来自 安全 2021-06-10 17:20 的文章

网站安全防护_ddos清洗中心_零误杀

网站安全防护_ddos清洗中心_零误杀

ImmuniWeb>安全博客2018年10个最受攻击的CMS 9.7k 6 17 7 8更多7 6 3 2019年2月5日星期二,阅读时间:6分钟。回顾2018年涉及WordPress、Joomla、Drupal和其他流行CMS的安全漏洞和事件。内容管理系统(CMS)和框架使web开发变得简单、易用和高效。它们为组织和个人提供了一种创建和上传内容、管理用户和处理电子商务交易的方法,而不需要开发全新的代码。然而,随着成百上千甚至更多的网站都由共享代码库提供支持,CMS中的一个安全缺陷可能会带来灾难性的、深远的后果。这不是"坏"的CMS平台列表,多服务器防御ddos,也不是要避免的CMS平台列表。在大多数情况下,运行一个正确配置和最新版本的CMS足以确保平台本身不存在风险。考虑到这一点,以下是我们十大流行的CMS平台,尽管如此,它们可能比你预期的更脆弱。10: vBulletin vBulletin是一个以社区为中心的CMS,旨在创建和管理论坛和公告栏。运行vBulletin未修补版本的网站会让自己处于打开状态,以重定向漏洞、远程代码执行和绕过身份验证。尽管vBulletin的安全漏洞在频率和严重性方面都不算太罕见,但零天和大量的漏洞利用对这个平台来说是一个长期存在的问题。2016年,vBulletin中的一个SQL注入漏洞被利用,窃取了超过2700万用户的登录凭据。这些凭证中有许多是明文存储的,这使得完整的帐户泄露变得容易。2017年11月,零发现两个严重漏洞。该研究人员联系了vBulletin,但声称在12月漏洞被披露时还没有收到任何回应,这使得漏洞在没有安全补丁的情况下公开。9: Plone-Plone被称为"企业CMS"。它面向内部组织内容管理,被世界各地的许多政府组织使用,包括联邦调查局和中央情报局。这使得安全性成为平台的首要任务,开发团队甚至表示"Plone从未收到过关于Plone在野外被利用的严重漏洞的报告"。这是对一种说法的回应,即联邦调查局的网站由于Plone平台的漏洞而遭到黑客攻击。虽然后来几乎肯定是个骗局,但普隆确实有已知的漏洞。在大多数情况下,Plone的最新版本解决了所有这些问题。但是,任何运行未修补的构建的用户都会面临过去几年中发现的大量不同严重性的安全风险。8: MODX的MODX革命CMS以其速度和可伸缩性来推销自己。开源和基于PHP,它也声称是安全的。MODX网站通过引用NIST NVD来支持这一说法,将MODX Revolution截至2018年4月报告的29个漏洞(截至2019年2月为33个)与Joomla、Drupal和WordPress中更高数量的漏洞进行了比较。尽管如此,cC防御源码,MODX网站并没有比其他平台更安全的问题。2018年7月,一个关键的访问控制漏洞被发现在野外被利用。再加上通常的大量XSS漏洞,以及偶尔的rce或目录遍历,MODX平台仍然需要其用户小心其安全性,并保持最新,否则可能会危及其网站和数据。7: Sitecore Sitecore CMS是针对那些希望创建一个以客户为中心的网站的组织。它旨在为用户提供营销、电子商务和一般内容管理功能。就安全漏洞而言,直到版本8发布后,该平台才显示出很少的活动。这在2017年期间带来了一些XSS、目录遍历和代码执行风险。其中一些已修补,但仍有一些问题存在于Sitecore版本9的当前迭代中。尽管版本9于2017年10月推出,但2018年仍发现了"8.1及更高版本"的新漏洞。幸运的是,CMS在野生攻击或攻击活动中并不频繁,虽然这并不能阻止已知的漏洞是用户应该考虑的。6: Exponent是几种基于PHP的开源CMS之一,今天的Exponent在其早期的安全记录上做了很大的改进。2018年,CVE数据库中只记录了一个新的威胁,甚至在前一年发现并修补了这一威胁。一个权限提升缺陷使得2.4.1版的CMS对站点接管开放,Exponent团队在报告后不久修复了此问题。然而,任何一个仍在运行旧版Exponent的网站都会因为不更新而承担相当大的风险。版本2.4.1和更早版本中的SQL漏洞很常见,信息泄露漏洞也很常见。High Tech Bridge发现Exponent迄今为止最严重的漏洞之一:影响2.37版本的任意代码执行缺陷。此漏洞可能导致关键数据或web服务器受损,并完全接管受影响的网站。5: SharePoint SharePoint是Microsoft的CMS,旨在与Office 365集成。微软的网站声称有1.9亿用户遍布20万个客户组织。自2001年发布以来,SharePoint更倾向于工作协作和文档共享,而不是网站建设。然而,云锁防御ddos,它已经发展成为一个高度可配置和集成的解决方案,并且今天被用于管理内容和帮助许多组织的运行,并与用于构建和维护其网站的其他工具集成。2018年StackOverflow开发者调查显示,SharePoint连续第二年成为开发者最害怕的平台。长期以来,它一直受到安全问题的困扰,仅2019年第一个月就有5个新的CVE条目。其中最糟糕的是严重的代码执行漏洞,影响到各种Microsoft Office产品和SharePoint服务器。2017年,Ponemon Institute的一项研究显示,49%的组织在过去两年中曾在SharePoint中遇到过数据泄露。4: Magento Magento是一个面向电子商务网站的CMS。它最初由Varien创建,目前归Adobe所有。除了许多CMS提供的网站建设功能外,它还提供了一个为处理交易和支付细节而量身定做的平台。更敏感的数据需要更严格的安全性,虽然Magento在这一点上的记录总体上还算不错,但该平台远没有安全问题。这包括2018年初发现的跨站点请求伪造风险。在这个列表中的所有条目中,Magento可能经历过最大和最近的一次攻击活动。利用未修补博客中的各种缺陷,黑客在2018年将MagentoCore恶意软件传播到7000多个Magento网站。一旦安装到位,恶意软件就会读取用户发送到该网站的任何支付详细信息,并将其发回给黑客。MagentoCore活动被称为迄今为止最具侵略性和最成功的省钱活动。3: Drupal要了解Drupal的安全问题的深度,nginx防御ddos模块,只需要考虑它经历过一次安全事件(标题为"Drupalgeddon")。不仅如此,该平台以后还会经历"Drupalgeddon 2"和"Drupalgeddon 3"。第一个Drupalgeddon是2014年的一个SQL注入缺陷,它促使Drupal的安全团队在披露该缺陷时建议用户假设"除非在发布7小时后更新或修补,否则每个drupal7网站都会受到危害"。Drupalgeddons 2和3远程代码执行缺陷,于2018年被发现并被广泛利用。不幸的CMS还受到频繁的XSS缺陷和其他常见漏洞的困扰。即使在Drupalgeddon事件似乎已经平息之后,在2018年底发现了更多的关键缺陷,影响了Drupal的多个版本。尽管Drupal团队通常会及时发布安全更新,但由于缺乏用户补丁,许多使用Drupal的站点仍然容易受到已知安全漏洞的攻击。2: joomlajoomla是另一个用PHP编写的开源CMS。虽然Joomla的功能只有WordPress的一小部分,但据估计它是web上第二大最受欢迎的CMS。它以其易用性而闻名,尽管一个好的功能有可能吸引不太懂安全的用户。在2016年,它被认为是继WordPress之后第二大受损网络平台。偶尔会出现严重的漏洞,比如2016年的特权升级威胁,Joomla的团队敦促其用户尽快更新,否则可能会面临整个网站的接管。2018年是新Joomla漏洞活跃的一年,全年发布了24个新的CVE条目,其中9个条目的严重性评级为6/10或更高。其中最严重的可能是今年年初发现的一个SQL注入缺陷。这将允许攻击者获得管理权限或危害敏感数据。1: WordPress是迄今为止最广为人知、应用最广泛的CMS,其核心平台也是最安全的。然而,有两件事对WordPress的安全性不利。首先是它的受欢迎程度。WordPress是世界上使用最广泛的内容平台,不仅在CMS中占据了超过60%的市场份额,而且占据了整个互联网的三分之一以上。其次是它的可定制性。WordPress允许使用第三方插件来设置站点,ddos防御实践,这样用户就可以根据自己的需要对功能进行微调。这大大增加了CMS的攻击面,因为每个插件都可能有自己的漏洞——请查看我们博客中最易受攻击的WordPress插件,了解更多信息。爱