WordPress是近年非常火熱，原因是簡單易用，而且發展漸趨成熟，即使業餘用戶都能夠簡單製作自己的網頁，亦有不少商戶用來設計公司網頁。不過，繼較日前Wordpress被發現存在安全漏洞之後，這次是偽裝成核心檔案的惡意程式，把盜取Cookie的惡意程式放入合法的JavaScript檔案。
運用安全漏洞作惡
根據研究人員發現，黑客利用註冊近似域名或騎劫網址的方式製作虛假網域名，如果用戶人手輸入網址時打錯字，就隨時墮入陷阱，而且虛假網站的設計，通常在外觀都與真實網站十分相似，用戶稍一不慎便會成為受害者。
不過今次的發現，黑客會放置惡意程式到合法的Wordpress底層JavaScript檔案之內，並把敏感資料（例如Cookie）重新導引到虛假的網站。研究人員認為，黑客就像使用Wordpress另一個漏洞展開攻擊一樣，現代攻擊並不會針對單一漏洞，他們會尋找複數已知的漏洞，然後測試當中的可能性。惡意程式會對網站取得的資料進行篩選，一發現是有價值的資料，例如用戶的cookie，便會執行指令把它傳送到指定的惡意網站，令資料可以被黑客所使用。
利用他人權限為所欲為
盜取cookie看以無傷大雅，其實黑客已經可以化身為被盜者，在該網站上擁有同等的權限，直至那些權限被撤銷為止（通常是因為長時間沒有活動而被撤銷）。網絡管理員方面，在進行保安檢查時需囡反檢查他們的編碼，確保他們沒有把cookie、密碼等敏感資料發送給第三者，如果需要收集和傳送資料到第三方，便要經常檢查傳送的網域名稱是否合法。
資料來源：threatpost
