forum.opennet.ru - "Атака на системы через WordPress-плагин Ninja Forms, насчитывающий более миллиона установок" (58)

"Атака на системы через WordPress-плагин Ninja Forms, насчитывающий более миллиона установок"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Атака на системы через WordPress-плагин Ninja Forms, насчитывающий более миллиона установок"	+/–
Сообщение от opennews (?), 17-Июн-22, 14:35
В WordPress-дополнении Ninja Forms, имеющем более миллиона активных установок, выявлена критическая уязвимость (CVE пока не присвоен), позволяющая постороннему посетителю получить полный контроль над сайтом. Проблема устранена в выпусках 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 и 3.6.11. Отмечается, что уязвимость уже используется для совершения атак и для экстренного блокирования проблемы разработчики платформы WordPress инициировали принудительную автоматическую установку обновления на сайты пользователей... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=57370
Ответить \| Правка \| Cообщить модератору

Оглавление

Кстати, довольно занятный вектор атаки 8212 необязательно звать eval на входн, Варенье (?), 15:15 , 17-Июн-22, (3) +1

Десериализация это и есть eval , Аноним (4), 15:21 , 17-Июн-22, (4)

это только в шаблонизаторе Personal Home Page В языках программирования а шабл, Аноним (37), 22:15 , 17-Июн-22, (37) +2

Как минимум в Python при десериализации из pickle проблемы те же , Аноним (44), 03:23 , 18-Июн-22, (44)

В этом и проблема WP - без плагинов он вообще неюзабелен, а плагинов наделали 10, suffix (ok), 15:26 , 17-Июн-22, (5) +1

Если ничего не дописывать, то может и хорош Но потом заказчику надо тут дописат, Аноним (8), 15:49 , 17-Июн-22, (8) +1

Вы правы Я и имел ввиду что для новичков Битрикс безопаснее чем WP Разумеетс, suffix (ok), 17:24 , 17-Июн-22, (16) –2
Есть фреймвёрки Yii и Laravel и что-то я не помню новостей об уязвимости в них , Ilya Indigo (ok), 21:34 , 17-Июн-22, (29)

В Laravel достаточно много уязвимостей было Хотя бы про смену шифрования кук до, Аноним (32), 21:47 , 17-Июн-22, (32)
Так это ж не CMS, где покликал и готово, там програмировать надо , Аноним (49), 10:42 , 18-Июн-22, (49) +1

Только при его создании почему то не использовался ни один исконно русский язык , Ooiiii (?), 16:03 , 17-Июн-22, (9) –6
Ну может взломов сайтов и не происходит, но как его делают источником DDoS атак , 1 (??), 16:54 , 17-Июн-22, (13)

1 Есть такая тема про редиректы, только не js а php 2 Решение есть и в самом Б, suffix (ok), 17:13 , 17-Июн-22, (15)

и конечно же любой покупатель коробочки за сколько там уже - 30тыр знает про все, пох. (?), 18:18 , 17-Июн-22, (18) +1

rk php - это rk значит реклама - фигня для учёта эффективности рекламных комп, suffix (ok), 18:50 , 17-Июн-22, (21)

о господи, вот как раз инструкций по настройке битрикса не хватало на опеннете Б, rustian (?), 00:21 , 24-Июн-22, (65)

Да, Битрикс прямо скажем не идеален, и косяков в нём хватает Но как и с любым др, suffix (ok), 07:14 , 24-Июн-22, (67)

а поскольку цена коробки неподъемна для пион нецветочков запрещенных на впопен, пох. (?), 18:16 , 17-Июн-22, (17) +1

Должен же хоть с какой-то стороны быть порог вхождения , YetAnotherOnanym (ok), 21:44 , 17-Июн-22, (31)

Там со всех сторон пороги Например, поиск гуглем любой проблемы скорее всего пр, пох. (?), 02:24 , 18-Июн-22, (42)

Лучше иметь проблемы с Wordpress, чем Битрикс будет иметь вас , Anonim (??), 18:48 , 17-Июн-22, (20)
Прямо сейчас юзаю xss битрикса Админку взять не проблема , Аноним (25), 20:43 , 17-Июн-22, (25)

Ну если Вы находите где-то идиотов которые отключают Проактивную защиту в кот, suffix (ok), 20:47 , 17-Июн-22, (26) –1

Это скорее асего потому что этот битрикс используется только на 2х сайтах Есть п, Sergey (??), 21:41 , 17-Июн-22, (30) –1

Самому не стыдно Намного больше сотни тысяч сайтов используют Битрикс Ваш высе, suffix (ok), 21:52 , 17-Июн-22, (34) +1

Тонкий способ пропиарить свой сайт , Аноним (35), 22:02 , 17-Июн-22, (35)

Мне пиар не нужен Мой сайт никогда и никак не монетизируется - ни рекламы, ни пр, suffix (ok), 22:12 , 17-Июн-22, (36)
Дело не в пиаре Не люблю эти штуки на пхп, но вордпресс фрии и его юзает весь ми, Sergey (??), 00:05 , 18-Июн-22, (39)

Обычно битрикс используют виндузятники А нормальный пример будет То что Вы пок, Sergey (??), 23:49 , 17-Июн-22, (38)

1 Битрикс не работает на iis сервере2 А давайте Вы сами найдёте Благо тыкайте, suffix (ok), 07:18 , 18-Июн-22, (46)
Супр к примеру https www cy-pr com , Анон1211 (?), 01:56 , 19-Июн-22, (63)

Битрикс - гораздо хуже, чем Wordpress Пусть этот Битрикс сначала наберет такую , DEF (?), 00:31 , 18-Июн-22, (41)

Да-да, миллионы мух не могут ошибаться , suffix (ok), 07:20 , 18-Июн-22, (47)

Не ошибаются только любители свиней, пропагандируя ущербный Битрикс, чья рыночна, DEF (?), 16:48 , 18-Июн-22, (51)

Только люди с нетрадиционным интеллектом сравнивают количество установок бесплат, suffix (ok), 17:23 , 18-Июн-22, (52)

Именно Этот мусор еще и платный За что там платить За гораздо более худшую в , DEF (?), 17:38 , 18-Июн-22, (54)

К сожалению ваш аргумент о нормальных людях полностью несостоятен ибо неадекват , suffix (ok), 17:42 , 18-Июн-22, (55)

Все верно Вы и есть недекват, не способный объективно оценивать реальность Жуй, DEF (?), 18:57 , 18-Июн-22, (56)

1 Хамство признак проигрыша в споре2 Вы доказали свою неадекватность тупо тем , suffix (ok), 19:03 , 18-Июн-22, (57)

1 Хамить ты первый начал, шизик 2 Битрикс, даже если был бы бесплатный - также, DEF (?), 21:57 , 18-Июн-22, (58)

И сколько мне платят Вы феерический Ну да ладно, слив засчитан , suffix (ok), 22:18 , 18-Июн-22, (59)

Господин свинопас, не пропускайте прием таблеток, который назначил вам ваш лечащ, DEF (?), 22:30 , 18-Июн-22, (60)

Из свежего, CVE-2022-27228 - 9 8 полуляхов из 10, Аноним (43), 03:20 , 18-Июн-22, (43)

, Доктор Дью (?), 08:41 , 21-Июн-22, (64)

WordPress Ясно, понятно , Аноним (11), 16:20 , 17-Июн-22, (11) +2
О, продолжение сериала про днище Wordpress и его плагины Достаю попкорн , th3m3 (ok), 16:43 , 17-Июн-22, (12) +1
В решете нашли дыру , - вот что я прочитал , Аноним (19), 18:39 , 17-Июн-22, (19) +1

Им нужно определиться, либо просеивать муку и сливать макароны, либо это , Без аргументов (?), 00:29 , 18-Июн-22, (40)

кек, Sw00p aka Jerom (?), 20:00 , 17-Июн-22, (23) +3
Собственно чему удивляться, давным давно неплохим способом защитить свою CMS-очк, Kuromi (ok), 20:47 , 17-Июн-22, (27) +3

Долбят боты Пройдитесь на досуге Acunetix по своему сайту, сильно удивитесь, Аноним (43), 03:28 , 18-Июн-22, (45)
Долбятся боты Очень удобно написать ботов для Wordpress, а потом натравливать и, Наноним (?), 16:23 , 18-Июн-22, (50)
Когда-то была у меня оч хорошая по тем временам ЦМСка на базе PostNuke Держалас, InuYasha (??), 00:02 , 19-Июн-22, (61)

По опыту еще один прекрасный метод - закрыть админку если возможно HTTP AUTH и, Kuromi (ok), 01:46 , 19-Июн-22, (62)

не хочу вас расстраивать, но это не защита, а говно Умные люди называют это sec, rustian (?), 00:24 , 24-Июн-22, (66)

А это и не полноценная защита, это один из способов сделать атакующему жизнь сло, Kuromi (ok), 22:47 , 28-Июн-22, (68)

Конечно, конечно во благо же , microsoft (?), 21:00 , 17-Июн-22, (28) +1

Именно так, сэр , Адмирал Майкл Роджерс (?), 21:48 , 17-Июн-22, (33) +1

Сообщения [Сортировка по времени | RSS]

3. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +1 +/–

Сообщение от Варенье (?), 17-Июн-22, 15:15

Кстати, довольно занятный вектор атаки — необязательно звать eval на входные данные, если можно десериализовать класс, в котором определена функция __wakeup()

Ответить | Правка | Наверх | Cообщить модератору

4. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Аноним (4), 17-Июн-22, 15:21

Десериализация это и есть eval.

Ответить | Правка | Наверх | Cообщить модератору

37. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +2 +/–

Сообщение от Аноним (37), 17-Июн-22, 22:15

это только в шаблонизаторе Personal Home Page. В языках программирования (а шаблонизатор Personal Home Page таковым не является), десериализация - это десериализация, а не eval.

Ответить | Правка | Наверх | Cообщить модератору

44. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Аноним (44), 18-Июн-22, 03:23

Как минимум в Python при десериализации из pickle проблемы те же.

Ответить | Правка | Наверх | Cообщить модератору

5. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +1 +/–

Сообщение от suffix (ok), 17-Июн-22, 15:26

В этом и проблема WP - без плагинов он вообще неюзабелен, а плагинов наделали 100500 штук все кому не лень и разумеется пару раз в год через плагины новый взлом сайтов на WP образуется.
То ли дело наш, исконно русский, православный Битрикс. Полностью работоспособен прямо из коробки, никакие дополнения из Маркетплейса ненужны для нормальной работы. И никаких взломов сайтов не Битриксе в принципе не происходит !

Ответить | Правка | Наверх | Cообщить модератору

8. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +1 +/–

Сообщение от Аноним (8), 17-Июн-22, 15:49

Если ничего не дописывать, то может и хорош. Но потом заказчику надо тут дописать, там переписать и начинается если и не взломают то сам упадет)

Ответить | Правка | Наверх | Cообщить модератору

16. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." –2 +/–

Сообщение от suffix (ok), 17-Июн-22, 17:24

> Если ничего не дописывать, то может и хорош. Но потом заказчику надо
> тут дописать, там переписать и начинается если и не взломают то
> сам упадет)
Вы правы. Я и имел ввиду что для "новичков" Битрикс безопаснее чем WP.
Разумеется все доработки / переписки что на Битрикс что на WP если делает профессионал то и там и там не будет ничего падать, никто не взломает и т.д.

Ответить | Правка | Наверх | Cообщить модератору

29. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Ilya Indigo (ok), 17-Июн-22, 21:34

Есть фреймвёрки Yii и Laravel и что-то я не помню новостей об уязвимости в них.

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

32. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Аноним (32), 17-Июн-22, 21:47

В Laravel достаточно много уязвимостей было. Хотя бы про смену шифрования кук должны были слышать. И это не считая того, что каждый первый "крутой разработчик" отключает все возможные встроенные средства защиты, потому что ему "не удобно так". Так что во всех этих сайтах ошибок не меньше, чем в WP, если бы они были кому интересны.
А Yii ещё скачать надо умудриться. При том количестве зависимостей в нём, нарваться на таймауты плёвое дело. Видимо по этому на нём сайтов не так много.

Ответить | Правка | Наверх | Cообщить модератору

49. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +1 +/–

Сообщение от Аноним (49), 18-Июн-22, 10:42

Так это ж не CMS, где покликал и готово, там програмировать надо.

Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

9. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." –6 +/–

Сообщение от Ooiiii (?), 17-Июн-22, 16:03

> исконно русский, православный Битрикс
Только при его создании почему то не использовался ни один исконно русский язык программирования, ни один исконно русский компьютер и ни одна исконно русская операционная система.

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

13. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от 1 (??), 17-Июн-22, 16:54

Ну может взломов сайтов и не происходит, но как его делают источником DDoS атак - запросто.
Через всякие там redir.js и прочие "прэлести".

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

15. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от suffix (ok), 17-Июн-22, 17:13

> Ну может взломов сайтов и не происходит, но как его делают источником
> DDoS атак - запросто.
> Через всякие там redir.js и прочие "прэлести".
1. Есть такая тема про редиректы, только не js а php.
2. Решение есть и в самом Битрикс и требует 5 секунд:  Настройки → Проактивная защита → Защита редиректов и они все отрубятся.
3. Вторым способом можно и в nginx запретить все перенаправления через rk.php, redirect.php и click.php кроме нужных ибо хорошие вещи через них полезны (отслеживание например переходов по рекламным компаниям).

Ответить | Правка | Наверх | Cообщить модератору

18. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +1 +/–

Сообщение от пох. (?), 17-Июн-22, 18:18

> Вторым способом можно и в nginx запретить все перенаправления через rk.php, redirect.php и
> click.php
и конечно же любой покупатель коробочки за сколько там уже - 30тыр знает про все эти click.php и как их запретить.
(и, кстати, что за х-ня rk.php?)

Ответить | Правка | Наверх | Cообщить модератору

21. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от suffix (ok), 17-Июн-22, 18:50

rk.php  - это rk значит "реклама" - фигня для учёта эффективности рекламных компаний (переходов и т.п.). В принципе вещь полезная, при грамотной настройке конечно.

Ответить | Правка | Наверх | Cообщить модератору

65. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от rustian (?), 24-Июн-22, 00:21

о господи, вот как раз инструкций по настройке битрикса не хватало на опеннете.
Битрикс это одно из самых уродских поделий, вне зависимости от того есть ли у него в админке защита редиректов или нет. И самое коварное в битриксе то, что он издалека выглядит нормальным продуктом с нормальными пользователями, что может стоить тем, кто решит с ним связаться большой доли нервных клеток.

Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

67. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от suffix (ok), 24-Июн-22, 07:14

Да, Битрикс прямо скажем не идеален, и косяков в нём хватает.
Но как и с любым другим продуктом его надо уметь готовить. И сделать из него конфетку вполне реально, разумеется конфетку можно сделать и из любого другого продукта (например WP).
Вспомните старый андекдот:
"Ну ужас, но не УЖАС-УЖАС" (С)
:)

Ответить | Правка | Наверх | Cообщить модератору

17. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +1 +/–

Сообщение от пох. (?), 17-Июн-22, 18:16

> То ли дело наш, исконно русский, православный Битрикс. Полностью работоспособен прямо из коробки
а поскольку цена коробки неподъемна для пион...нецветочков запрещенных на впопеннете - то и взлома можно не бояться.
> никакие дополнения из Маркетплейса ненужны для нормальной работы.
хеловрота - может и не нужны. А если нужен сайт а не "добро пожаловать в битрикс" - то либо мракет, либо сам кодируй (большинство покупателей коробочки не обучены).
> И никаких взломов сайтов не Битриксе в принципе не происходит !
эммм... как бы это помягче...

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

31. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от YetAnotherOnanym (ok), 17-Июн-22, 21:44

> цена коробки неподъемна
Должен же хоть с какой-то стороны быть порог вхождения.

Ответить | Правка | Наверх | Cообщить модератору

42. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от пох. (?), 18-Июн-22, 02:24

Там со всех сторон пороги.
Например, поиск гуглем любой проблемы скорее всего приведет тебя на форум, где под таким же описанием как твое - ответ традиционный: "напишите нам в закрытый канал связи с техподдержкой - мы вам все расскажем". Это даже не rhbm с документацией за пэйволом, это вообще полное анальное огораживание.
P.S. а я вчера таки дернул рубильник. Ни сил, ни времени, ни желания уже нет ЭТО костылить.

Ответить | Правка | Наверх | Cообщить модератору

20. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Anonim (??), 17-Июн-22, 18:48

Лучше иметь проблемы с Wordpress, чем Битрикс будет иметь вас.

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

25. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Аноним (25), 17-Июн-22, 20:43

Прямо сейчас юзаю xss битрикса. Админку взять не проблема.

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

26. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." –1 +/–

Сообщение от suffix (ok), 17-Июн-22, 20:47

Ну если Вы находите где-то идиотов которые отключают "Проактивную защиту" (в которой разумеется защита от xss есть) то это не значит что Битрикс не защищён из коробки.

Ответить | Правка | Наверх | Cообщить модератору

30. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." –1 +/–

Сообщение от Sergey (??), 17-Июн-22, 21:41

Это скорее асего потому что этот битрикс используется только на 2х сайтах.
Есть пример сайта где использунтся он ?

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

34. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +1 +/–

Сообщение от suffix (ok), 17-Июн-22, 21:52

Самому не стыдно ?
Намного больше сотни тысяч сайтов используют Битрикс.
Ваш высер про 2 сайта просто туп.
Пример сайта на Битрикс Вы хотите ? Да, пожалуйста - вот мой сайт.
https://www.babai.ru

Ответить | Правка | Наверх | Cообщить модератору

35. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Аноним (35), 17-Июн-22, 22:02

Тонкий способ пропиарить свой сайт.

Ответить | Правка | Наверх | Cообщить модератору

36. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от suffix (ok), 17-Июн-22, 22:12

Мне пиар не нужен.
Мой сайт никогда и никак не монетизируется - ни рекламы, ни продаж, ни услуг на сайте никогда не было и не будет.
Я люблю хрюш искренне и бескорыстно.

Ответить | Правка | Наверх | Cообщить модератору

39. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Sergey (??), 18-Июн-22, 00:05

Дело не в пиаре.
Не люблю эти штуки на пхп, но вордпресс фрии и его юзает весь мир. Вы что думаете битрикс кто нибудь юзает за пределами России ?

Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

38. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Sergey (??), 17-Июн-22, 23:49

Обычно битрикс используют виндузятники.
А нормальный пример будет ? То что Вы показали делается и на голом вордпрессе без плагинов.

Ответить | Правка | К родителю #34 | Наверх | Cообщить модератору

46. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от suffix (ok), 18-Июн-22, 07:18

1. Битрикс не работает на iis сервере
2. А давайте Вы сами найдёте ?Благо тыкайте в любой интернет магазин в зоне .ru и через один будет Битрикс. Поощрять вашу дремучесть и лень нет никакого желания.

Ответить | Правка | Наверх | Cообщить модератору

63. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Анон1211 (?), 19-Июн-22, 01:56

Супр к примеру https://www.cy-pr.com/

Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

41. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от DEF (?), 18-Июн-22, 00:31

>То ли дело наш, исконно русский, православный Битрикс
Битрикс - гораздо хуже, чем Wordpress. Пусть этот Битрикс сначала наберет такую же популярность, как и Вордпресс, а потом посмотрим, как в этом решете будут находить баги и дыры побольше, чем в Вордпрессе.

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

47. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от suffix (ok), 18-Июн-22, 07:20

Да-да, миллионы мух не могут ошибаться :)

Ответить | Правка | Наверх | Cообщить модератору

51. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от DEF (?), 18-Июн-22, 16:48

Не ошибаются только любители свиней, пропагандируя ущербный Битрикс, чья рыночная доля менее 1 процента.

Ответить | Правка | Наверх | Cообщить модератору

52. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от suffix (ok), 18-Июн-22, 17:23

> Не ошибаются только любители свиней, пропагандируя ущербный Битрикс, чья рыночная доля
> менее 1 процента.
Только люди с нетрадиционным интеллектом сравнивают количество установок бесплатного (WP) и платного (Битрикс) продуктов.

Ответить | Правка | Наверх | Cообщить модератору

54. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от DEF (?), 18-Июн-22, 17:38

Именно. Этот мусор еще и платный. За что там платить? За гораздо более худшую в плане архитектуры и качества кодовой базы, чем WordPress, ЦМСку? Пусть это кушают любители хрюш. Нормальные люди выбирают наименьшее из зол - WordPress.

Ответить | Правка | Наверх | Cообщить модератору

55. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от suffix (ok), 18-Июн-22, 17:42

К сожалению ваш аргумент о нормальных людях полностью несостоятен ибо неадекват не способен объективно оценивать реальность.

Ответить | Правка | Наверх | Cообщить модератору

56. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от DEF (?), 18-Июн-22, 18:57

Все верно. Вы и есть недекват, не способный объективно оценивать реальность. Жуйте свой Битрикс в своем хлеву молча, вместе со своими свиньями, свинопас. И не лезьте к адекватным людям со своими советами.

Ответить | Правка | Наверх | Cообщить модератору

57. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от suffix (ok), 18-Июн-22, 19:03

1. Хамство признак проигрыша в споре
2. Вы доказали свою неадекватность тупо тем что сравниваете количество установок бесплатного и платного продукта
3. Продолжайте восстанавливать из бэкапа свой сайт на WP после очередного взлома :)

Ответить | Правка | Наверх | Cообщить модератору

58. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от DEF (?), 18-Июн-22, 21:57

1. Хамить ты первый начал, шизик.
2. Битрикс, даже если был бы бесплатный - также не набрал бы и 1% установок.
3. Бэкапить необходимо любые данные на любой ЦМС.
PS. Загуглил тебя по двум ключевым словам - bitrix и адрес твоего поросячьего сайта. Оказывается ты проплаченная ботяра из 1С, которая всюда рекламит ущербный Биткрикс во всех ветках и темах о Вордпрессе.

Ответить | Правка | Наверх | Cообщить модератору

59. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от suffix (ok), 18-Июн-22, 22:18

И сколько мне платят :))) ?
Вы феерический ...
Ну да ладно, слив засчитан !

Ответить | Правка | Наверх | Cообщить модератору

60. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от DEF (?), 18-Июн-22, 22:30

Господин свинопас, не пропускайте прием таблеток, который назначил вам ваш лечащий врач. Выздоравливайте!

Ответить | Правка | Наверх | Cообщить модератору

43. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Аноним (43), 18-Июн-22, 03:20

Из свежего, CVE-2022-27228 - 9.8 полуляхов из 10

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

64. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Доктор Дью (?), 21-Июн-22, 08:41

:)

Ответить | Правка | Наверх | Cообщить модератору

11. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +2 +/–

Сообщение от Аноним (11), 17-Июн-22, 16:20

WordPress: Ясно, понятно.

Ответить | Правка | Наверх | Cообщить модератору

12. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +1 +/–

Сообщение от th3m3 (ok), 17-Июн-22, 16:43

О, продолжение сериала про днище Wordpress и его плагины) Достаю попкорн.

Ответить | Правка | Наверх | Cообщить модератору

19. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +1 +/–

Сообщение от Аноним (19), 17-Июн-22, 18:39

> В WordPress ... выявлена критическая уязвимость
"В решете нашли дыру", - вот что я прочитал.

Ответить | Правка | Наверх | Cообщить модератору

40. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Без аргументов (?), 18-Июн-22, 00:29

Им нужно определиться, либо просеивать муку и сливать макароны, либо это.

Ответить | Правка | Наверх | Cообщить модератору

23. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +3 +/–

Сообщение от Sw00p aka Jerom (?), 17-Июн-22, 20:00

>разработчики платформы WordPress инициировали принудительную автоматическую установку обновления на сайты пользователей.
кек

Ответить | Правка | Наверх | Cообщить модератору

27. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +3 +/–

Сообщение от Kuromi (ok), 17-Июн-22, 20:47

Собственно чему удивляться, давным давно неплохим способом защитить свою CMS-очку было изменить в заголовках отдаваемое название на Wordpress и накидать в корень сайта фальшивых PHP файлов (с NOOP внутри) с названиями как у Вордпрессовских.
И все, кулхацкеры будут упорно долбиться в ваши заглушки даже не пытаясь понять что не так-то.

Ответить | Правка | Наверх | Cообщить модератору

45. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Аноним (43), 18-Июн-22, 03:28

Долбят боты. Пройдитесь на досуге Acunetix по своему сайту, сильно удивитесь

Ответить | Правка | Наверх | Cообщить модератору

50. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Наноним (?), 18-Июн-22, 16:23

Долбятся боты. Очень удобно написать ботов для Wordpress, а потом натравливать их на миллионы Wordpress сайтов, среди которых наверное большинство вовремя не обновляется. И ломаются они также автоматически. С точки зрения ботописателей Wordpress - это просто идеал решета, на котором можно заработать.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

61. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от InuYasha (??), 19-Июн-22, 00:02

Когда-то была у меня оч хорошая по тем временам ЦМСка на базе PostNuke. Держалась долго и крепко под натисками ботов. Потом однажды не выдержал и поменял "made with PN" на что-то более нестандартное и - БАБАХ! - apache/error.log опустел. :) Да, боты. Ну, вот и прекрасно.
Но ничего, потом у нас в гарнизоне ИИ появился. Но вы там держитесь.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

62. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Kuromi (ok), 19-Июн-22, 01:46

> Когда-то была у меня оч хорошая по тем временам ЦМСка на базе
> PostNuke. Держалась долго и крепко под натисками ботов. Потом однажды не
> выдержал и поменял "made with PN" на что-то более нестандартное и
> - БАБАХ! - apache/error.log опустел. :) Да, боты. Ну, вот и
> прекрасно.
> Но ничего, потом у нас в гарнизоне ИИ появился. Но вы там
> держитесь.
По опыту еще один прекрасный метод - закрыть админку (если возможно) HTTP AUTH и половина атак уходит в  молоко. А если при это сменить метод с BASIC на DIGEST (да еще поставить скажем SHA-256 или SHA-512), то эти боты отпадают сразу, многие даже не поддерживают такого.

Ответить | Правка | Наверх | Cообщить модератору

66. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от rustian (?), 24-Июн-22, 00:24

не хочу вас расстраивать, но это не защита, а говно )
Умные люди называют это security through obscurity, и они такой подход не одобряют.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

68. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +/–

Сообщение от Kuromi (ok), 28-Июн-22, 22:47

> не хочу вас расстраивать, но это не защита, а говно )
> Умные люди называют это security through obscurity, и они такой подход не
> одобряют.
А это и не полноценная защита, это один из способов сделать атакующему жизнь сложнее. Сама по себе не спасет, но в комплекте с другими методами - помогает.
Вариантов же куча, open_basedir в PHP, запрет на исполнение в tmp, закрытие ненужных директорий от доступа извне (впрочем сейчас CMSочки имеют заглушки для этого сразу в комплекте), само собой 2FA на админку и прочее и прочее.

Ответить | Правка | Наверх | Cообщить модератору

28. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +1 +/–

Сообщение от microsoft (?), 17-Июн-22, 21:00

> инициировали принудительную автоматическую установку
Конечно, конечно... во благо же.

Ответить | Правка | Наверх | Cообщить модератору

33. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..." +1 +/–

Сообщение от Адмирал Майкл Роджерс (?), 17-Июн-22, 21:48

Именно так, сэр.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

3. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+1 +/–
Сообщение от Варенье (?), 17-Июн-22, 15:15
Кстати, довольно занятный вектор атаки — необязательно звать eval на входные данные, если можно десериализовать класс, в котором определена функция __wakeup()
Ответить \| Правка \| Наверх \| Cообщить модератору


	4. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от Аноним (4), 17-Июн-22, 15:21
	Десериализация это и есть eval.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	37. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+2 +/–
	Сообщение от Аноним (37), 17-Июн-22, 22:15
	это только в шаблонизаторе Personal Home Page. В языках программирования (а шаблонизатор Personal Home Page таковым не является), десериализация - это десериализация, а не eval.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	44. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от Аноним (44), 18-Июн-22, 03:23
	Как минимум в Python при десериализации из pickle проблемы те же.
	Ответить \| Правка \| Наверх \| Cообщить модератору

5. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+1 +/–
Сообщение от suffix (ok), 17-Июн-22, 15:26
В этом и проблема WP - без плагинов он вообще неюзабелен, а плагинов наделали 100500 штук все кому не лень и разумеется пару раз в год через плагины новый взлом сайтов на WP образуется. То ли дело наш, исконно русский, православный Битрикс. Полностью работоспособен прямо из коробки, никакие дополнения из Маркетплейса ненужны для нормальной работы. И никаких взломов сайтов не Битриксе в принципе не происходит !
Ответить \| Правка \| Наверх \| Cообщить модератору


	8. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+1 +/–
	Сообщение от Аноним (8), 17-Июн-22, 15:49
	Если ничего не дописывать, то может и хорош. Но потом заказчику надо тут дописать, там переписать и начинается если и не взломают то сам упадет)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	16. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	–2 +/–
	Сообщение от suffix (ok), 17-Июн-22, 17:24
	> Если ничего не дописывать, то может и хорош. Но потом заказчику надо > тут дописать, там переписать и начинается если и не взломают то > сам упадет) Вы правы. Я и имел ввиду что для "новичков" Битрикс безопаснее чем WP. Разумеется все доработки / переписки что на Битрикс что на WP если делает профессионал то и там и там не будет ничего падать, никто не взломает и т.д.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	29. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от Ilya Indigo (ok), 17-Июн-22, 21:34
	Есть фреймвёрки Yii и Laravel и что-то я не помню новостей об уязвимости в них.
	Ответить \| Правка \| К родителю #8 \| Наверх \| Cообщить модератору


	32. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от Аноним (32), 17-Июн-22, 21:47
	В Laravel достаточно много уязвимостей было. Хотя бы про смену шифрования кук должны были слышать. И это не считая того, что каждый первый "крутой разработчик" отключает все возможные встроенные средства защиты, потому что ему "не удобно так". Так что во всех этих сайтах ошибок не меньше, чем в WP, если бы они были кому интересны. А Yii ещё скачать надо умудриться. При том количестве зависимостей в нём, нарваться на таймауты плёвое дело. Видимо по этому на нём сайтов не так много.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	49. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+1 +/–
	Сообщение от Аноним (49), 18-Июн-22, 10:42
	Так это ж не CMS, где покликал и готово, там програмировать надо.
	Ответить \| Правка \| К родителю #29 \| Наверх \| Cообщить модератору


	9. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	–6 +/–
	Сообщение от Ooiiii (?), 17-Июн-22, 16:03
	> исконно русский, православный Битрикс Только при его создании почему то не использовался ни один исконно русский язык программирования, ни один исконно русский компьютер и ни одна исконно русская операционная система.
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору


	13. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от 1 (??), 17-Июн-22, 16:54
	Ну может взломов сайтов и не происходит, но как его делают источником DDoS атак - запросто. Через всякие там redir.js и прочие "прэлести".
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору


	15. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от suffix (ok), 17-Июн-22, 17:13
	> Ну может взломов сайтов и не происходит, но как его делают источником > DDoS атак - запросто. > Через всякие там redir.js и прочие "прэлести". 1. Есть такая тема про редиректы, только не js а php. 2. Решение есть и в самом Битрикс и требует 5 секунд: Настройки → Проактивная защита → Защита редиректов и они все отрубятся. 3. Вторым способом можно и в nginx запретить все перенаправления через rk.php, redirect.php и click.php кроме нужных ибо хорошие вещи через них полезны (отслеживание например переходов по рекламным компаниям).
	Ответить \| Правка \| Наверх \| Cообщить модератору


	18. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+1 +/–
	Сообщение от пох. (?), 17-Июн-22, 18:18
	> Вторым способом можно и в nginx запретить все перенаправления через rk.php, redirect.php и > click.php и конечно же любой покупатель коробочки за сколько там уже - 30тыр знает про все эти click.php и как их запретить. (и, кстати, что за х-ня rk.php?)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	21. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от suffix (ok), 17-Июн-22, 18:50
	rk.php - это rk значит "реклама" - фигня для учёта эффективности рекламных компаний (переходов и т.п.). В принципе вещь полезная, при грамотной настройке конечно.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	65. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от rustian (?), 24-Июн-22, 00:21
	о господи, вот как раз инструкций по настройке битрикса не хватало на опеннете. Битрикс это одно из самых уродских поделий, вне зависимости от того есть ли у него в админке защита редиректов или нет. И самое коварное в битриксе то, что он издалека выглядит нормальным продуктом с нормальными пользователями, что может стоить тем, кто решит с ним связаться большой доли нервных клеток.
	Ответить \| Правка \| К родителю #15 \| Наверх \| Cообщить модератору


	67. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от suffix (ok), 24-Июн-22, 07:14
	Да, Битрикс прямо скажем не идеален, и косяков в нём хватает. Но как и с любым другим продуктом его надо уметь готовить. И сделать из него конфетку вполне реально, разумеется конфетку можно сделать и из любого другого продукта (например WP). Вспомните старый андекдот: "Ну ужас, но не УЖАС-УЖАС" (С) :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	17. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+1 +/–
	Сообщение от пох. (?), 17-Июн-22, 18:16
	> То ли дело наш, исконно русский, православный Битрикс. Полностью работоспособен прямо из коробки а поскольку цена коробки неподъемна для пион...нецветочков запрещенных на впопеннете - то и взлома можно не бояться. > никакие дополнения из Маркетплейса ненужны для нормальной работы. хеловрота - может и не нужны. А если нужен сайт а не "добро пожаловать в битрикс" - то либо мракет, либо сам кодируй (большинство покупателей коробочки не обучены). > И никаких взломов сайтов не Битриксе в принципе не происходит ! эммм... как бы это помягче...
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору


	31. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от YetAnotherOnanym (ok), 17-Июн-22, 21:44
	> цена коробки неподъемна Должен же хоть с какой-то стороны быть порог вхождения.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	42. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от пох. (?), 18-Июн-22, 02:24
	Там со всех сторон пороги. Например, поиск гуглем любой проблемы скорее всего приведет тебя на форум, где под таким же описанием как твое - ответ традиционный: "напишите нам в закрытый канал связи с техподдержкой - мы вам все расскажем". Это даже не rhbm с документацией за пэйволом, это вообще полное анальное огораживание. P.S. а я вчера таки дернул рубильник. Ни сил, ни времени, ни желания уже нет ЭТО костылить.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	20. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от Anonim (??), 17-Июн-22, 18:48
	Лучше иметь проблемы с Wordpress, чем Битрикс будет иметь вас.
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору


	25. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от Аноним (25), 17-Июн-22, 20:43
	Прямо сейчас юзаю xss битрикса. Админку взять не проблема.
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору


	26. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	–1 +/–
	Сообщение от suffix (ok), 17-Июн-22, 20:47
	Ну если Вы находите где-то идиотов которые отключают "Проактивную защиту" (в которой разумеется защита от xss есть) то это не значит что Битрикс не защищён из коробки.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	30. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	–1 +/–
	Сообщение от Sergey (??), 17-Июн-22, 21:41
	Это скорее асего потому что этот битрикс используется только на 2х сайтах. Есть пример сайта где использунтся он ?
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору


	34. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+1 +/–
	Сообщение от suffix (ok), 17-Июн-22, 21:52
	Самому не стыдно ? Намного больше сотни тысяч сайтов используют Битрикс. Ваш высер про 2 сайта просто туп. Пример сайта на Битрикс Вы хотите ? Да, пожалуйста - вот мой сайт. https://www.babai.ru
	Ответить \| Правка \| Наверх \| Cообщить модератору


	35. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от Аноним (35), 17-Июн-22, 22:02
	Тонкий способ пропиарить свой сайт.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	36. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от suffix (ok), 17-Июн-22, 22:12
	Мне пиар не нужен. Мой сайт никогда и никак не монетизируется - ни рекламы, ни продаж, ни услуг на сайте никогда не было и не будет. Я люблю хрюш искренне и бескорыстно.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	39. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от Sergey (??), 18-Июн-22, 00:05
	Дело не в пиаре. Не люблю эти штуки на пхп, но вордпресс фрии и его юзает весь мир. Вы что думаете битрикс кто нибудь юзает за пределами России ?
	Ответить \| Правка \| К родителю #35 \| Наверх \| Cообщить модератору


	38. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от Sergey (??), 17-Июн-22, 23:49
	Обычно битрикс используют виндузятники. А нормальный пример будет ? То что Вы показали делается и на голом вордпрессе без плагинов.
	Ответить \| Правка \| К родителю #34 \| Наверх \| Cообщить модератору


	46. "Атака на системы через WordPress-плагин Ninja Forms, насчиты..."	+/–
	Сообщение от suffix (ok), 18-Июн-22, 07:18
	1. Битрикс не работает на iis сервере 2. А давайте Вы сами найдёте ?Благо тыкайте в любой интернет магазин в зоне .ru и через один будет Битрикс. Поощрять вашу дремучесть и лень нет никакого желания.
	Ответить \| Правка \| Наверх \| Cообщить модератору