Всем ВНИМАНИЕ – еще одна уязвимость на WordPress!!!

Приветствую всех!
Совершенно случайно обнаружил уязвимость  для админ-панели WordPress.
Даже если вы используете плагин «Lockdown WP Admin» или «Rename wp-login.php» для изменения адреса входа, все равно адрес админки можно узнать. Мало кто знает об этом, но если я смог найти, то, думаю, и злоумышленники тоже смогут.
Если перейти по такой ссылке:

http://адрес_сайта/wp-register.php

то мы увидим:

Форма входа есть, осталось только подобрать пароль. Проверьте на ваших сайтах, у Вас такое есть?

Пробежался я в сети интернет по блогам, где адреса админки были попрятаны, и представьте себе, что через эту «дырочку» я смог узнать их секретный адрес.

Попандосик! 

Я принялся искать и латать дыру. Много различных фишек испробовал, но все было напрасно.
Ко мне на помощь пришел мой замечательный друг  Александр Трушкин.

Он нашел способ, как залатать дырку и защитить админ-панель. Спасибо тебе за идею, Саш! 

Итак, откройте файл «functions.php» вашей темы и вставьте сразу после знака «<?»  вот такой код:

//Функция для удаления bloggood.ru/wp-register.php
function gets_go()
{
//Если передан GET параметр registration и он равный disabled то редиректим на главную стр блога
if(isset($_GET['registration']) && 'disabled' == $_GET['registration'])
{
wp_redirect( site_url() );
exit();
}
}
//Запускаем функцию
gets_go();

Теперь, если кто-то возжелает узнать тайный вход в админ-панель блога, ему откроется главная страница.
Вот и чудненько!

Понравился пост? Помоги другим узнать об этой статье, кликни на кнопку социальных сетей ↓↓↓

18 Ответов на комментарий - Всем ВНИМАНИЕ – еще одна уязвимость на WordPress!!!

1. МАКСИМ

   08.11.2016 в 06:17

   У меня лично хостинг об этом позаботился, плюс плагин защиты хороший стоит, даже если меня взломают, то меня оповестят тутже и я могу успеть, что-то сделать. Хотя если захотеть, то любой может взломать, если постараются. Банки ломают, а тут сайт.
2. Александр

   08.11.2016 в 08:32

   Спасибо за полезную информацию !!
3. Юрий

   08.11.2016 в 09:20

   Блин, а я на одном блоге поставил Lockdown WP Admin, и сижу спокойно. А оно вон чё, оказывается
4. Александр

   08.11.2016 в 13:07

   Степа привет, спасибо что опаминул обо мне в статье. Ты немного опечатался не перед знаком <?, а после знака <?
5. Александр

   08.11.2016 в 13:16

   Можно было бы чуть развернуть статью, помнишь я тебе писал что можно без редиректа сделать, то есть в строке браузера будет адрес для входа а человек увидет совершенно совершенно другую страницу, помнишь я тебе после этого кода еще один писал.
6. Кирилл

   09.11.2016 в 07:07

   Ого, вот это опасно, но вполне логично. Мы же прячем только страничку логина, а страница регистрации вот она и делает редирект на логин. И спасибо Александру за решение проблемы
7. Степан => автор блога

   09.11.2016 в 21:21

   Максим, но я захожу на сайт и вижу Вашу форму входа для админки. Как я же тут защита?
8. Степан => автор блога

   09.11.2016 в 21:24

   Пожалуйста!
9. Степан => автор блога

   09.11.2016 в 21:28

   Я тоже так думал, пока случайно не заметил вот эту штуку ))).
   Теперь, на блогах я все поправил. Интересно, что еще обнаружится.
10. Степан => автор блога

    09.11.2016 в 21:29

    Привет, Саш!
    Это тебе спасибо, что помог решить эту проблему, а то я уже руки опустил, думал, что не выйдет.
    Опечатку исправил, спасибо!
11. Степан => автор блога

    09.11.2016 в 21:32

    Да, можно было бы, но, так как проблема решена, я думаю и этого всем будет достаточно.
    Еще раз, Саш, спасибо!
12. Daria

    10.11.2016 в 16:47

    Спасибо, Степан, за такую полезную статью. Проверила и увидела, что и у меня есть эта проблема. Вернее была, так так благодаря вашей статье я все поправила. Еще раз спасибо и успехов вам!
13. Александр

    11.11.2016 в 06:38

    Вообще эта вигня с показом странички для входа обрабатывается в файле wp-login.php , там есть такой код типа если выбран параметр register и он получен так скажем из вне, то есть не админ через панель админки регистрирует то средиректеть на страничку авторизации, только вот у вордпресс по ходу минус здесь в том что он добавляет свой префикс и не учитывает папка это или файл. Я не проверял, но думаю если ввести не только wp-register.php а еще или просто register или register.php, то будет тоже самое, но скажу сразу что данный код сработает при любых обстоятельствах, так как файл функций в вп подключаеься выше чем файл wp-login.php. Честно сказать это грубое упущение в разработке смs, нужно наверно отписать разработчикам вп, так как это серьезная дыра в безопасности
14. Александр

    11.11.2016 в 06:43

    Я имел ввиду что данный код сработает при любых обстоятельсвах описаных мной выше, то есть тот код который написан в статье
15. Степан => автор блога

    15.11.2016 в 22:10

    Пожалуйста, Daria!
16. Александр

    20.11.2016 в 10:51

    Проверял на какой адрес срабатывает эта фигня, которая страничку для входа показавает, срабатывает только на адрес wp-register.php, а вот на адреса register и register.php нет, а я думал и на них срабатывать будет. Ну это я так чисто ради интереса проверил
17. Александр

    20.11.2016 в 11:06

    Вообще советую заменить

    if(isset($_GET['registration']) && 'disabled' == $_GET['registration'])
    

    на

    if(isset($_GET['registration']) && 'disabled' == $_GET['registration'] 
    OR isset($_GET['registration']))
    

    То есть если взять код с поста при адресе wp-login.php?registration=disabled функция сработает, но если вы введете в адресную строку wp-login.php?registration то форма для входа покажется, ну а если замените на то что я написал то все будет ОК.
    То есть получается редиректем не только если передан get параметр registration равный disabled, а и если вообще передан get параметр registration.
    Кстати Степа, я тебе именно один из последних вариантов в вк писал именно с этим кодом где есть OR
18. Степан => автор блога

    21.11.2016 в 16:08

    У меня нормально, не срабатывает.

Добавить комментарий

Нажмите, чтобы отменить ответ.

Имя (required)

Mail (will not be published) (required)

Сайт

Чтобы добавить в комментарий код HTML, PHP, CSS, JavaScript, нужно сделать так: [code] ваш код [/code]

Метки: wordpress, без плагинов, безопасность