[KacperSzurek]

WordPress to najpopularniejszy system blogowy w Internecie.
Średnio już co 3 strona korzysta właśnie z niego.
Jednak przez te lata wokół tego narzędzia narosło wiele mitów.
Czy #wordpress jest bezpieczny?
O tym w dzisiejszym #od0dopentestera

Spróbujmy prześledzić liczbę podatności.
Wykorzystamy do tego celu stronę WPScan Vulnerability Database.
Ostatni znany błąd w samym silniku pochodzi z marca 2019 roku.
Jest oznaczony jako atak XSS przy użyciu komentarza.
Tylko, że aby go wykorzystać, musimy odwiedzić złośliwą witrynę będąc zalogowanymi do panelu administracyjnego naszej strony.
Atak ten opiera się więc w głównej mierze na socjotechnice.

Kolejny błąd z lutego to RCE - czyli wykonanie kodu.
Tym razem atakujący musi posiadać konto z uprawnieniami autora.
A to bardzo rzadka sytuacja. Dlaczego?
Ponieważ uprawnienia te pozwalają na publikację własnych wpisów na danej stronie.
Autor jest to więc osoba, której administrator ufa na tyle, aby dać jej możliwość dodawania nowych treści do serwisu.
Ponownie, potencjalny atakujący musi w jakiś inny sposób uzyskać dostęp do takiego konta.

Skąd zatem taka zła sława systemu?
Chodzi o rozszerzenia, czyli dodatkowe kawałki kodu, które zwiększają jego możliwości.
Przy pomocy paru kliknięć strona może stać się sklepem internetowym lub galerią zdjęć.
Tylko że dodatki te tworzone są przez niezależnych twórców i rzadko kiedy przechodzą kontrolę jakości.
Większość błędów bezpieczeństwa odnajdywanych jest właśnie tam.

Podsumowując: bezpieczeństwo strony w głównej mierze zależy od ilości i jakości rozszerzeń jakie na niej zainstalujesz.
Podczas doboru warto sugerować się ilością instalacji.
Popularne aplikacje zazwyczaj są częściej aktualizowane.
Można też sprawdzić historię błędów danego dodatku.
Fakt istnienia podatności w przeszłości niekoniecznie dyskwalifikuje dane rozszerzenie.
Dlaczego? Żadna aplikacja nie jest w 100% bezpieczna.
Ważne jest jak szybko i w jaki sposób odpowiedział na taki incydent twórca.

Opis dodatkowych metod zabezpieczeń na blogu.
Lub na YouTube.
Możesz również posłuchać jako #podcast na Google i Apple Podcasts oraz Spotify i Anchor.
Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Jeżeli chcesz być wołany do podobnych wpisów dodaj się do Mirkolisty.

#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #podcast #swiat #gruparatowaniapoziomu #biznes #security #webdev

[KacperSzurek]

Wołam zainteresowanych (115) z listy od0dopentestera
Możesz zapisać/wypisać się klikając na nazwę listy.

! @KacperSzurek @Mashe @UrimTumim @porque @NERP @Smevios @Jakplus @Pioneer95 @ThatPart @szczeppan @Zielarz25 @press2210 @Dorrek @hiroszi @jerekp @Dyktus @bovver91 @Campell @ghostd @heow @Bakanany @arais_siara @Pies_Benek @HeinzDundersztyc @johnyboy @MojeTrzecieKonto @Deflaut @cytawek @dziki_bak

[KacperSzurek]

[R.....S]

@KacperSzurek: Nie czaję ludzi tu. Dość ciekawe zjawisko.
Wiele pytań typu: "Czy na wykopie nie ma zainteresowanych tematem?" ( ͡° ͜ʖ ͡°) https://www.wykop.pl/link/5085483/czy-wordpress-jest-bezpieczny-kacper-szurek/

[zwierzak40]

@RETROWIRUS: To jest chyba tak, że osoby pracujące z Wordpressem zdają sobie sprawę że nie jest z nim (z rdzeniem) tak źle, z kolei osobom przekonanym o dziurawym Wordpressie nie ma szans na przetłumaczenie. To trochę jak z wiecznie przekonanymi że PHP wygląda dziś tak samo jak w wersji 4.x.

[R.....S]

@zwierzak40: No dziwne masz rozważania na temat wykopywania lub nie postów tego typu na wykopie ale ty przynajmniej coś napisałeś. Dziwi mnie brak jakiejkolwiek reakcji ze strony użytkowników.

[zwierzak40]

@RETROWIRUS: Dlaczego dziwne? Jak prześledzisz znaleziska o Wordpressie to z ostatnich kilkudziesięciu tylko 3 miały więcej niż kilkanaście wykopań. Dwa o podatnościach, drugi o wersji 5.0. Nawet pod tym drugim większość dyskusji to pozamerytoryczne krytyka. Generalne "Bo wolny, bo dziurawy". Dla osób stale pracującymi z WP, będącymi na bieżąco ze wszystkimi prawie nic nie będzie warte wykopania, bo po prostu to wiedzą. Pozostałe osoby żyją w bańce informacyjnej pod tytułem

[d.....z]

Wykopałem, ale nie wiem czy to powinno wylądować na głównej. Na głównej wykopki na wszystkim się znają wszakże najlepiej. :-)

[anonimek123456]

@KacperSzurek: Wordpress bezpieczny, addony robione przez pakistańczyków i sprzedawane za dolara mniej bezpieczne.

[ModelCocomo]

@PaulStanley: bardzo szybko tworzy się strony na WordPressie, małe aplikacje itd.

Ogólnie WP do mikroserwisow jest wspaniały

[PaulStanley]

@eoz: błędy to jedno, zasada na jakiej divi funkcjonuje to drugie. Dla mnie to jest strata czasu - zamiast po ludzku wejść w pliki i np. zmienić jakąś drobnostkę to drążysz. Jeszcze divi to jest p--------k jeśli chodzi o klasy. Ogranicza edytowanie elementów a jeśli już serio wleziesz w plik php odpowiedzialny za to (jak go znajdziesz) to może ci powiedzieć NIE XD i elo.

Jaka to jest strata czasu - przykład.

[Menglomerat]

@KacperSzurek: hugo lepsze https://gohugo.io/