मध्यम स्तर की वर्डप्रेस कमजोरियों के बारे में क्या जानना है

अधिकांश वर्डप्रेस कमजोरियाँ, जिनमें से लगभग 67% 2023 में खोजी गईं, को मध्यम स्तर पर रेट किया गया है। चूंकि वे सबसे आम हैं, इसलिए यह समझना समझ में आता है कि वे क्या हैं और कब वे वास्तविक सुरक्षा खतरे का प्रतिनिधित्व करते हैं। यहां इस प्रकार की कमजोरियों के बारे में तथ्य दिए गए हैं, जिनके बारे में आपको जानने की आवश्यकता है।

मध्यम भेद्यता क्या है?

ऑटोमैटिक के स्वामित्व वाली वर्डप्रेस सुरक्षा स्कैनिंग कंपनी WPScan के एक प्रवक्ता ने बताया कि वे खतरे की गंभीरता का मूल्यांकन करने के लिए कॉमन वल्नरेबिलिटी स्कोरिंग सिस्टम (CVSS स्कोर) का उपयोग करते हैं। ग्रेड 1-10 तक की संख्या प्रणाली और निम्न, मध्यम, उच्च और महत्वपूर्ण रेटिंग पर आधारित होते हैं।

WPScan के प्रवक्ता ने समझाया:

“हम स्तरों को घटना की संभावना के रूप में चिह्नित नहीं करते हैं, बल्कि FIRST के CVSS ढांचे के आधार पर भेद्यता की गंभीरता को चिह्नित करते हैं। मोटे तौर पर, मध्यम गंभीरता स्कोर का मतलब है कि भेद्यता का फायदा उठाना मुश्किल है (उदाहरण के लिए, SQL इंजेक्शन जिसके लिए एक विशेषाधिकार प्राप्त खाते की आवश्यकता होती है) ) या कि हमलावर को एक सफल हमले से अधिक लाभ नहीं होता है (उदाहरण के लिए, एक अप्रमाणित उपयोगकर्ता निजी ब्लॉग पोस्ट की सामग्री प्राप्त कर सकता है)।

हम आम तौर पर उन्हें बड़े पैमाने के हमलों में उतना उपयोग करते नहीं देखते हैं क्योंकि वे उच्च गंभीरता की कमजोरियों की तुलना में कम उपयोगी होते हैं और स्वचालित करने में कठिन होते हैं। हालाँकि, वे अधिक लक्षित हमलों में उपयोगी हो सकते हैं, उदाहरण के लिए, जब एक विशेषाधिकार प्राप्त उपयोगकर्ता खाते से पहले ही समझौता किया जा चुका हो, या एक हमलावर को पता हो कि कुछ निजी सामग्री में संवेदनशील जानकारी है जो उसके लिए उपयोगी है।

हम हमेशा असुरक्षित एक्सटेंशन को यथाशीघ्र अपग्रेड करने की सलाह देते हैं। फिर भी, यदि हार्डवेयर मध्यम है, तो ऐसा करने की तात्कालिकता कम है, क्योंकि साइट के बड़े पैमाने पर स्वचालित हमले का शिकार होने की संभावना कम है।

एक अप्रशिक्षित उपयोगकर्ता के लिए रिपोर्ट को पचाना थोड़ा मुश्किल हो सकता है। हमने इसे सभी दर्शकों के लिए यथासंभव प्रासंगिक बनाने की पूरी कोशिश की है, लेकिन मुझे एहसास है कि इसे उबाऊ या बहुत लंबा बनाए बिना सभी को कवर करना असंभव होगा। और यह रिपोर्ट की गई भेद्यता के साथ हो सकता है। उदाहरण के लिए, फ़ीड का उपभोग करने वाले उपयोगकर्ता को अपनी साइट कॉन्फ़िगरेशन के बुनियादी ज्ञान की आवश्यकता होगी ताकि यह विचार किया जा सके कि किन कमजोरियों पर तत्काल ध्यान देने की आवश्यकता है और जिन्हें WAF द्वारा नियंत्रित किया जा सकता है।

उदाहरण के लिए, यदि उपयोगकर्ता जानता है कि उसकी साइट उपयोगकर्ताओं को उसके साथ पंजीकरण करने की अनुमति नहीं देती है। गंभीरता के स्तर की परवाह किए बिना, सभी सब्सक्राइबर+ भेद्यता रिपोर्ट पर पुनर्विचार किया जा सकता है। यह मानते हुए कि उपयोगकर्ता साइट के उपयोगकर्ता आधार की निरंतर समीक्षा करता रहता है।

यही बात योगदानकर्ता+ रिपोर्ट या यहां तक ​​कि व्यवस्थापक स्तरों के लिए भी लागू होती है। यदि व्यक्ति वर्डप्रेस साइटों का एक छोटा नेटवर्क रखता है, तो एडमिन + कमजोरियाँ उसके लिए दिलचस्प हैं, क्योंकि किसी एक साइट के सामान्य प्रशासक का उपयोग सुपर एडमिनिस्ट्रेटर पर हमला करने के लिए किया जा सकता है।

दाता स्तर पर कमजोरियाँ

कई मध्यम-गंभीरता वाली कमजोरियों के लिए योगदानकर्ता-स्तरीय दृष्टिकोण की आवश्यकता होती है। योगदानकर्ता एक एक्सेस भूमिका है जो उस पंजीकृत उपयोगकर्ता को सामग्री लिखने और सबमिट करने की क्षमता देती है, हालांकि आम तौर पर उनके पास उन्हें प्रकाशित करने की क्षमता नहीं होती है।

अधिकांश साइटों को दाता-स्तर प्रमाणीकरण की आवश्यकता वाले सुरक्षा खतरों के बारे में चिंता करने की आवश्यकता नहीं है क्योंकि अधिकांश साइटें इस स्तर की पहुंच प्रदान नहीं करती हैं।

क्लो चेम्बरलैंड – वर्डफेंस में थ्रेट इंटेलिजेंस लीड ने बताया कि अधिकांश वेबसाइट मालिकों को मध्यम-स्तर की कमजोरियों के बारे में चिंता करने की ज़रूरत नहीं है, जिनका फायदा उठाने के लिए योगदानकर्ता-स्तर की पहुंच की आवश्यकता होती है क्योंकि अधिकांश वर्डप्रेस साइटें इस स्तर की अनुमति प्रदान नहीं करती हैं। उन्होंने यह भी कहा कि इस प्रकार की कमजोरियों को मापना कठिन है क्योंकि उनका शोषण करके स्वचालित करना कठिन है।

क्लो ने समझाया:

“ज्यादातर वेबसाइट मालिकों के लिए, जिन कमजोरियों का फायदा उठाने के लिए योगदानकर्ता-स्तर की पहुंच या उच्चतर की आवश्यकता होती है, उनके बारे में उन्हें चिंता करने की आवश्यकता नहीं है। ऐसा इसलिए है क्योंकि अधिकांश साइटें योगदानकर्ता-स्तर के पंजीकरण की अनुमति नहीं देती हैं और अधिकांश साइटों पर योगदानकर्ता नहीं होते हैं उनकी साइट.

इसके अलावा, अधिकांश वर्डप्रेस हमले स्वचालित होते हैं और उच्च मूल्य वाले रिटर्न की तलाश करते हैं जिनका फायदा उठाना आसान होता है, इसलिए यह संभावना है कि इस प्रकार की भेद्यता को अधिकांश वर्डप्रेस खतरा अभिनेताओं द्वारा लक्षित नहीं किया जाएगा।

वेबसाइट प्रकाशकों को चिंता करने की आवश्यकता है

क्लो ने यह भी कहा कि जो प्रकाशक योगदानकर्ता-स्तर की अनुमतियाँ प्रदान करते हैं, उनके पास इस प्रकार के शोषण के बारे में चिंता करने के कई कारण हो सकते हैं:

“शोषण के लिए योगदानकर्ता-स्तर की पहुंच की आवश्यकता वाले कारनामों के बारे में चिंता तब उत्पन्न होती है जब वेबसाइट के मालिक योगदानकर्ता-स्तर के पंजीकरण की अनुमति देते हैं, कमजोर पासवर्ड वाले योगदानकर्ता होते हैं, या साइट पर भेद्यता के साथ एक और प्लगइन/थीम स्थापित होता है जो किसी तरह से योगदानकर्ता-स्तर की पहुंच की अनुमति देता है .और हमलावर वास्तव में आपकी साइट पर आना चाहता है.

यदि कोई हमलावर इनमें से किसी एक खाते पर अपना हाथ रख सकता है, और योगदानकर्ता-स्तर की भेद्यता मौजूद है, तो उन्हें अपने विशेषाधिकारों को बढ़ाने और पीड़ित को वास्तविक नुकसान पहुंचाने का अवसर दिया जा सकता है। आइए उदाहरण के लिए योगदानकर्ता स्तर पर क्रॉस-साइट स्क्रिप्टिंग भेद्यता को लें।

योगदानकर्ता-स्तर की पहुंच की प्रकृति के कारण, यह संभावना है कि एक व्यवस्थापक समीक्षा के लिए पोस्ट का पूर्वावलोकन करेगा, जिस बिंदु पर स्ट्रीम किए गए किसी भी जावास्क्रिप्ट को निष्पादित किया जाएगा – जिसका अर्थ है कि एक हमलावर के पास सफलता की अपेक्षाकृत उच्च संभावना होगी पोस्ट पूर्वावलोकन. प्रकाशन हेतु.

सभी क्रॉस-साइट स्क्रिप्टिंग कमजोरियों की तरह, इसका लाभ एक नया प्रशासनिक उपयोगकर्ता खाता जोड़ने, बैकडोर इंजेक्ट करने और मूल रूप से वह सब कुछ करने के लिए किया जा सकता है जो एक साइट प्रशासक कर सकता है। यदि किसी गंभीर हमलावर के पास योगदानकर्ता-स्तर के खाते तक पहुंच है और उनके विशेषाधिकारों को बढ़ाने का कोई अन्य तुच्छ तरीका नहीं है, तो वे अतिरिक्त पहुंच प्राप्त करने के लिए योगदानकर्ता स्तर पर क्रॉस-साइट स्क्रिप्टिंग का लाभ उठाएंगे। जैसा कि पहले उल्लेख किया गया है, आप संभवतः वर्डप्रेस साइटों के विशाल बहुमत के लिए इस स्तर के परिष्कार को नहीं देखेंगे, इसलिए यह वास्तव में उच्च-मूल्य वाली साइटें हैं जिन्हें इन मुद्दों के बारे में चिंता करने की आवश्यकता है।

निष्कर्ष में, हालांकि मुझे नहीं लगता कि अधिकांश साइट मालिकों को योगदानकर्ता-स्तर की कमजोरियों के बारे में चिंता करने की ज़रूरत है, फिर भी उन्हें गंभीरता से लेना महत्वपूर्ण है यदि आप अपनी साइट पर इस स्तर पर उपयोगकर्ता पंजीकरण की अनुमति देते हैं, तो आप मजबूत अद्वितीय को लागू नहीं करते हैं उपयोगकर्ता पासवर्ड, और/या आपके पास एक मूल्यवान वर्डप्रेस साइट है।”

कमजोरियों से अवगत रहें

हालाँकि मध्यम स्तर की कई कमज़ोरियाँ चिंता की बात नहीं हो सकती हैं, फिर भी उनके बारे में सूचित रहना एक अच्छा विचार है। सुरक्षा स्कैनर जैसे WPScan का निःशुल्क संस्करण किसी प्लगइन या थीम के असुरक्षित होने पर चेतावनी दे सकता है। कमजोरियों से बचने के लिए चेतावनी प्रणाली रखने का यह एक अच्छा तरीका है।

वर्डफ़ेंस जैसे वर्डप्रेस सुरक्षा प्लगइन्स एक सक्रिय सुरक्षा मुद्रा प्रदान करते हैं जो सक्रिय रूप से स्वचालित हैकिंग हमलों को रोकता है और विशिष्ट बॉट और उपयोगकर्ता एजेंटों को ब्लॉक करने के लिए उन्नत उपयोगकर्ताओं द्वारा इसे और अधिक ट्यून किया जा सकता है। ईश्वर वर्डफ़ेंस का मुफ़्त संस्करण फ़ायरवॉल और मैलवेयर स्कैनर के रूप में महत्वपूर्ण सुरक्षा प्रदान करता है। भुगतान किया गया संस्करण सभी कमजोरियों का पता चलते ही और कमजोरियों को ठीक करने से पहले उनके खिलाफ सुरक्षा प्रदान करता है। मैं अपनी सभी साइटों पर वर्डफेंस का उपयोग करता हूं और इसके बिना साइट बनाने की कल्पना भी नहीं कर सकता।

सुरक्षा को आमतौर पर एसईओ समस्या के रूप में नहीं सोचा जाता है, लेकिन इसे एक समस्या के रूप में माना जाना चाहिए क्योंकि किसी वेबसाइट को सुरक्षित करने में विफलता किसी वेबसाइट को अच्छी रैंक दिलाने के लिए की गई सारी मेहनत पर पानी फेर सकती है।

शटरस्टॉक/जुआन विला टोरेस द्वारा प्रदर्शित छवि