好像嫌WordPress站点攻击方法还不够多似的，名为巴拉克·塔维利的以色列研究人员公布了仅用一台计算机就可对WordPress站点发起拒绝服务(DoS)攻击的简单方法。互联网上WordPress网站占比多少呢？30%！

该攻击利用了CVE-2018-6389相关漏洞。CVE数据库并未给出该漏洞相关细节，仅标明“预留”以供日后使用。但是，2月5日，这名以色列安全研究员在其博客上公布了该漏洞的详细说明。

此漏洞可使黑客滥用WordPress load-scripts.php 功能，而该php本是供管理员或网站开发人员在服务器端将多个JavaScript文件组合成单个请求以提升网站性能的。

塔维利公布的DoS方法利用了其中两关键元素。首先，利用了load-scripts.php无需用户身份认证即可调用的特性——任何人均可调用。其次，load-scripts.php可接受名为‘load[]’的参数，而‘load[]’是一个数组，可指定需组合并加载的多个脚本。因为还被用于提升wp-login.php页面性能，该php也无需任何用户身份验证即可调用。

WordPress采用wp_scripts列表来存放全部181个脚本文件的路径，目的是让管理员或开发人员可在load[]参数中包含特定脚本的路径，根据用户提供的数值来提升性能。wp_scripts列表硬编码在script-loader.php文件里。

声明：本文来自安全牛，版权归作者所有。文章内容仅代表作者独立观点，不代表士冗科技立场，转载目的在于传递更多信息。如有侵权，请联系 service@expshell.com。