رفع مشکل باگ امنیتی افزونه ی Duplicator وردپرس

در درخواست های اخیر برخی کاربران مشاهده شده است که بسیاری از وب سایت هایی که از CMS وردپرس استفاده میکنند دچار اختلال در دیتابیس و یا هک شده اند ، پس از بررسی متوجه شدیم که مشکل از فایل های installer.php (افزونه ی Duplicator) است.

افزونه Duplicator یکی از پرکاربرد ترین افزونه های وردپرس برای بک آپ گیری و انتقال سایت های وردپرسی می باشد این باگ باعث می شود اختلالات زیادی مانند حذف شدن مشخصات دیتابیس از فایل wp-config.php وردپرس به وجود بیاید که در این صورت سایت با پیغام دیتابیس مواجه می شود:

Error establishing a database connection

 و یا به آدرس وب سایتی دیگر Redirect می شود و صفحه ی سایت قابل مشاهده نیست .

به چه دلیل و چگونه این مشکل به وجود می آید ؟

همانطور که میدانید با استفاده از افزونه ی Duplicator کلیه ی تنظیمات و اطلاعات دیتابیس، قالب و افزونه‌های وردپرس و به طور کلی هر اطلاعاتی که در وردپرس دارید این امکان را پیدا می کنند که یک نسخه خروجی از آن ها تهیه کنید. در این نسخه ی خروجی شما دو فایل installer.php و فایلی که شامل محتویات سایت و دیتابیس هست رو خواهید داشت که با استفاده از فایل database.sql هم امکان درون ریزی (Import) داده‌های دیتابیس در سایت جدید فراهم خواهد شد.

حالا وقتی که تصمیم به نصب قالب با استفاده از بسته نصبی در سایت خودتون میگیرید، فایل‌های database.php، installer.php، installer-backup.php، installer-log.txt و installer-data.sql و پوشه wp-snapshot نیز در کنار سایر فایل‌های پیشفرض وردپرس قرار میگیرند. مشکل هک وردپرس ناشی از همین موضوع می باشد که به دلیل وجود باگ در این افزونه باعث می شود که هکر بتواند امکان دو بار نصب وردپرس را به دست بیاورد.

این موضوع باعث می شود که هکر در مرحله اول سایت شما را ریست کرده و با ارسال یک سری فایل مخرب فایل wp-config.php وردپرس را ویرایش کرده و مجدد بازنویسی بکند که این مسئله باعث از دسترس خارج شدن سایت شما می شود.

چه کاری باید انجام دهیم؟‌

۱) در ابتدا تمامی افزونه­‎ها از جمله Duplicator را آپدیت کنید.

۲)‌ سپس installer.php و installer-backup.php را در صورت وجود حتما از داخل هاست خود پاک کنید. پس از هر بار استفاده از افزونه Duplicator حتما فایل­‎های مربوط را بعد از بازگردانی حذف کنید.

۳) رمز دیتابیس وردپرس را ریست کنید.

۴)‌ جهت اطمینان فایل wp-config.php را حذف کرده و مجددا بسازید. با استفاده از لینک زیر کلید­های لازم جهت افزایش امنیت را در فایل wp-config.php کپی کرده و جایگزین کنید.

https://api.wordpress.org/secret-key/1.1/salt

۵)‌ دیگر فایل­‎های وردپرس را چک کنید تا کد­های مخرب به آن تزریق نشده باشد.