WordPress插件有漏洞？ 超过100万的网站遭攻击
Feb262015
WP-Slimstat是一款WordPress实时统计分析插件，功能强大、兼容性强。
最近网上流传这样的一个事情，近日黑客利用WordPress统计分析插件WP SlimStat的安全漏洞对大量WordPress网站发起攻击。据统计数据显示，目前已有超过100万使用WordPress建立的网站受到牵连。
WP-Slimstat 3.9.6前的版本存在一个安全bug，即插件的秘钥值过于“简单”，黑客可通过该漏洞向终端用户的电脑发起SQL注入攻击，或导致用户敏感信息被盗。
WordPress漏洞挖掘、安全研究者Marc-Alexandre Montpas在其安全博客中写道：“任何访问者都可以通过这一bug对低安全性的目标网站“动手脚”，如果你的WP-Slimstat插件版本安全性太低，就得小心了！”他还表示，“一旦网站被攻击，黑客将可能从数据库中获取用户名、哈希密码、甚至是WordPress秘钥等敏感信息。”
WP-Slimstat的安全秘钥就是插件安装时间戳的哈希值，黑客通过互联网档案馆（The Internet Archive）之类的网站便可获取所需信息。这一过程中，黑客约需对3000万数据进行排查，不过就是十分钟的事儿。一旦秘钥被破解，则可发起攻击，获取用户敏感信息。
