- 1PS提示：因为图层已锁定，无法编辑图层的处理方法
- 2picacg苹果版怎么找不到|picacg ios版是不是下架了介绍
- 3Adobe Illustrator CS5 序列号大全
- 4ACDsee注册码免费分享（含ACDsee18、ACDsee10等版本）
- 5PDF浏览器能看3D文件吗？PDF浏览器看3D文件图文详细教程
- 6Potato(马铃薯聊天)怎么注册不了|Potato不能注册处理方法介绍
- 7Potato(土豆聊天)怎么换头像|Potato app更改头像方法介绍
- 8最新的Adobe Illustrator CS4序列号大全
- 9Intel i7-9700K性能跑分曝光：同代提升约12%
- 10qq邮件是否已读怎么看 QQ邮箱已经发出去的邮件怎么知道对方是否已经查看
- 11AMD推土机架构回顾：虽陨落却是Zen成功的垫脚石
- 12美国增加25％进口关税！PC硬件要大涨价
[摘要]Fancybox For WordPress是一款很棒的WordPress图片插件，它可以让你的WordPress图片弹出一个漂亮的浏览界面，展示丰富的弹出层效果。上周安全研究人员发现部分Wordpress博客遭遇了批量挂马，而这些博客的共同点就是都安装了这款Fancybox插件。研究人员经过分析...
Fancybox For WordPress是一款很棒的WordPress图片插件，它可以让你的WordPress图片弹出一个漂亮的浏览界面，展示丰富的弹出层效果。
上周安全研究人员发现部分Wordpress博客遭遇了批量挂马，而这些博客的共同点就是都安装了这款Fancybox插件。研究人员经过分析，找到了这款插件中的漏洞。
漏洞分析
这个漏洞存在于低于3.0.2版本的插件，而漏洞利用的是一个针对wp插件的一个比较常见的攻击途径：未经保护的admin_init钩子。
由于admin_init钩子可以被任何访问/wp-admin/admin-post.php或/wp-admin/admin-ajax.php页面的人调用，攻击者就可以将插件中的“mfbfw”选项更改成任何内容。
那这个选项又是干什么的呢？
我们发现很多地方都用到了这个选项。而引起我们注意的是mfbfw_init()函数，这个函数会显示jQuery脚本，使用了我们之前在mfbfw_admin_options()函数中设定的参数。
上图中你可以看到，$settings没有处理就输出了。
因此攻击者如果使用未经保护的admin_init钩子就能够在被攻击网站的所有网页注入恶意javascript攻击负载，比如恶意的iframe。
[参考来源Sucuri，译/Sphinx，转载请注明来自Freebuf黑客与极客]
上面是电脑上网安全的一些基础常识，学习了安全知识，几乎可以让你免费电脑中毒的烦扰。
推荐资讯 总人气榜
最新教程 本月人气
- 1腾讯视频会员账号分享（2017年1月4日）
- 2爱奇艺vip会员如何廉价开通？爱奇艺vip会员开通方法
- 3斗鱼TV如何屏蔽礼物？斗鱼TV屏蔽礼物图文说明教程
- 4最新腾讯视频会员账号共享（2017年1月3日）
- 5最新的腾讯视频会员账号免费共享
- 62018年12月29日腾讯视频会员账号共享
- 7腾讯视频周末影院福利开通方法说明
- 82组腾讯视频会员共享（2018.12.28）
- 9腾讯视频如何打开硬件加速？腾讯视频打开硬件加速图文说明教程
- 10腾讯视频下载管理下文在什么地方一个文件夹
- 112017年1月6日更新的腾讯视频会员账号共享账号
- 12a站如何关闭弹幕？AcFun关弹幕图文说明教程
- 1QQ影音如何截取QQ表情？QQ影音截取QQ表情图文说明教程
- 2最新爱奇艺会员账号密码大全（2017.2.20）
- 3QQ影音如何转换视频格式？
- 4qq影音如何慢放与加速？
- 5qq影音如何删除？qq影音删除图文步骤
- 6qq影音如何安装？qq影音安装图文说明教程
- 72组腾讯视频会员共享（2017.02.14）
- 8详细说明MySQL Group Replication[Multi-Primary Mode]的搭建部署过程（图文）
- 9tcl手机750多少钱 tcl750初现手机价格
- 10红米3s如何刷miui8 红米3s刷机miui8方法流程图解
- 11用钱宝如何注销 用钱宝注销图文说明教程详细说明
- 12用钱宝收不到验证码如何回事 用钱宝收不到验证码处理方法
