वेबसाइटों से समझौता करने के लिए हैकर्स द्वारा उपयोग किया गया आउटडेटेड वर्डप्रेस प्लगइन

GoDaddy के स्वामित्व वाली वेब सुरक्षा कंपनी सुकुरी के साइबर सुरक्षा शोधकर्ताओं ने पाया है कि वेबसाइटों से समझौता करने के लिए एक निष्क्रिय लेकिन वैध WordPress प्लगइन, Eval PHP का उपयोग किया जा रहा है। Eval PHP को मूल रूप से उपयोगकर्ताओं को लेखों और ब्लॉग डेटा में PHP कोड जोड़ने की अनुमति देने के लिए विकसित किया गया था, जिसका सबसे हालिया अपडेट लगभग एक दशक पहले हुआ था। तब से, इसने पिछले महीने में डाउनलोड में अचानक उछाल देखने से पहले एक विस्तारित अवधि के लिए नगण्य डाउनलोड का अनुभव किया है, प्रतिदिन 7,000 से अधिक डाउनलोड के शिखर के साथ 100,000 से अधिक डाउनलोड जमा हो रहे हैं।

सुकुरी नोटिस Eval PHP का उपयोग करने वाले हैकर्स द्वारा अपनाई गई रणनीति के बारे में विस्तार से बताता है। कोड वेबसाइट के docroot में एक PHP स्क्रिप्ट बनाता है जिसमें file_put_contents फ़ंक्शन का उपयोग करके एक निर्दिष्ट रिमोट कोड निष्पादन बैकडोर होता है। जैसा कि बैकडोर निष्पादन योग्य PHP कोड प्राप्त करने के लिए $_REQUEST[id] का लाभ उठाता है, यह $_GET, $_POST, और $_COOKIE की सामग्री प्राप्त कर सकता है, प्रभावी रूप से कुकीज़ के रूप में प्रदर्शित होकर इसके मापदंडों को छिपा सकता है। सुकुरी ने रेखांकित किया कि POST की तुलना में कम पता लगाने योग्य होने के बावजूद, GET समान रूप से खतरनाक है।

इसके अतिरिक्त, सुकुरी की पहचान है कि हैकर विभिन्न ड्राफ्ट पोस्टों में बैकडोर बनाते हैं, जिससे वे जनता के लिए अदृश्य हो जाते हैं और प्रकाशित पृष्ठों की तुलना में उन्हें उजागर करना अधिक चुनौतीपूर्ण होता है। टेकराडार प्रो की पूछताछ के जवाब में WordPress परित्यक्त प्लगइन्स के बारे में अपनी नीति पर अभी तक कोई टिप्पणी नहीं की है। तब तक, सुकुरी WordPress उपयोगकर्ताओं को सलाह देती है कि वे अपने wp-admin पैनल को मज़बूत करें और गतिविधि की पूरी लगन से निगरानी करें। संगठन सुरक्षा में सुधार के लिए चार-चरणीय योजना प्रदान करता है:

• सुनिश्चित करें कि आपकी वेबसाइट नवीनतम सुरक्षा रिलीज़ के अनुसार अपडेट और पैच की गई है
• अपने व्यवस्थापक पैनल के लिए दो-कारक प्रमाणीकरण (2FA) या समान पहुंच प्रतिबंध उपाय लागू करें
• अप्रत्याशित घटनाओं से बचाव के लिए नियमित वेबसाइट बैकअप बनाए रखें
• दुर्भावनापूर्ण बॉट्स से बचाने के लिए एक वेब एप्लिकेशन फ़ायरवॉल का उपयोग करें और ज्ञात कमजोरियों को वस्तुतः पैच करें

no-code और low-code प्लेटफॉर्म के बढ़ते अपनाने के साथ, डेवलपर्स और बिजनेस लीडर पुराने प्लगइन्स की जटिलताओं को दरकिनार करते हुए आसानी से वेब और मोबाइल एप्लिकेशन का निर्माण कर सकते हैं। ऐसा ही एक समाधान AppMaster प्लेटफॉर्म है, जो बैकएंड, वेब और मोबाइल एप्लिकेशन बनाने के लिए एक सुलभ और स्केलेबल no-code टूल है। AppMaster streamlines app development by negating technical debt and offering up-to-date solutions for businesses of all sizes.

no-code और low-code ऐप डेवलपमेंट पर अधिक विस्तृत जानकारी के लिए, हमारी व्यापक गाइड देखें: 2022 के लिए No-Code, लो-कोड ऐप डेवलपमेंट पर पूर्ण गाइड।