WordPress XSS hay tấn công cross-site scripting là cơ chế hack phổ biến nhất trên web ngày nay. Chúng nhắm vào người truy cập trang web của bạn, muốn đánh cắp thông tin của họ. Phần tồi tệ nhất của tấn công XSS là kẻ tấn công dùng lỗ hổng trên trang web WordPress của bạn để làm điều này.
Bảo vệ người truy cập khỏi tấn công XSS bằng cách cài tường lửa WordPress.
Bề mặt, tấn công XSS không dường như đe dọa lắm, đặc biệt so với tấn công khác như brute force hay SQL injection. Tấn công cross-site scripting thực hiện bằng JavaScript, và JavaScript bị kiểm soát chặt chẽ bởi trình duyệt. Do đó, nó nên có quyền truy cập rất hạn chế vào phần còn lại của thiết bị. Đó là trường hợp, nhưng không dịch ra ít nguy hiểm.
Tấn công XSS WordPress là cổng vào các tấn công gây hại hơn và nên được đối xử như nguy hiểm 자체.
Tấn công XSS WordPress là gì
Tấn công cross-site scripting, viết tắt WordPress XSS, là khi kẻ tấn công chèn mã JavaScript độc hại vào trang web. Khi người truy cập truy cập trang web đó, trình duyệt của họ thực thi mã đó. Mã độc hại được cho là từ nguồn tin cậy, trường hợp này là trang web.
Tấn công XSS xảy ra vì trang web có lỗ hổng cross-site scripting. Lỗ hổng là trang web dùng đầu vào bên ngoài trong đầu ra nó tạo ra, mà không trước tiên xác thực hoặc kiểm tra.
Hãy tưởng tượng bạn đang làm việc với công ty ABC. Họ trao cho bạn một thư mục với công việc bạn cần làm. Bạn đọc và bắt đầu làm việc, tin tưởng thư mục được biên soạn bởi ABC. Tuy nhiên, giả sử công ty ABC để thư mục công việc ở nơi công cộng, nơi bất kỳ ai có thể进来 chèn một trang vào thư mục. Mặc dù logic cho là họ nên, ABC không kiểm tra bất kỳ trang chèn nào. Thay vào đó, họ trao thư mục trực tiếp cho bạn. Bạn giả định thư mục đáng tin cậy, vì nó thuộc về ABC.
Tuy nhiên, kẻ tấn công có thể đã chèn một trang trong thư mục có hướng dẫn xấu. ABC không biết nó xấu, và bạn nghĩ nó tốt vì nó thuộc về ABC và bạn tiến hành. Đây rõ ràng là ví dụ đơn giản vì bạn có thể phân biệt tốt xấu, nhưng trình duyệt không. Nó tuân theo hướng dẫn chính xác.
Hậu quả tấn công XSS trong WordPress
Mục tiêu chính của tấn công XSS là người truy cập trang web, hoặc cụ thể hơn là thông tin của họ. Vì vậy, nếu tấn công XSS thành công, mã độc hại sẽ có quyền truy cập tất cả thông tin trên trình duyệt của người truy cập mà trang web của bạn có quyền truy cập. Bao gồm cookie, thông tin phiên, v.v.
Nhiều chuyện có thể sai ở giai đoạn này:
- Hacker chiếm được dữ liệu riêng tư của người truy cập, và có thể chiếm tài khoản của họ trên trang web. Chuyện có thể leo thang nhanh từ thời điểm này.
- Hacker có thể mạo danh người truy cập vì họ có quyền truy cập dữ liệu
- Mã độc hại có thể gửi người truy cập đến trang web khác, hoặc hiển thị nội dung không từ trang web gốc họ truy cập. Mã độc hại thậm chí có thể thay đổi cách trang hiển thị trên trình duyệt.
- Trong trường hợp xấu, kẻ tấn công có thể nhắm vào người truy cập bằng tấn công kỹ thuật xã hội như lừa đảo.
Đối với trang web, tác động của tấn công XSS WordPress có thể khác nhau. Trang web WordPress có thể gặp rắc rối nghiêm trọng khi lưu trữ dữ liệu người dùng riêng tư có thể bị hacker đánh cắp. Nếu người dùng là admin hoặc người có đặc quyền đủ, hacker có thể mạo danh họ và xâm phạm hoàn toàn trang web.
Cách kiểm tra trang web có lỗ hổng XSS WordPress
Lỗ hổng XSS tồn tại trong code; hoặc code core WordPress hoặc của plugin và theme. Trừ khi bạn phát triển code tùy chỉnh cho trang web, bạn không likely xử lý đầu vào người dùng trực tiếp, và do đó tìm hiểu cách bảo mật nó không thuộc trách nhiệm của bạn.
Cách thực sự duy nhất bạn có thể kiểm tra trang web WordPress có dễ bị tấn công XSS không là dùng bộ quét như XSS Hunter, hoặc thuê dịch vụ penetration tester.
Tuy nhiên, không có nghĩa là bạn không thể bảo vệ người truy cập trang web khỏi lỗ hổng XSS tiềm ẩn. Cài tường lửa WordPress chặn tấn công và giúp bảo vệ người truy cập rất nhiều.
Ngoài ra, bạn có thể theo dõi plugin và theme đã cài. Nếu bất kỳ cái nào tiết lộ lỗ hổng XSS, hãy cập nhật sớm nhất có thể. MalCare làm điều này dễ dàng, vì nó quét trang web hàng ngày. Nếu phát hiện plugin hoặc theme dễ bị tổn thương, bạn có thể cập nhật an toàn từ bảng điều khiển MalCare.
Điều gì xảy ra nếu tấn công khai thác XSS đưa mã độc lên trang web
Người truy cập trang web là mục tiêu biểu diện của tấn công XSS, tuy nhiên nhóm đó cũng có thể bao gồm admin trang web. Nếu có lỗ hổng Cross-site scripting trên trang web, và tài khoản admin bị xâm phạm, bạn nên giả định bảo mật trang web cũng bị xâm phạm.
Ngoài việc đánh cắp dữ liệu từ cá nhân, tấn công XSS cũng dùng để thực hiện các tấn công khác như thực thi code từ xa.
Vì vậy, dù tấn công XSS WordPress không ngay lập tức dịch ra mã độc, tốt hơn là đề phòng. Nếu trang web có mã độc, xử lý ngay lập tức.
Quét trang web
Cách duy nhất tìm ra trang web có thực sự mã độc là quét nó. Có vài cách làm, tuy nhiên không phải đều hiệu quả như nhau.
Chúng tôi khuyên bạn quét sâu trang web với bộ quét bảo mật để tìm dấu vết nhỏ nhất của mã độc trong trang web hoặc cơ sở dữ liệu. Đây là cách xác định chắc chắn có mã độc trên trang web. Khi có câu trả lời, bạn có thể làm theo hướng dẫn xử lý trang web WordPress bị hack để loại bỏ.
Bảo Vệ XSS WordPress: 5 cách ngăn chặn tấn công XSS
Lỗ hổng Cross-site scripting WordPress nằm trong code, và admin WordPress làm được ít để loại bỏ lỗ hổng đó. Tuy nhiên, chắc chắn có điều bạn có thể làm để bảo vệ người truy cập khỏi tấn công XSS.
1. Cài đặt Tường Lửa Ứng Dụng Web
Tường lửa là phòng thủ tốt nhất trước mối đe dọa liên tục tiến hóa. Tường lửa có quy tắc đặc biệt tìm kiếm yêu cầu có thể chứa văn bản đáng ngờ thường thấy trong tấn công XSS.
Đọc thêm: Cách chặn IP quốc gia trong WordPress
2. Cập nhật tất cả plugin và theme
Lỗ hổng bảo mật WordPress được phát hiện trong plugin và theme thường xuyên. Nhà phát triển có trách nhiệm phát hành bản vá bảo mật cho chúng, để trang web không bị rủi ro. Khi bản vá có sẵn, người phát hiện lỗ hổng công bố tin tức. Do đó, trang web chưa cập nhật plugin và theme trở thành mục tiêu cho hacker.
3. Cài đặt plugin bảo mật WordPress tốt
Tấn công XSS thực sự nguy hiểm cho chủ trang web, nếu người dùng bị nhắm là admin. XSS có thể dùng để lấy thông tin đăng nhập, và sau đó lây nhiễm mã độc cho trang web. Plugin bảo mật tốt sẽ giúp bạn theo dõi người dùng hoạt động bất thường, và quét hàng ngày sẽ xác định nhanh mã độc.
4. Triển khai tăng cường WordPress
Tăng cường WordPress là loạt bước bạn có thể thực hiện để làm trang web WordPress an toàn hơn nói chung. Trong đó, chúng tôi đặc biệt khuyến nghị xác thực hai yếu tố. Nguy hiểm lớn nhất của tấn công XSS là đánh cắp thông tin đăng nhập và danh tính, nên xác thực hai yếu tố giúp rất nhiều ngăn chặn thông tin đăng nhập bị đánh cắp dùng để truy cập trang web. Các bước tăng cường khác như vô hiệu hóa XML-RPC cũng tốt để triển khai.
5. Tuân thủ chính sách người dùng đặc quyền tối thiểu
Nếu tài khoản người dùng bị xâm phạm vì tấn công XSS, thiệt hại họ có thể gây ra bị giới hạn bởi quyền hạn của họ trên trang web.
Cách tấn công XSS WordPress hoạt động
Tấn công XSS hoạt động trong 2 phần: chèn mã và hậu quả.
Thứ nhất, hacker chèn mã JavaScript độc hại vào trang web dễ bị tổn thương. Điều này có thể làm theo vài cách, chúng tôi sẽ thảo luận ở phần sau. Tiếp theo, khi người truy cập truy cập trang web, trình duyệt thực thi mã JavaScript độc hại vì nó nghĩ nó là một phần của trang web.
Hậu quả là hacker giờ có quyền truy cập tất cả dữ liệu của người truy cập hiển thị cho trang web. Có thể bao gồm cookie, thông tin phiên, và dữ liệu đăng nhập. Thông tin có thể dùng để phát động các tấn công khác như lừa đảo hoặc đánh cắp cookie.
Điều này liên quan gì đến trang web WordPress của bạn?
Lúc này, trông như vấn đề nằm ở người truy cập và trình duyệt của họ. Tuy nhiên, không chính xác. Trình duyệt sẽ không thực thi mã độc hại trừ khi nó nghĩ đó là một phần của trang web tin cậy. Nếu người truy cập ở trang web của bạn, trang web tin cậy là của bạn.
Tấn công XSS hoạt động vì trang web cần có lỗ hổng XSS. Nghĩa là nó nên chấp nhận đầu vào người dùng mà không kiểm tra hoặc xác thực đầu vào theo bất kỳ cách nào. Chỉ khi đó WordPress XSS exploit cho phép kẻ tấn công chèn JavaScript vào trang web không vấn đề.
Hãy xem ví dụ.
Trên blog WordPress, admin muốn cho phép độc giả đăng bình luận dưới bài viết. Admin cài plugin quản lý bình luận.
Khi độc giả muốn đăng bình luận, họ gõ vào trường văn bản, do plugin cung cấp. Bất kỳ ai có thể gõ bình luận và gửi đến cơ sở dữ liệu trang web. Cho đến đây ổn.
Vấn đề xuất hiện khi ai đó không tốt gõ bình luận, nhưng thêm script vào. Đầu vào sẽ như: "Công thức bánh này tuyệt vời! <script> //mã xấu ở đây </script>" Thẻ script bao quanh mã JavaScript độc hại được thiết kế để tương tác với người truy cập khác.
Plugin không kiểm tra bình luận tìm script này, giả định toàn bộ là văn bản. Và lưu nó, nguyên vẹn, vào cơ sở dữ liệu. Đây là lỗ hổng XSS.
Bây giờ, người truy cập khác truy cập trang blog, và trình duyệt tải trang và bình luận. Cơ sở dữ liệu trang web đã lưu tất cả bình luận, và gửi đến trình duyệt để người mới thấy. Nhưng vì có JavaScript trong một bình luận, trình duyệt nghĩ đoạn code đó cần thực thi. Và nó làm vậy, giả định code là một phần của trang web. Nhưng nó không phải. Trang web nghĩ code là văn bản, và lưu như vậy. Trình duyệt thấy script và thực thi. Đây là cách tấn công XSS hoạt động.
Nếu plugin kiểm tra bình luận tìm mã độc trước khi lưu vào cơ sở dữ liệu, trang web không có lỗ hổng XSS. Trình duyệt không nhận mã JavaScript, và dữ liệu người truy cập an toàn.
Các loại tấn công cross-site scripting
Tấn công cross-site scripting được phân loại tùy thuộc nơi code được lưu và thực thi. Có 3 loại chính: lưu trữ hoặc bền vững, phản chiếu, và DOM. Tuy nhiên, chúng không loại trừ lẫn nhau. Tấn công XSS có thể là kết hợp các loại này. Vẫn hữu ích hiểu các loại này, và xem cách chúng giao nhau.
- Stored XSS: Trong ví dụ bình luận phần trước, bình luận được gửi đến cơ sở dữ liệu trang web và lưu đó. Sau đó, khi người truy cập đến, nó được gửi đến trình duyệt. Vì code lưu trên cơ sở dữ liệu, nó sẽ gửi đến tất cả người truy cập. Đó là lý do gọi là stored hoặc persistent XSS.
- Reflected XSS: Tấn công Reflected XSS hơi khó hiểu, vì liên quan đến người truy cập gửi mã độc hại đến trang web tự mình, dù vô ý.
Kẻ tấn công gửi liên kết trang web của bạn đến người truy cập, thường qua email hoặc trang web trung lập. Liên kết chứa mã độc hại, nên khi người truy cập nhấp vào, nó gửi mã đó đến trang web của bạn. Nếu trang web có lỗ hổng XSS, nghĩa là trang web không kiểm tra đầu vào người dùng như thế này cho mã độc. Vì vậy khi trang web gửi phản hồi lại trình duyệt người truy cập, nó bao gồm mã độc hại. Trình duyệt người truy cập giờ nghĩ mã đó là một phần của trang web của bạn, và thực thi. Và như vậy kẻ tấn công có quyền truy cập thông tin người truy cập.
Cả stored và reflected XSS, trang web đều tham gia tấn công. Mã độc thực sự đi vào web server hoặc cơ sở dữ liệu, và gửi lại người truy cập. Khác biệt chỉ là kẻ tấn công gửi đến trang web hay người truy cập tự gửi.
- DOM-based XSS: Trong trường hợp DOM-based XSS, code không được gửi đến trang web. Mã độc hại có thể gửi đến người truy cập như reflected XSS, nhưng thay vì gửi đến trang web, nó được thực thi bởi trình duyệt trực tiếp.
Điều này có thể trông như không phải lỗ hổng trên trang web, nhưng nó là. Script độc hại không gửi đến trang web, nhưng ở lại trình duyệt người truy cập. Trình duyệt gửi yêu cầu đến server trang web. Phản hồi server dùng đầu vào người dùng đã có trong trình duyệt. Trường hợp này là mã độc hại.
Để hiểu tốt hơn các loại tấn công XSS, xem tài nguyên chuyên biệt này.
Điều đó nói, các loại tấn công XSS không nên là lo ngại của bạn, vì bạn làm được ít để chủ động giải quyết lỗ hổng Cross-site scripting. Không khả thi kiểm tra plugin và theme xem có lỗ hổng này trước khi được phát hiện. Tuy nhiên, một khi được phát hiện, bạn nên cập nhật ngay.
Bạn có thể bảo vệ người truy cập trang web khỏi tấn công Cross-site scripting bằng cách cài tường lửa. Đây là phòng thủ thực sự duy nhất chống mã độc hại.
Điểm lấy đi
Tấn công XSS WordPress rất phổ biến và nhắm vào người truy cập để đánh cắp dữ liệu. Là admin trang web có trách nhiệm, bạn muốn bảo vệ người truy cập khỏi tổn thương. Cài tường lửa WordPress sẽ giúp rất nhiều. MalCare là tường lửa WordPress tinh vi, và plugin bảo mật tuyệt vời. Bộ quét lỗ hổng và mã độc giúp giảm thiểu tác hại của mã độc nhanh chóng và hiệu quả.
Đọc thêm: Ngăn chặn tấn công Cross-site Scripting
Câu hỏi thường gặp
WordPress có dễ bị XSS không?
Có, WordPress dễ bị tấn công XSS. Nhiều lỗ hổng XSS được phát hiện trong file core WordPress, ngoài ra plugin và theme. Nhà phát triển có trách nhiệm giải quyết lỗ hổng XSS WordPress nhanh và cập nhật phần mềm để không bị hacker khai thác.
Cross-site scripting có nghĩa là gì?
Cross-site scripting (XSS) là tấn công mạng dùng script độc hại trên trình duyệt web để hack cookie phiên trình duyệt đánh cắp dữ liệu nhạy cảm. Dùng hiệu quả, cross-site scripting có thể đánh cắp mật khẩu và thông tin tài chính. Hack XSS WordPress rất khó phòng thủ trừ khi dùng tường lửa mạnh.
Cách Ngăn Chặn XSS trong WordPress?
Cách đơn giản nhất phòng thủ chống tấn công XSS trong WordPress là cài tường lửa có thể chặn hiệu quả lưu lượng độc hại. Cho WordPress, chúng tôi cũng khuyến nghị tăng cường trang web chống hack điển hình.