攻击者正在使用Eval PHP，一个过时的WordPress插件，通过注入隐蔽的后门来破坏网站。
Eval PHP是一个废弃的WordPress插件，它允许网站管理员在WordPress网站的页面和文章中嵌入PHP代码，然后在浏览器中打开页面时执行该代码。
该插件在过去十年中没有更新，被默认为是废弃软件，但它仍然可以通过WordPress的插件库下载。
据网站安全公司SucURI称，使用Eval PHP在WordPress页面上嵌入恶意代码的迹象在2023年4月激增，现在WordPress插件平均每天有4000个恶意安装。
与传统的后门注入相比，这种方法的主要优点是，Eval PHP可以被重新使用，以重新感染被清理过的网站，而且相对隐蔽。
隐蔽的数据库注入
在过去几周检测到的PHP代码注入为攻击者提供了一个后门，使攻击者对被攻击的网站具有远程代码执行能力。
恶意代码被注入到目标网站的数据库中，特别是 “wp_posts “表中。这使得它更难被发现，因为它逃避了标准的网站安全措施，如文件完整性监控、 服务器 端扫描等。
为了做到这一点，攻击者使用一个被破坏的或新创建的管理员账户来安装Eval PHP，允许他们使用[evalphp]短代码将PHP代码插入被破坏网站的页面中。
一旦代码运行，则将后门（3e9c0ca6bbe9.php）放置在网站根部。后门的名称在不同的攻击中可能有所不同。
恶意的Eval PHP插件安装是由以下IP地址触发的：
该后门不使用POST请求进行C2通信以逃避检测，相反，它通过cookies和GET请求传递数据，没有可见参数。
Sucuri强调有必要将旧的和未维护的插件除名，因为威胁者很容易滥用这些插件来达到恶意目的，并指出Eval PHP并不是唯一有风险的插件。
在WordPress插件库删除该插件之前，建议网站调整他们的管理面板，保持他们的WordPress安装是最新版本，并使用Web应用防火墙。
电脑漏洞是怎么一回事？
漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。 具体举例来说，比如在Intel Pentium芯片中存在的逻辑错误，在Sendmail早期版本中的编程错误，在NFS协议中认证方式上的弱点，在Unix系统管理员设置匿名Ftp服务时配置不当的问题都可能被攻击者使用，威胁到系统的安全。 因而这些都可以认为是系统中存在的安全漏洞。
在node.js领域中哪一个框架用来架构API比较好
程序 or 框架？程序是已经成型的应用，你需要的是为它搭建环境、添加配置，然后就可以运行起来；框架则是应用的骨架，你需要为它添加数据模型、业务逻辑，它才能成为应用，开始提供服务。 事实上，对于Web开发来说，程序和框架的区别正越来越模糊，比如几乎妇孺皆知的Wordpress，它是一个博客程序，但它丰富的插件以及高度的 自定义能够支持很大程度上的二次开发，在这点上它比起一些PHP框架也并不逊色。 我个人认为，如果重心在于提供服务而不是掌握技术，有WordPress 这样的程序是没有必要使用框架的。 可惜的是，由于Nodejs还很年轻，目前还没有WordPress这样的程序，因此目前在开发里，如果想做出自己想要的作品，框架是必然的选择。 如果是某些特定类型的应用，可以尝试一些开源的程序，比如要用Nodejs做博客，有Hexo、Ghost等。 回到顶部 Web框架有哪些？里的Web框架分为API框架和Web应用框架。 前者能够开发出RESTful的API，后者也能开发出RESTful API，但还包括模板、渲染等为前端所准备的功能。 API框架的使用场景是为跨平台应用提供统一的数据模型，而渲染由前端/客户端自行解决。 目前比较知名的API框架有restify（文档、Github、NPM）（官网、Github、NPM）LoopBack（官网、Github、NPM）Frisby（官网、Github、NPM）（官网、Github、NPM）Web应用框架顾名思义，就是为了打造Web应用所开发的框架。 这里有两种风格的Web应用框架。 一个是Sinatra风格，另一个是Rails风格。 Sinatra和Rails都是Ruby语言的Web框架，后者的影响力更大也更为知名。 这里简单的解释一下两种风格是什么意思。 Sinatra风格是指高度可配置，注重开发的自由度。 代表性的Nodejs Web框架有：Express（官网、Github、NPM）TJ大神开发，官方推荐 hapi（官网、Github、NPM）（官网、Github、NPM）flaliron（官网、Github、NPM）（官网、Github、NPM）locomotive（官网、Github、NPM）Rails风格则是指不重复自己和约定优于配置，以及严格遵循MVC结构开发。 代表性的框架有（官网、Github、NPM）geddy（官网、Github、NPM）CompoundJS（官网、Github、NPM） 原railswayjs这两种风格无所谓谁优谁劣，全凭使用者的偏好。 而在这两种Web框架之外，还有更大型的框架，即全栈框架，其中的代表是MEAN。 回到顶部MEAN？MEAN指mongoDB+Express++，这一组合包括运行环境、数据库、Web框架和前端引擎。 被称为 全栈框架（Full-stack framework）。 这其中除了之外，每一个都是可替换的，目标是创建从前端到后端，全部使用javaScript的Web应用。 由于这一框架的完善性，有人将其称为LAMP的接班人。 LAMP即PHP的典型运行环境，Linux+Apache+MySql+PHP，被大量的用于各种虚拟主机上。 MEAN看似庞大，但事实上要构建完整的现代化Web应用，特别是SPA（单页面应用），这几个组件都是难以缺少的，并且，其中每一项几乎都是目前 情况下的最佳选择，因此用于学习和重头开始打造新的Web应用是非常合适的。 但由于实际业务的独特性，很可能要替换其中的组件，比如用Mysql来替换 MongoDB，因此，学习其中的原理和架构，打造自己的类MEAN框架也是一种选择。 作为个人和小团队来说，全栈框架MEAN基本上足够了，但目前大多数全栈框架还包含一项特性，那就是实时，拥有实时功能的框架我们又称为实时框架。 回到顶部实时框架好吗？实时框架（Real-time framework）指包含了webSocket的双向通信功能，能够在服务器和客户端做到实时通信的框架。 服务端和客户端自由通信的需求一直都在，但由于HTTP协议本身的局限性，因此催生了Comet等变通的方法，但即使这样也离实时相距甚远。 而当 兴起后，另一个HTML5技术webSocket也渐渐成熟，人们突然发现，实时通信一下子变得触手可及，于是webSocket技术在 中得到大量的应用，其中最为知名的模块就是，而各种全栈框架也纷纷加入实时特性来应对更广阔的开发需求。 目前有代表性的实时框架有：Meteor（官网、Github、NPM）（官网、Github、NPM）Derby（官网、Github、NPM）SocketStream（官网、Github、NPM）不过说实话，目前能看到的实时通信的应用场景其实不多，其中大多集中于聊天室、to-do、实时图表、在线游戏等领域。 其他领域使用实时特性不但没必要，而且是对服务器资源的浪费。 因此目前是否要采用实时框架，要看具体的项目而定。 以上基本就是 Web框架的现状了，相信看到这里，对于选择何种框架读者已经心里有数了吧。 最后再介绍一个容易搞混的概念，和解释一下我的选择。 回到顶部YEOMAN？第一次见到这个词，我还以为它和MEAN有什么联系。 事实上，它们是截然不同的两个东西。 YEOMAN由YO（脚手架）、grunt（构建工具）、bower（包管理器），它代表的是一种工作流，与框架开发的思维方式完全不同。 具体的介绍可见这里。 YEOMAN能够和框架达到类似的目的，都是为构建一个Web应用做好准备，但是要不要采用YEOMAN，则是见仁见智。 我个人的看法是，学习 YEOMAN本身就需要不少时间，并且有一定的学习门槛。 至少在目前，使用框架开发还是相对经济的，而如果以后YEOMAN这种模式推广开来，再来学习也 不迟，更何况有一定的项目经验之后再来学习YEOMAN要轻松很多。 事实上，我还是很认可YEOMAN这种Generator+package Manager的模式的，这是因为本身崇尚微模块的 概念，即无论是多么小的功能，都将它们模块化，甚至大的模块也要拆分成小的模块，然后通过搭积木的方式来构建应用。 这样能够彻底的解耦，对于不容易调试的 Javascript来说，也有助于定位和修复应用中的问题。 Generator就是这种理念催生下的产物，通过选择不同的配置和选项，将积木搭起来。 不 过对于这种模式目前大家也还处于实验当中，不急于进行实际应用。 回到顶部为什么我选择了Hackathon Starter？在我的个人项目中，使用的是Hackathon Starter，一个 Web应用脚手架。 我使用它的原因是，要求高度可配置，同时又讨厌写一些配置的代码，因此它对于我来说是很好的选择。 一些全栈框架对我来说，封装过多，将原生的 /Express API隐藏掉了，要使用还需要一定的学习成本。 而Express这样的框架又太过简洁，在实际的项目中使用还需要大量的插件和配置，而这些在 Hackathon Starter中都已经帮我们做好了，同时还有一些示例代码以供学习，对于新人来说非常友好，可以避免过多的挫折感。
ASP与PHP的区别
PHP PHP（Hypertext Preprocessor）是一种嵌入HTML页面中的脚本语言。 它大量地借用C和Perl语言的语法，并结合PHP自己的特性，使Web开发者能够快速地写出动态产生页面。 PHP是完全免费的开源产品，不用花钱，Apache和MYSQL也是用样免费开源，在国外非常流行，PHP和MYSQL搭配使用，可以非常快速的搭建一套不错的动态网站系统，因此国外大多数主机系统都配有免费的APACHE＋PHP＋MYSQL。 通常认为这种搭配的执行效率比IIS＋ASP＋ACCESS要高，而后者的使用还必须另外交钱给微软。 PHP的语法和Perl很相似，但是PHP所包含的函数却远远多于Perl，PHP没有命名空间，编程时候必须努力避免模块的名称冲突。 一个开源的语言虽然需要简单的语法和丰富的函数，但PHP内部结构的天生缺陷导致了PHP不适合于编写比中小型业余网站更大的网站。 PHP开发的成功案例： MediaWiki — 著名的维基百科（Wiki）程序，如此庞大的条目居然只用PHP＋MYSQL就能够支持，真是不可思议。 WordPress — 著名的Blog系统，功能上丝毫不输于Movable Type，不少用户都纷纷从Movable Type转移到了WordPress。 结论：PHP语法简单，非常易学易用，很利于快速开发各种功能不同的定制网站，PHP因为结构上的缺陷，使的PHP在复杂的大型项目上的开发和维护都比较困难。 ASP ASP（Active Server Pages）微软的Windows IIS系统自带的脚本语言，利用它可以执行动态的Web服务应用程序。 ASP的语法非常类似Visual BASIC，学过VB的人可以很快上手，ASP也是这几种脚本语言中最简单易学的开发语言。 但ASP也是这几种语言中唯一的一个不能很好支持跨平台的语言。 因为ASP脚本语言非常简单，因此其代码也简单易懂，结合HTML代码，可快速地完成网站的应用程序。 ASP在国内异常流行，因为国内大多使用的是盗版的Windows和盗版的SQLServer，而ASP＋COM＋SQLServer实际上也是一种不错的搭配，其性能也不输于PHP+MYSQL，特别是Windows系统和SQLServer都有图形界面，比APACHE和MYSQL易于维护，因此对于不重视知识产权的国家来说也是一种不错的选择。 不过，正因为ASP很简单，所以单纯使用ASP所能完成的功能也是有限的，好在COM（Component Object model）技术拯救了ASP，微软提供了COM/DCOM技术，极大拓宽了ASP的应用范围，使得ASP几乎具有无限可扩充性。 结论：和PHP一样，ASP简单而易于维护，很适合小型网站应用，通过DCOM和MTS技术，ASP甚至还可以完成小规模的企业应用，但ASP的致命缺点就是不支持跨平台的系统，在大型项目开发和维护上非常困难。
发表评论