Issn 2072-0297 Молодой учёный Международный научный журнал Выходит еженедельно №4 (138) / 2017 р е д а к ц и о н н а я к о л л е г и я : Главный редактор

Возможные уязвимости веб-ресурсов, использу-
ющих CMS WordPress
Веб-порталы, использующие как основу язык про-
граммирования PHP и СУБД MySQL имеют ряд общих 
проблем безопасности. В данном разделе мы рассмотрим 
их общие принципы проявления, возможные и доступные 
методы борьбы с ними при необходимости, а также менее 
тривиальные уязвимости и статус их официального ис-
правления на данный момент.
Misconfiguration (ошибочная настройка) — пред-
ставляет собой вариант неправильной установки CMS 
на хостинг, что ведет в дальнейшем к возможности полу-
чения полного контроля злоумышленником над данным 
ресурсом в пределах под-папки на сервере или, в особо 
редких случаях, и содержимому корневой папки. Для из-
бежания подобного инцидента достаточно ознакомиться с 
главой об установке в официальной документации.
Injection flaws — возможности для инъекций вредо-
носного кода разных видов. Это может произойти, когда 
вы передаете неотфильтрованные данные на сервер SQL 
(SQL-инъекции), в браузер (XSS), на сервер LDAP 
(LDAP-инъекции) и т. п. Проблема заключается в том, 
что злоумышленник может внедрять таким образом ис-
полнительные команды (скрипты), что приводит к потере 
данных и позволяет использовать браузеры клиентов для 
кражи аутентификационной информации. Для защиты от 
инъекций необходимо настроить на хостинге фильтрацию 
входящего трафика, так как в самом WordPress данные 
виды уязвимостей уже учтены.
Broken authentication — состоит из нескольких про-
блем, которые могут возникнуть из-за «сломанной» ау-
тентификации, например:
1) URL может содержать идентификатор сеанса и 
утечки его в заголовке реферера кому-то другому.
2) Пароли могут быть не зашифрованы либо при хра-
нении или передаче.
3) Идентификаторы сессий могут быть предсказуе-
мыми.
4) Возможный перехват сессии, если портал исполь-
зует доступ по протоколу с HTTP (без SSL), и т. д.
Самым простым способом избежать эту уязвимость 
безопасности является использование готовых библиотек 
для аутентификации, которая является частью WordPress
Cross site scripting (XSS) — довольно частый случай 
инъекций. Злоумышленник подает веб-приложению 
на вход код, написанный на языке программирования 
JavaScript. При случайном обращению к нему пользова-
телем произойдет немедленное выполнение скрипта бра-
узером. Он может быть замаскирован в виде простой фи-
шинговой кнопки или менее приметным образом. На 
загруженной странице начинает работать сценарий, ко-
торый, например, может быть использован для отправки 
cookies злоумышленнику. Решением является невозвра-
щение HTML-тегов клиенту. Такой метод имеет допол-
нительное преимущество в защите от HTML инъекции, 
атаки, в результате которой злоумышленник производит 
инъекцию простого HTML-содержимого (например, изо-
бражения). Данная уязвимость была устранена в Word-

---