Information Security : How to DoS 29% of the World Wide Websites - CVE-2018-6389
▻https://baraktawily.blogspot.fr/2018/02/how-to-dos-29-of-world-wide-websites.html
et hop ! encore une vulnérabilité de Wordpress rendue publique sans qu’il y ait de correctif officiel ! (avec y compris le script python « qui va bien » pour réaliser le DDOS...)
Voir aussi : le patch officieux (script bash modifiant les fichiers en cause) : ▻https://github.com/Quitten/WordPress/blob/master/wp-dos-patch.sh
▻https://www.nextinpact.com/brief/une---faille---rendrait-wordpress-vulnerable-a-une-attaque-dos-2519.htm
Où on peut lire la réponse de la team WP en français, grosso merdo, c’est pas notre problème :p
Ce genre de chose devrait vraiment être réglé au niveau du serveur ou du réseau plutôt qu’au niveau de l’application, hors du contrôle de WordPress.
Les commentaires de l’article sont juste parfaits pour argumenter face à une personne qui balance que XXXX c’est pourrite car WP c’est bien mieux :p
C’est surtout la réponse de l’équipe Wordpress qui fait peur.
claro...
J’ai lâché l’affaire il y a longtemps, mais même récemment pour migrer une instance d’un domaine à l’autre fallait faire du search & replace dans le fichier de dump SQL. Ah, certaines configurations étaient sérialisées en PHP et donc ça a foutu la merde ? MAIS WTF ?!
Pas mieux, je l’ai découvert dernièrement. Avant je disais aux gens que s’il n’avaient pas le bon goût de faire leur site avec SPIP, qu’ils le fassent avec WP, et bien depuis que j’ai découvert ce truc énorme, je me garde bien de recommander WP.
Need un système qui dissocie les maj de sécurité avec les maj core
Je connais un truc sympa qui se nomme l’écran de sécurité :)
Mais en vérité le vrai problème de wordpress c’est que sans plugin on ne peu quasiment rien faire avec... Par exemple il est toujours pas possible d’avoir un système multilingue natif alors qu’on est en 2018. A contrario si l’équipe intègre un outil officiel les développeurs tiers vont chouiner car il est de plus en plus admis de devoir payer pour avoir certains bon plugins.
Je connais un autre truc sympa qui gère très bien le multilinguisme par défaut, et dont l’équipe de dev ne se retreint aucunement dans l’ajout de fonctionnalité (et surtout la maintenance de l’existant) pour ne pas « faire chouiner les devs tiers » :D
#spip_blog ou pas ? ^^
hé hé ! toi aussi tu es passé par la case « rechercher / remplacer » dans le dump SQL pour t’en sortir lorsqu’on t’a refilé un Wordpress développé en local à héberger sur ton serveur ?
Ouè, j’ai du aller piocher parmi les X modules dispo pour ça, faire mon tri et au final j’ai utilisé ce script ▻https://github.com/interconnectit/Search-Replace-DB
▻https://standfirst-interconnectit-production.imgix.net/content/uploads/2011/05/17162008/SRDB_v3_1_0.png?auto=compress,enhance,format&crop=faces,entropy,edges&fit=crop&w=680&h=1271
On utilise cette solution (SR) depuis plusieurs années en particulier pour notre service d’hébergement avec bac à sable. Nos scripts de mise à jour du bac à sable opèrent de la sorte. :-)
With 9999 parallel requests (like in your example) you can DoS any misconfigured server, even simple PHP file with echo ’Hello world’: if the server uses Apache + prefork, this will exhaust RAM on forks, if this is php-fpm, this will make all workers busy.