Các nhà phát triển đã tham gia cộng đồng WordPress nhiều năm chắc hẳn đã nghe về TimThumb. Đó là script PHP thay đổi kích thước ảnh thu nhỏ (thumbnail) để hiển thị trên trang web.
TimThumb cực kỳ phổ biến đến mức nhiều chủ đề (theme) có nó gói sẵn. Nhưng nó biểu hiện một lỗ hổng cho phép hàng triệu trang WordPress bị hack. Ngay hôm nay, chúng tôi vẫn thấy hack do nó.
Nếu bạn đang thắc mắc trang web của mình có bị ảnh hưởng bởi lỗ hổng TimThumb hay không, bạn có thể quét trang web để biết. Trong bài viết này, chúng tôi sẽ chỉ cách quét trang web và dọn dẹp nếu trang bị hack.
Tóm tắt: Nếu bạn nghĩ trang web đã bị xâm phạm và muốn dọn dẹp ngay, hãy cài đặt công cụ loại bỏ mã độc WordPress của chúng tôi. Nó sẽ dọn dẹp trang web và thực hiện các bước đảm bảo trang được bảo vệ khỏi các lần hack trong tương lai.
TimThumb Exploit Là Gì?
TimThumb là script PHP cho phép người dùng nhập hình ảnh từ các trang lưu trữ hình ảnh (như flickr.com và imgur.com) và chỉnh sửa chúng nhanh chóng, đặc biệt là tạo thumbnail.
TimThumb có danh sách các trang web đáng tin cậy và chỉ lấy hình ảnh từ những trang đó. Tuy nhiên, không ngờ nhà phát triển có một lỗ hổng lớn trong quá trình này. WordPress TimThumb chỉ kiểm tra xem URL hình ảnh có khớp với những trang đó không. Nó không xác minh xem tệp hình ảnh thực sự đến từ những vị trí đó.
Ví dụ, 'imgur.com' là trang được whitelist nhưng lỗ hổng có thể lừa bạn lấy tệp từ trang xấu như 'imgur.com.badsite.com.'
Các trang xấu có thể tải tệp độc hại vào trang web của bạn, cho phép tin tặc truy cập trang. Đó là cách hack TimThumb xâm phạm trang web.
Mặc dù vấn đề bảo mật này đã được khắc phục, TimThumb vẫn trải qua các lần khai thác bảo mật qua nhiều năm. Cuối cùng, nhà phát triển script TimThumb đã bỏ rơi nó. Hầu hết chủ đề dùng script đã phát hành bản sửa để phần mềm hoạt động không cần TimThumb.
Có nhiều chủ đề có thể đang dùng TimThumb để thay đổi kích thước hình ảnh. Nếu chủ đề trên trang web bạn vẫn dùng TimThumb thì trang web đang ở trong nguy hiểm. Chúng tôi mạnh mẽ đề xuất quét trang web ngay lập tức để biết trang có bị xâm phạm hay không.
Nếu chủ đề cài trên trang web vẫn dùng TimThumb dẫn đến trang bị xâm phạm, chúng tôi đề xuất dọn dẹp trang web ngay lập tức. Nhưng nếu bạn không biết chủ đề có dùng TimThumb thì chúng tôi đề xuất, quét trang web ngay lập tức.
Để biết lỗ hổng TimThumb có để trang web bạn ở rủi ro, bạn cần chạy quét mã độc hoàn chỉnh. Click To Tweet
Cách Quét & Loại Bỏ Hack TimThumb WordPress
Bạn có thể quét trang cho hack TimThumb thủ công hoặc dùng plugin. Chúng tôi khuyến khích tránh phương pháp thủ công vì tốn thời gian và sai lầm nhỏ dẫn đến thảm họa lớn như trang web hỏng. Tuy nhiên, nếu bạn vẫn muốn biết quy trình, bạn có thể đọc hướng dẫn chi tiết Cách Dọn Dẹp Trang Web Bị Hack?
Chúng tôi mạnh mẽ khuyến khích dùng plugin bảo mật WordPress để dọn dẹp hack và loại bỏ lỗ hổng TimThumb.
Nhưng chúng tôi biết chọn plugin tốt khó vì có quá nhiều lựa chọn.
Đừng lo! Chúng tôi có đúng plugin cho bạn – Plugin Bảo Mật MalCare. Chúng tôi khuyến khích nó để loại bỏ bất kỳ loại hack nào bao gồm TimThumb. Đây là lý do:
- MalCare đi kèm bộ quét xây dựng để quét toàn bộ trang web. Bao gồm tệp và cơ sở dữ liệu. Trong khi nhiều plugin chỉ nhìn vào nơi mã độc thường thấy, MalCare đi xa hơn. Nó xem vào mọi góc ngách của trang web và đó là cách nó phát hiện mã độc plugin khác bỏ lỡ.
- Plugin tìm ra mọi loại mã độc, cả loại biết và không biết. Nó kiểm tra hành vi mã để tìm mã độc và gắn cờ chúng. Điều này giảm khả năng false positive (dương tính giả).
- Chậm trễ trong dọn dẹp có thể gây Google blacklist và treo hosting. Vì thời gian là yếu tố then chốt khi trang bị hack, MalCare cho phép bạn dọn dẹp trang web trong vài phút.
Bây giờ chúng ta đã thấy điểm nổi bật của Plugin Bảo Mật MalCare, chúng ta có thể bắt đầu dọn dẹp trang web. Bây giờ, hãy dọn dẹp trang web với plugin.
Loại Bỏ Hack WordPress TimThumb Với Plugin Bảo Mật MalCare
1. Cài đặt plugin vào trang web và thêm trang web vào bảng điều khiển MalCare.
2. MalCare sẽ bắt đầu quét trang web ngay. Nó sẽ cho thấy số lượng tệp và bảng độc hại tìm thấy.
3. Để loại bỏ mã độc, nhấp vào nút Auto-Clean. Sẽ mất vài phút để MalCare dọn dẹp trang web.
Đó là xong. Trang web bạn bây giờ sạch.
Hack TimThumb do lỗ hổng. Loại bỏ lỗ hổng để đảm bảo trang không bị xâm phạm lại Click To Tweet
Biện Pháp Sau Khi Loại Bỏ Mã Độc
MalCare sẽ dọn dẹp trang và loại bỏ mọi dấu vết mã độc. Nhưng bạn vẫn cần khắc phục lỗ hổng TimThumb. Điều này đảm bảo trang không bị xâm phạm lại.
Chúng tôi sẽ chỉ cách loại bỏ lỗ hổng.
Lỗ hổng TimThumb hiện diện trong plugin hoặc chủ đề. Đây là lỗ hổng bảo mật rất phổ biến nên bất kỳ nhà phát triển plugin hoặc chủ đề có trách nhiệm nào đã phát hành bản vá để loại bỏ lỗ hổng từ phần mềm. Bạn có thể triển khai bản vá bằng cách cập nhật chủ đề hoặc plugin.
Đăng nhập trang WordPress và thực hiện tất cả cập nhật đang chờ bao gồm chủ đề và plugin không hoạt động và tùy chỉnh (đọc khuyến nghị – cập nhật bảo mật WordPress).
Sau đó chúng tôi khuyến khích triển khai các biện pháp cứng hóa để bảo vệ trang web khỏi các lần hack trong tương lai. Để giúp bạn, chúng tôi viết hướng dẫn từng bước cách thực hiện biện pháp cứng hóa trang web.
Thay Thế TimThumb?
TimThumb cho phép trang web tự động thay đổi kích thước hình ảnh dựa trên thiết bị dùng. Nhưng không có TimThumb, làm sao có tính năng này trên trang?
May mắn cho chúng ta, WordPress làm điều này tự động. Thay đổi kích thước hình ảnh bây giờ là tính năng gốc của WordPress.
Khi bạn tải hình ảnh, nó tự thay đổi kích thước và phục vụ kích thước đúng theo thiết bị. Hơn nữa, khi bạn tải hình ảnh đại diện cho bài hoặc trang, nó tự tạo kích thước thumbnail. Thumbnail là thứ bạn thấy khi truy cập trang Blog (xem hình dưới) của bất kỳ trang web nào.
Ví dụ, trang Blog MalCare nơi bạn thấy thumbnail các blog mới đăng.
Do đó, không cần tìm thay thế TimThumb.
Tóm Lại
Hack TimThumb đã ảnh hưởng hàng triệu trang và tiếp tục gây rắc rối cho trang ngay cả bây giờ. Hack TimThumb chỉ là một trong nhiều lần hack thử trên trang web mỗi ngày. Để chống lại tấn công hack, chúng tôi khuyến khích có plugin bảo mật như MalCare hoạt động trên trang.
MalCare dễ thiết lập và tự động quét trang web hàng ngày. Nó đi kèm tường lửa chặn traffic độc hại và bảo vệ trang đăng nhập khỏi tấn công brute force.
Sử Dụng Plugin Bảo Mật MalCare Để Bảo Vệ Trang Web 24 x 7