23/09/2026 Eoran ⏱️ 6 min Linux ir ogninis kodas Kūrimas Atnaujinta 02/10/2026

Mano blogas buvo nulaužtas, ir tai gera žinia

0 komentaras(-ai)

Tai jau kelių mėnesių, kai mano blogas nepateikia naujų pranešimų.

Tiesą sakant, ramiai valgiau ledų žiūrėdamas Simpsonus, kai gavau el. laišką iš WordPress:

Text

1
2	`Quelqu’un a demandé la réinitialisation du mot de passe pour le compte suivant :`
3
4	`Titre du site : Stunivers`
5
6	`Identifiant : [nom du compte admin ici]`
7
8	`Si ceci est une erreur, ignorez cet e-mail et rien ne se passera.`
9
10	`Pour renouveler votre mot de passe, cliquez sur le lien suivant :`
11
12	`> lien de réinitialisation ici`
13
14	`Cette demande de réinitialisation de mot de passe provient de l’adresse IP xxx.xxx.xxx.xxx .`
15

1. Pirmosios informacijos

Ištirta, kad nulaužimo autoriui tikriausiai nepabūtų reikalingas paslėptis ir kad jis būtų dalyviais automatinio interneto skenavimo proceso.

Pateiktos IP adresai buvo paminėti daug kartų mano blogo žurnalais, visai 17 karta.

Pradžia yra Indija, o miestas – Delhi.

Manau, kad pagal šią informaciją neturėtume būti įsitikinę, jog tai tikrai nėra pastovus lokacinis rodymas, nors jis nepakankamas mums padėti.

Skubiausiai, įkrautojas naudojo seną versiją Google Chrome, kurios neturėta atnaujintos Windows 10 sistema ir veikė iš VPS.

Kaip teigti, aš visiškai nesu pasitikėjęs šia situacija.

2. Pasekmės

Ateikti į produkcijos aplanką su mano identifikacine informacija buvo beveiki nepasiekiamas. Iš visų logų ir mūsų paslaugų teikėjo ataskaitų, neseniai vykdytose veiksmuose blogoje, nėra pateikta jokios svarbios informacijos išleidimo.

3. Ką buvo padaryta siekiant saugumo

Mano blogas neturi didelės reikšmės internete, tik trys apsilankymai per metus, labai gerai!

Tačiau tai nereiškia, kad automatinių nulaužimo kampanijų nebus jokių pasekmės, tai tikrai yra tas atvejis.

Todėl, nors buvo minimaliųjų apsaugų, mano internetinės svetainės paslaugos tarnyba jau turėjo įgyvendintas kelias saugumo priemones, tokius kaip susirūpinimo veiklos detekcija ir kt. Tai suteikė galimybę iškraipti daugelio automatinių botų (ir jų yra didžiulis kiekis, jei naudojate WordPress).

Aš taip pat užtikrino, kad WP-admin prisijungimo nuoroda būtų keičiama, siekiant sumažinti nusikalstamą veiklą.

Mano blogas buvo atnaujintas rankiniu būdu, nes aš turiu atnaujinimo srautą!

Tačiau matyti, kad šis srautas ... veikė tik kai kuriose versijose, o kitose – ne.

Bet jis irgi nepasiekė klaidų, todėl aš neturėjau blogų apie įvykius, nes nieko negavau el. pašte.

Ir tai yra viskas mano faulio, aš galiu atsakomybę už tai imtis tik savimi.

4. Ką naudojo įsilaužėlis

Įkrautas naudojo šią CVE:

CVE-2026-19632 — TranslatePress

Ir tai yra mano pluginas, kurį aš naudoju norėdami išversti svetainę, ir jis užkelia problemų iki versijos 3.3.1.

Ši klaida leido neautorizuotojams gauti administratoriaus slaptažodžio atstatymo nuorodą, o tada naudoti ji naujai nustatytame slaptažodžiu ir užėmę administratoriaus paskyrą.

Mekanizmas yra labai neįtikėtas: nulaužimas pradėjo atstatymo procesą, o TranslatePress galėjo išsaugoti šią nuorodą savo vertimo duomenų bazėje.

Per viešai prieinamą AJAX užklausą jis gali gauti šį URL, įskaitant atstatymo klavišą.

Atakuoja ir tada gali keisti administratoriaus slaptažodį arba kaip gerai padaryti ...

5. Pilna pakeitimas vertimų sistema

Tiesa, žinau, kaip greita WordPress gali sukelti problemas, todėl aš užkoduju visus savo papildinius.

Visus, išskyrus TranslatePress, didelis darbas ...

TranslatePress papildinys yra labai įdomus dėl jo funkcijų, ir pritariu, kad aš buvau lenčiavimas.

Dėl to, pasirinkau šį papildinį, kad būtų nepakanka užkoduoti.

Taip pat sukurtą savo vertimo papildinį.

Ir tai užtruko laiko, nes detalės yra sunkios.

Pirma, norėjau perskaityti TranslatePress kodą, o vėliau suprasti dalykus, kurie man svarbūs ir interesavę.

Mano kodas nebaigtas joje, jis tik įspūdingas.

Viskas tai padaryta, kad būtų privatus.

6. Pakeitimas atnaujinimo grandinėje

Pirmą kartą blogą pradedant, aš to darydavau naudojantis savo interneto paslaugos įrankiais.

Tada turėjau tik el. pašto pranešimus.

Vėliau nusiinstalojo WordPress, kad išeitų iš sunkumų, kurie neturėtų blokoti jokią, bet mano blokavo man dalyką, apie kurį aš ir neprisimenu.

Tada nusprendžiau nepasiklysti naujinimo postrukse, o sukurti savo atnaujinimo tinklą.

Tai visai nėra tik git pull projekte.

Atnaudavau Cron ir WP-CLI su plugin update --all, be to, core update, bet ne theme update. Aš taip pat greitai sukurtą savo tema koduojau.

Nepamirškite patikrinti checksums naudojant wp core verify-checksums, ir bus gerai.

Dėl to, kad turėjau tik vieną išorinį pluginą, tai man atrodo puiku.

Tačiau, mano tinklas konkrečiai sugadino dėl nežymios klaidos, kuri sukūrė TranslatePress, kuris nesukurė naujinimų.

Ir čia aš viskas praradau.

Aš gerai planavojo gauti WP-CLI atsakymą, bet mano apdorojimo postrukse buvo pilksniai.

Visais atvejais, aš tinkamai traktuojau tik žinomą klaidą, kuria susidūrė jame testuose. Bet jeigu kitoks klaidos tipas įvyko, aš tik ji užfiksuojau ir tęsiau.

Taigi, kokia nors štai:

Bash

1
2	`output=$(wp plugin update --all 2>&1)`
3	`exit_code=$?`
4
5	`if [[ $exit_code -ne 0 ]]; then`
6	`if [[ "$output" == "Error: Download failedd." ]]; then`
7	`echo "An error occured"`
8	`log-mail "$output"`
9	`exit 1`
10	`else`
11	`log "$output"`
12	`exit 2`
13	`fi`
14	`fi`
15
16	`# Vamzdyno tęsinys`
17

Geras.

Pirmiausia, kodas yra puiku.

Bet daugiau, problema čia: aš traktuojau žinomą klaidą, o ne visų klaidų.

Todėl mano tinklas gali susidurti su problemomis pluginų atnaujinimo metu, užfiksuoti jas ir tada laiku, kad viskas gerai.

Ir nesukurė jokio pranešimo šiuo atveju, aš tikrai neturiu jokių el. pašto pranešimų.

Aš tikėjosi, kad mano atnaujinimai veikia.

Jie neveikė.

Taip, WordPress taip pat nepasiekė atnaujinimo, viskas liko užsiblokuota dėl mano kodinio netinkamo valdymo.

Būtinas trakumas yra tas, kad ši klaida iškilo iš mano testavimo.

Apskaičiau specialią sąlygą, kurios mane interesavo tuo metu, ir jis veikė. Aš buvau patenkintas ir įvedžiau tos funkcijos produktyva be pakankamo kitų atvejų testavimo, nepastebėję viso skripto.

Aš tikrai buvau per daug užsiilęs, kad būčiau gana pažangus ir išleistum čia.

Ir kelių mėnesių vėliau aš susidūrė su trukdingu pluginu, kuris neturėjo atnaujinimo, nors aš pats parašiau visą pipeline'ą, kad būtų išvengta tokių situacijų.

Puiku.

6.1. Ką aš pakeitėjau

Visų pirma, aš paaiškinau savo klaidą.

Bet aš nesukurė trijų eilučių, kad būtų įtrauktas kasdienis TestPress.

Atnaujiniau, kaip mano pipeline'as valdo klaidas ir kokią operacijų tvarką jame atliekama.

Žr. šią paprastą ir pilnai pakeistą versiją, kad galėtumėte matyti, kaip aš tai suprantu:

Bash

1	`#!/bin/bash`
2
3	`set -o pipefail`
4
5	`SITE_DIR="/home/USER/www"`
6	`LOG_DIR="/home/USER/logs"`
7	`LOG_FILE="$LOG_DIR/update-$(date '+%Y-%m-%d').log"`
8
9	`MAIL_TO="admin@example.com"`
10	`SITE_NAME="Mon WordPress"`
11
12	`mkdir -p "$LOG_DIR"`
13
14	`# ============================================================`
15	`# LOG + MAIL`
16	`# ============================================================`
17
18	`log-mail() {`
19	`local text="$1"`
20	`local exit_code="$2"`
21	`local date`
22	`date="$(date '+%Y-%m-%d %H:%M:%S')"`
23
24	`echo "[$date] $text" >> "$LOG_FILE"`
25
26	`if [ "$exit_code" -eq 0 ]; then`
27	`printf '[%s] SUCCESS : %s\n' "$date" "$text"`
28	`printf '%s\n' "$text" \| mail \`
29	`-s "[OK] $SITE_NAME - Pipeline" \`
30	`"$MAIL_TO"`
31	`else`
32	`printf '[%s] ERROR : %s\n' "$date" "$text"`
33	`printf '%s\n' "$text" \| mail \`
34	`-s "[ERREUR] $SITE_NAME - Pipeline" \`
35	`"$MAIL_TO"`
36	`fi`
37	`}`
38
39
40	`# ============================================================`
41	`# EXECUTE A COMMAND`
42	`# ============================================================`
43
44	`run_step() {`
45	`local name="$1"`
46	`shift`
47
48	`echo ""`
49	`echo "=========================================="`
50	`echo "$name"`
51	`echo "=========================================="`
52
53	`local output`
54	`output=$("$@" 2>&1)`
55	`local exit_code=$?`
56
57	`echo "$output" >> "$LOG_FILE"`
58
59	`if [ "$exit_code" -ne 0 ]; then`
60	`log-mail "$name as failled :`
61
62	`$output" "$exit_code"`
63
64	`exit "$exit_code"`
65	`fi`
66
67	`log-mail "$name completed successfully :`
68
69	`$output" 0`
70	`}`
71
72
73	`# ============================================================`
74	`# INITIALISATION`
75	`# ============================================================`
76
77	`cd "$SITE_DIR" \|\| {`
78	`log-mail "Unable to accesss to $SITE_DIR" 1`
79	`exit 1`
80	`}`
81
82	`log-mail "Start the updating pipeline" 0`
83
84
85	`# ============================================================`
86	`# WORDPRESS - CORE`
87	`# ============================================================`
88
89	`run_step \`
90	`"Updating WordPress Core" \`
91	`wp core update`
92
93
94	`# ============================================================`
95	`# WORDPRESS - PLUGINS`
96	`# ============================================================`
97
98	`run_step \`
99	`"Updating WordPress Plugins" \`
100	`wp plugin update --all`
101
102
103	`# ============================================================`
104	`# WORDPRESS - THEMES`
105	`# ============================================================`
106
107	`run_step \`
108	`"Updating THEMES (i'm not using that but ..)" \`
109	`wp theme update --all`
110
111
112	`# ============================================================`
113	`# PHP - COMPOSER`
114	`# ============================================================`
115
116	`run_step \`
117	`"Updating Composer Dependencies" \`
118	`composer update --no-interaction --prefer-dist`
119
120
121	`# ============================================================`
122	`# NODE / REACT`
123	`# ============================================================`
124
125	`run_step \`
126	`"Updating Node Dependencies" \`
127	`npm ci`
128
129
130	`# ============================================================`
131	`# REACT - BUILD`
132	`# ============================================================`
133
134	`run_step \`
135	`"Build React" \`
136	`npm run build`
137
138
139	`# ============================================================`
140	`# FIN`
141	`# ============================================================`
142
143	`log-mail "Pipeline completed with success." 0`
144
145	`exit 0`

Vis dėlto, reikia prisiminti, kad klaida nėra kas nors, ką galiu tik įrašyti ir pamiršti.

Ir svarbiausia, jis turi būti galima testuoti ir patikrinti.

Aš aiškiai nepasinaudavau laiku šiuo atlikti ir netgi pamiršta apie tai grįžti, sujungdamas, kad jis yra žinomas, tačiau ignoruojant, kad esu per mažas, kad tokių problemų gali įvykti.

Taip pat aš išbandau savo kodą, o ne tik pasakyjau: