WordPress最流行的插件之一、網(wǎng)站流量實時統(tǒng)計插件WP-Slimstat被曝存在高危漏洞，影響全球100萬以上網(wǎng)站。

科普：了解WP-Slimstat

WP-Slimstat全稱為Wettable Powder Slimstat，是WordPress上最流行的網(wǎng)站流量實時統(tǒng)計插件。全球共有7000萬使用WordPress搭建的網(wǎng)站，其中有超過130萬使用了WP-Slimstat這款插件。

WP SlimStat 是一個功能非常強大的WordPress實時統(tǒng)計分析插件，功能眾多，而且有中文包，使用非常方便。其功能包括：

實時網(wǎng)絡(luò)分析報告
兼容W3 Total Cache 插件
靈活方便的管理界面(你可以自定義移動、隱藏模塊)
符合 歐洲隱私法 (IP Anonymizer)
最準確的IP地理位置、瀏覽器和平臺檢測
可以通過多個過濾器查看分析數(shù)據(jù)(IP地址、瀏覽器、搜索詞、用戶 和其他)
可以給特定用戶添加查看和管理的權(quán)限
平移和縮放JavaScript的世界地圖，支持移動設(shè)備

漏洞描述

所有3.9.6以前版本的WP-Slimstat都包含一個簡單可猜測的密鑰，這個密鑰被WP-Slimstat用來標記網(wǎng)站的訪問者。只要該密鑰被攻破，攻擊者可以通過SQL注入(盲注)攻擊目標網(wǎng)站以獲取敏感的數(shù)據(jù)庫信息，包括用戶名、密碼(hash)以及至關(guān)重要的wordpress安全密鑰。

WP-Slimstat密鑰僅僅是該插件安裝時的時間戳(MD5 hash版本號)，而諸如Internet Archive這種“網(wǎng)站時光機”可以幫助攻擊者更輕松地猜出插件安裝的時間。為此攻擊者需要付出3千萬次的猜解測試，而對于流行的CPU來說，這種量級的暴力破解只需要10分鐘。

安全專家建議所有使用這款流行插件的站長盡快進行升級。

消息來源：http://thehackernews.com/2015/02/wordpress-slimstat-plugin.html