針對Wordpress遠程管理員重置密碼漏洞的修補程序

Question

此漏洞的存檔記錄爲here。這個補丁據說爲a 1-line replace，如here在分支/ 2.8/wp-login.php的第190行 - the new patch should look this (check line 118) - 我的問題是 - 這個補丁是否足夠？如果沒有，有什麼建議嗎？

Answer 1

據我所知，貼片封閉了那個特定的孔。但是，我管理的每個WP網站的另一個基本安全措施是刪除「admin」用戶，理想情況下永遠不會有任何用戶的用戶名與他們的顯示名稱相同。這使得安全性倍增，因爲壞人必須猜測用戶名，並找出破解密碼的方法。

有很多額外的安全措施，你可以通過做WordPress的+安全搜索找到，但我都堅持不斷變化的用戶名，在安裝改變數據庫表名和基本權限的東西。到目前爲止，這種方法運行良好，WP升級過程中沒有必要進行額外的維護，這是一些更爲強化的安全措施所要求的。

Answer 2

是的，這是一個很好的Wordpress漏洞補丁。

if (empty($key) || is_array($key)) 
    return new WP_Error('invalid_key', __('Invalid key')); 

這不是SQL注入，如果它是那麼你可以轉儲整個用戶的表。改變你的名字並不是一個很好的安全措施。讓代碼保持最新是您必須始終執行的操作，否則將被黑客入侵。