CVE-2014-9034是由于哈希数中的长密码处理不当造成的,可造成远程攻击者对Wordpress4.0及以下版本网站发动Dos攻击。该漏洞发布已有一段时间,但目前来看这一问题并没有得到很好的解决。

Searchspoit的使用 

Searchspoit是一款在kali linux中用以发现各种exploit的脚本工具,可配合MetaSploit使用,非常好用。

\

\

如果你想要搜索其他的,输入“-h”显示帮助菜单,可以帮助你找到更多的漏洞。

\

\

Searchsploi查找到的文件位于/usr/share/exploitdb/,你需要将文件复制到主目录或者类似的地方。

\

运行exploit

运行过程中可能需要一些PHP命令,下面的或许可以帮到你。

\

当我第一次试图运行这个exp时,我收到的是一个错误回复。

\

这是因为我的kali丢失了php5-curl的包,所以我需要重新安装它。

\

再次运行该exploit。

\

\

现在我们来看一下服务器端是什么样子的?

\

HTTPD前后状态对比

\

\

通过Munin监视器的显示,我得到了大量峰值。

\

\

\

如何防御这种攻击?1. 最好的方式是在wp-admin中对特定的IP进行限制。2. 对每个连接的IP进行节流。3. 使用WAF。4. 编写自己的ModSecurity代码在Apache或者其他的服务器中。5. 保持wordpress的更新。Searchspoit下载点我(毕竟它在墙外)

[参考来源 blackmoreops ,译/Change,转载请注明来自Freebuf黑客与极客(FreeBuf.COM)]