- 1PS提示：因为图层已锁定，无法编辑图层的处理方法
- 2picacg苹果版怎么找不到|picacg ios版是不是下架了介绍
- 3Adobe Illustrator CS5 序列号大全
- 4ACDsee注册码免费分享（含ACDsee18、ACDsee10等版本）
- 5Potato(土豆聊天)怎么换头像|Potato app更改头像方法介绍
- 6PDF浏览器能看3D文件吗？PDF浏览器看3D文件图文详细教程
- 7Potato(马铃薯聊天)怎么注册不了|Potato不能注册处理方法介绍
- 8最新的Adobe Illustrator CS4序列号大全
- 9Intel i7-9700K性能跑分曝光：同代提升约12%
- 10XP系统怎么清除缓存？
- 11Intel Z390主板有望10月8日公布：8核9代酷睿随后登场
- 12XP系统安装chrome无法找到入口怎么处理？
[摘要]Fancybox For WordPress是一款很棒的WordPress图片插件，它可以让你的WordPress图片弹出一个漂亮的浏览界面，展示丰富的弹出层效果。上周安全研究人员发现部分Wordp...
Fancybox For WordPress是一款很棒的WordPress图片插件，它可以让你的WordPress图片弹出一个漂亮的浏览界面，展示丰富的弹出层效果。
上周安全研究人员发现部分Wordpress博客遭遇了批量挂马，而这些博客的共同点就是都安装了这款Fancybox插件。研究人员经过分析，找到了这款插件中的漏洞。
漏洞分析
这个漏洞存在于低于3.0.2版本的插件，而漏洞利用的是一个针对wp插件的一个比较常见的攻击途径：未经保护的admin_init钩子。
由于admin_init钩子可以被任何访问/wp-admin/admin-post.php或/wp-admin/admin-ajax.php页面的人调用，攻击者就可以将插件中的“mfbfw”选项更改成任何内容。
那这个选项又是干什么的呢？
我们发现很多地方都用到了这个选项。而引起我们注意的是mfbfw_init()函数，这个函数会显示jQuery脚本，使用了我们之前在mfbfw_admin_options()函数中设定的参数。
上图中你可以看到，$settings没有处理就输出了。
因此攻击者如果使用未经保护的admin_init钩子就能够在被攻击网站的所有网页注入恶意javascript攻击负载，比如恶意的iframe。
[参考来源Sucuri，译/Sphinx，转载请注明来自Freebuf黑客与极客]
上面是电脑上网安全的一些基础常识，学习了安全知识，几乎可以让你免费电脑中毒的烦扰。
推荐资讯 总人气榜
最新教程 本月人气
- 1iphone7以旧换新会有吗 苹果iphone7以旧换新活动会出吗
- 2苹果iphone6拆机图解 苹果iphone6拆机图文说明教程视频
- 3iphone5s换电池图文说明教程视频 苹果iphone5s怎么换电池
- 4微信怎么发gif图片 微信怎么发gif动态图方法流程
- 5iphone7 32g够用吗 苹果7内存32g够不够用
- 6iphone7 256g价格多少钱 苹果iphone7 256gb售价介绍
- 7ios9.3.5怎么降级至ios9.3.2 苹果ios9.3.5降级9.3.2图文说明教程视频
- 8苹果终止iphone4硬件支持是真的吗
- 9漂流瓶发什么回复率高 微信漂流瓶发什么才吸引人
- 10旧iphone/ipad变卡怎么办 旧iphone/ipad变卡处理方法
- 11安卓7.0比较ios10哪一个好 android7.0与ios10比较区分
- 12苹果iphone手机显示充电但无法充电怎么办
