Nový automatizovaný útok na nedokončené instalace WordPressu

Při monitorování útoků na WordPress instalace, zanamenala služba WordFence, masívní nárůst nového typu útoků.

Automatizovaný útok scanuje url /wp-admin/setup-config.php. V případě, že je tato url nalezena a obsahuje setup, útočník zjistí, že je sice nainstalován WordPress, ale není dokončena instalace.

V tu chvíli je poměrně snadné pro útočníka napadnout nejen nový web, ale i hosting a všechny weby v něm umístěné.

Jak útok funguje?

WordPress může být nainstalován pomocí FTP, prostým překopírováním souborů, nebo instalaci vytvoří hosting pomocí autoinstalačního balíčku.

V obou případech to může znamenat, že na serveru jsou potřebné soubory, ale není vytvořený configurační soubor.

Útočník pak jednoduše projde instalčním formulářem a do formuláře pro přístup k databázi, vloží svou databázi. Následně dokončí instalační proces a s údajik admin účtu, jenž zadal, je schopen se přihlásit do administrace WordPressu.

Díky tomu, že má admin práva, může na server nainstalovat jakýkoliv plugin a díky němu i spustit bez problému škodlivý kód.

Jeho provedením tak může získat přístup ke všem souborům a instalacím, jenž jsou součástí hostingu.

Zdroj: https://www.wordfence.com/blog/2017/07/wpsetup-attack/