سطح تهدید، تنها ۲.۳۸ درصد از آسیب‌پذیری‌ها را نشان می‌دهند، که اساساً خبر خوبی برای ناشران وردپرس است. با این حال، همانطور که قبلا ذکر شد، هنگامی که با درصد تهدیدات سطح بالا (17.68٪) ترکیب می شود، تعداد یا آسیب پذیری های مربوط به تقریبا 20٪ افزایش می یابد.

در اینجا درصدها بر اساس رتبه بندی شدت آمده است:

  • بحرانی 2.38٪
  • پایین 12.83%
  • بالا 17.68%
  • متوسط ​​67.12%

نمودار آسیب‌پذیری‌های وردپرس که درصدها را بر اساس شدت نشان می‌دهد

احراز هویت در مقابل احراز هویت نشده

آسیب‌پذیری‌های احراز هویت شده آن‌هایی هستند که مهاجم را ملزم می‌کند ابتدا به اعتبار کاربری و سطوح مجوز همراه آن‌ها دست یابد تا از یک آسیب‌پذیری خاص سوء استفاده کند. اکسپلویت هایی که نیاز به احراز هویت در سطح مشترک دارند، بیشترین بهره برداری در بین اکسپلویت های احراز هویت شده هستند و آنهایی که به دسترسی در سطح مدیر نیاز دارند کمترین خطر را دارند (اگرچه به دلایل مختلف همیشه ریسک پایینی ندارند).

حملات بدون احراز هویت عموماً ساده‌ترین مورد بهره‌برداری هستند، زیرا هر کسی می‌تواند بدون نیاز به دریافت اعتبار کاربری ابتدا یک حمله را انجام دهد.

گزارش آسیب‌پذیری WPScan نشان داد که حدود 22 درصد از آسیب‌پذیری‌های گزارش‌شده نیاز به سطح مشترک یا اصلاً احراز هویت ندارند، که نشان‌دهنده بیشترین آسیب‌پذیری‌ها است. در سوی دیگر مقیاس بهره‌برداری، آسیب‌پذیری‌هایی هستند که به سطوح مجوز مدیریت نیاز دارند که در مجموع 30.71 درصد از آسیب‌پذیری‌های گزارش‌شده را نشان می‌دهند.

نرم افزار نال شده و رمزهای عبور ضعیف

گذرواژه‌های ضعیف و پلاگین‌های پوچ دو دلیل رایج برای بدافزارهایی بودند که از طریق جت‌پک اسکن یافت می‌شوند. نرم‌افزارهای نال شده، افزونه‌های غیرقانونی هستند که در صورت مسدود شدن، قابلیت تأیید اعتبار دارند. این پلاگین ها معمولاً دارای درهای پشتی بودند که آلودگی با بدافزار را فعال می کردند. رمزهای عبور ضعیف را می توان از طریق حملات brute-force حدس زد.

گزارش WPScan توضیح می دهد:

حملات دور زدن احراز هویت می‌تواند شامل تکنیک‌های مختلفی باشد، مانند بهره‌برداری از نقاط ضعف در گذرواژه‌های ضعیف، حدس زدن اعتبار، استفاده از حملات brute force برای حدس زدن گذرواژه‌ها، استفاده از تاکتیک‌های مهندسی اجتماعی مانند فیشینگ یا بهانه‌گیری، استفاده از تکنیک‌های افزایش امتیاز مانند سوء استفاده از آسیب‌پذیری‌های شناخته شده دستگاه‌های نرم‌افزاری و سخت‌افزاری یا تلاش برای ورود به حساب پیش‌فرض».

سطوح مجوز مورد نیاز برای اکسپلویت ها

آسیب‌پذیری‌هایی که به اعتبار سطح مدیر نیاز دارند، بالاترین درصد سوء استفاده‌ها را نشان می‌دهند و پس از آن Cross Site Request Forgery (CSRF) با 24.74 درصد آسیب‌پذیری‌ها قرار دارد. این جالب است زیرا CSRF حمله‌ای است که از مهندسی اجتماعی استفاده می‌کند تا قربانی را وادار به کلیک روی پیوندی کند که سطوح مجوز کاربر از آن به دست می‌آید. این اشتباهی است که ناشران وردپرس باید از آن آگاه باشند زیرا تنها کاری که لازم است این است که یک کاربر سطح مدیریت پیوندی را دنبال کند که سپس هکر را قادر می‌سازد تا امتیازات سطح مدیریت را برای وب‌سایت وردپرس در نظر بگیرد.

در زیر درصدهای اکسپلویت ها بر اساس نقش های لازم برای انجام یک حمله ترتیب داده شده است.

ترتیب صعودی نقش های کاربر برای آسیب پذیری ها

  • نویسنده 2.19%
  • مشترک 10.4٪
  • احراز هویت نشده 12.35%
  • مشارکت کننده 19.62%
  • CSRF 24.74٪
  • مدیر 30.71%

رایج ترین انواع آسیب پذیری که نیاز به حداقل احراز هویت دارند

کنترل دسترسی شکسته در زمینه وردپرس به یک نقص امنیتی اشاره دارد که می تواند به مهاجم بدون مجوزهای لازم اجازه دسترسی به مجوزهای اعتبار بالاتر را بدهد.

در بخشی از گزارش که به رخدادها و آسیب‌پذیری‌های زیربنایی آسیب‌پذیری‌های تأیید نشده یا سطح مشترک گزارش‌شده نگاه می‌کند (وقوع در مقابل آسیب‌پذیری در گزارش‌های تأیید نشده یا مشترکین+)، WPScan درصدهای مربوط به هر نوع آسیب‌پذیری را تجزیه می‌کند. برای راه اندازی (زیرا آنها به حداقل تا بدون احراز هویت کاربر نیاز دارند).

گزارش تهدید WPScan خاطرنشان کرد که کنترل دسترسی شکسته 84.99٪ و سپس تزریق SQL (20.64٪) را نشان می دهد.

پروژه Open Worldwide Application Security Project (OWASP) کنترل دسترسی شکسته را به صورت زیر تعریف می کند:

«کنترل دسترسی، که گاهی اوقات مجوز نامیده می‌شود، نحوه دسترسی یک برنامه وب به محتوا و عملکردها به برخی از کاربران و نه دیگران است. این بررسی‌ها پس از احراز هویت انجام می‌شوند و بر آنچه که کاربران مجاز مجاز به انجام آن هستند، نظارت می‌کنند.

کنترل دسترسی مانند یک مشکل ساده به نظر می رسد اما اجرای صحیح آن به طرز موذیانه ای دشوار است. مدل کنترل دسترسی برنامه های کاربردی وب به محتوا و عملکردهایی که سایت ارائه می دهد، گره خورده است. علاوه بر این، کاربران ممکن است در گروه‌ها یا نقش‌هایی با توانایی‌ها یا امتیازات مختلف قرار بگیرند.»

تزریق SQL با 20.64% دومین نوع آسیب‌پذیری رایج را نشان می‌دهد، که WPScan در زمینه آسیب‌پذیری‌هایی که نیاز به حداقل سطوح احراز هویت دارند، از آن به عنوان «شدت و خطر بالا» یاد می‌کند، زیرا مهاجمان می‌توانند به پایگاه داده دسترسی داشته باشند و/یا در آن دستکاری کنند. قلب هر وب سایت وردپرسی

این درصدها هستند:

  • کنترل دسترسی شکسته 84.99%
  • SQL Injection 20.64%
  • اسکریپت بین سایتی 9.4%
  • آپلود فایل خودسرانه تایید نشده 5.28%
  • افشای داده های حساس 4.59٪
  • مرجع شی مستقیم ناامن (IDOR) 3.67%
  • اجرای کد از راه دور 2.52%
  • سایر 14.45%

آسیب‌پذیری‌ها در هسته وردپرس

اکثریت قریب به اتفاق مشکلات آسیب پذیری در افزونه ها و تم های شخص ثالث گزارش شده است. با این حال، در سال 2023 در مجموع 13 آسیب پذیری در هسته وردپرس گزارش شده است. از میان سیزده آسیب‌پذیری، تنها یکی از آنها به‌عنوان تهدید با شدت بالا رتبه‌بندی شد، که دومین سطح بالاتر است، که Critical بالاترین سطح تهدید آسیب‌پذیری است، یک سیستم امتیازدهی رتبه‌بندی که توسط سیستم امتیازدهی آسیب‌پذیری مشترک (CVSS) نگهداری می‌شود.

خود پلتفرم اصلی وردپرس دارای بالاترین استانداردها است و از یک جامعه جهانی که مراقب کشف و اصلاح آسیب‌پذیری‌ها هستند، بهره می‌برد.

امنیت وب سایت باید به عنوان سئو فنی در نظر گرفته شود

ممیزی سایت معمولاً امنیت وب سایت را پوشش نمی دهد، اما به نظر من هر حسابرسی مسئول حداقل باید در مورد هدرهای امنیتی صحبت کند. همانطور که برای سال‌ها گفته‌ام، امنیت وب‌سایت به سرعت به یک مسئله سئو تبدیل می‌شود، زمانی که رتبه‌بندی وب‌سایت از صفحات نتایج موتورهای جستجو (SERPs) به دلیل آسیب‌پذیری در معرض خطر ناپدید می‌شود. به همین دلیل مهم است که در مورد امنیت وب سایت فعال باشید.

بر اساس گزارش WPScan، نقطه اصلی ورود وب سایت های هک شده، اعتبار لو رفته و رمزهای عبور ضعیف بوده است. اطمینان از استانداردهای رمز عبور قوی و احراز هویت دو مرحله ای بخش مهمی از موضع امنیتی هر وب سایت است.

استفاده از هدرهای امنیتی راه دیگری برای کمک به محافظت در برابر اسکریپت بین سایتی و سایر انواع آسیب پذیری است.

در نهایت، فایروال وردپرس و سخت‌سازی وب‌سایت نیز رویکردهای پیشگیرانه مفیدی برای امنیت وب‌سایت هستند. من یک بار یک انجمن را به وب سایت جدیدی که ایجاد کردم اضافه کردم و بلافاصله در عرض چند دقیقه مورد حمله قرار گرفت. باور کنید یا نه، تقریباً هر وب سایتی در سراسر جهان در 24 ساعت شبانه روز مورد حمله ربات هایی است که آسیب پذیری ها را اسکن می کنند.

گزارش WPScan را بخوانید:

گزارش تهدید وب سایت WPScan 2024

تصویر ویژه توسط Shutterstock/Ljupco Smokovski