CSRF (Cross-site request forgery), doğrudan hacking yöntemi olmamasına karşın, sosyal mühendislik teknikleriyle harmanlanarak, kolaylıkla hack olayına dönüştürülebiliyor. WP CSRF koruması, kötü amaçlar için kullanılabiliyormuş. Bu açığı ve korunma yolunu buradan öğrenebilirsiniz.
Nasıl işliyor?
Sitenize koyduğunuz şu exploitin sayesinde, sayfanız arka planda (iframede), kurban sitenin wp-admin sayfasına yönleniyor ve admin hesabının email adresini ve şifresini, sizin belirlediğiniz email adresi ve şifre ile değiştiriyor.
Ne gerekiyor?
1- En önemlisi: Sosyal mühendislik yetenekleri
2- Default ayarlarla kurulmuÅŸ bir WP ve standart admin GUI template‘i
3- WP‘i olan ve bunda oturum açıp, sizin sayfanıza gelen kurban.
Nasıl Korunurum?
Resmi bir yama olmamasına karşın şu an için tek çözüm:
“../includes/functions.PHP” dosyasındaki wp_nonce_ays() fonksiyonunu aÅŸağıdaki fonksiyon ile deÄŸiÅŸtirmek.
-
function wp_nonce_ays($action) {
-
$title = __(‘WordPress Nonce Error ‘);
-
wp_die(‘WordPress Nonce Error’, $title);
-
}
Teşekkürler Ferruh 
