在数字时代，网站的安全性问题越发严重，各类黑客攻击层出不穷。其中，WordPress 由于其广受欢迎而成为黑客攻击的主要目标之一。近期的一项调查显示，黑客们愈发倾向于利用 WordPress 的 mu-Plugins 目录来隐藏恶意代码，以实现持续的远程访问并将网站访客重定向至恶意网站。今天，我们就来深入了解这一现象，以及作为网站管理员的你如何防范这些威胁。
首先，mu-Plugins 是指 WordPress 站点中特殊的插件目录，位于 wp-content/mu-plugins 中，这里的插件会被 WordPress 在启动时自动运行，而无需用户在管理后台中手动启用。这种机制使得 mu-Plugins 目录成为黑客隐蔽恶意软件的理想之地，正如网络安全研究人员 Sucuri 的 Puja Srivastava 所指出的，这一情况令人堪忧，因为 mu-Plugins 通常不在标准 WordPress 插件界面中列出，导致网站管理员在常规安全检查中容易忽视这一目录。
在这次分析中，网络安全公司发现了三种不同形式的恶意 PHP 代码在 mu-Plugins 目录中被隐蔽存放。首先，redirect.php 脚本会将网站访客重定向到外部恶意网站，此外，index.php 提供了类似 Web Shell 的功能，允许攻击者通过下载远程 PHP 脚本来执行任意代码。而 custom-js-loader.php 则会向网站注入垃圾邮件，可能旨在操控搜索引擎优化（SEO）排名，甚至将所有网站图像替换为不良内容，并劫持外链到恶意网站。
这些恶意代码的流行应用不仅给网站安全带来了巨大隐患，也为黑客提供了新的攻击路径。例如，redirect.php 脚本伪装成浏览器更新，试图欺骗用户安装恶意软件，这些软件可能会窃取用户的数据或注入其他恶意负载。更为复杂的是，其中还包含了一种能够识别访客是否为机器人的功能，帮助脚本避免搜索引擎的爬虫，从而掩盖其重定向行为。
随着这种趋势的加剧，黑客们还在利用被感染的 WordPress 网站作为跳板，以诱骗网站访客在 Windows 计算机上运行恶意 PowerShell 命令，这种行为被称为 ClickFix，并会传播 Lumma Stealer 恶意软件。此外，黑客们还会部署恶意 JavaScript，重定向访客到不必要的第三方网站，或充当窃取财务信息的工具。
当前并不清楚这些网站是如何被攻陷的，但常见的原因包括易受攻击的插件或主题、被劫持的管理员凭证以及服务器配置错误。这使得 WordPress 网站的安全问题显得尤为复杂，因此对这些潜在威胁的深入分析显得至关重要。
据最新报告显示，威胁行为者自今年年初以来已持续利用四种不同的 WordPress 插件安全漏洞，其中包括 CVE-2024-27956、CVE-2024-25600、CVE-2024-8353 和 CVE-2024-4345，这四个漏洞评分均达到 9.9 或 10.0，显示出其严重性。
为了降低这些威胁带来的风险，WordPress 网站所有者应定期更新插件和主题，对代码进行审计，以检测恶意软件的存在，同时强制推行强密码策略并部署 Web 应用防火墙，来拦截恶意请求并防止代码注入。
总之，随着技术的发展，黑客的手段仍在不断演变。作为网站管理员，我们需要保持警惕，采取切实有效的措施以确保我们的 WordPress 站点免受攻击。同时，也希望此文能够帮助更多人了解当前 WordPress 安全威胁的现实，增强对此类问题的认知和防范能力。
