分享我的生活
分享能使人快乐

wdcp的安全漏洞

如果一台服务器root权限被人拿了,这台服务器就不安全了。
当我们安装完成wdlinux。cn 提供的vps/服务器管理软件之后,访问该ip就会给我们提供默认的账号和密码,如下图
账号和密码就写在这个页面。
好我们进一步操作。
成功进入后台。
虽然有提示默认密码,需要修改,但是万一你给忘了……
之前的版本还有MYSQL 的root密码为空,升级版本之后好像处理掉了这个问题,或者我还没有启用数据库的原因,
wdcp提供了一个非常贴心的ssh登录管理,问题就出在这里了,你可以下载私钥,然后掌管了服务器的root权限。
我拿到了服务器的root 权限,基本上想做啥就做啥了。需要挂马就挂马,需要挂链接就挂链接。
上图,真的是不小心碰巧撞到了某公司没有及时改页面,我拿到了root权限。可惜,食之无味,弃之可惜。想使用但是不想让那边管理员知道,这样用起来又比较麻烦。2019.01.21拿到的root权限,到现在还没有发现,当然我没有做任何大动作。
安全建议:
1、如果使用的是wdcp这款软件,软件安装前请不要将任何域名解析到服务器ip。
2、安装完成之后,第一时间将默认目录的默认index.html文件替换或者删除,其他文件替换或者隐藏。
3、安装完成立即更改wdcp账号和密码,如有需要,MYSQL的root密码也改一下。
4、如果上面前两个错误你都犯了,那么你这台服务器就可能暴露在互联网上了,root权限可能被人拿走了,请知悉。
对wdcp的建议:
1、默认ip的默认目录不要放后台入口、账号和密码,虽然对新手友好,但是对生成服务器却是一个不小的风险。
2、后台入口建议参考宝塔,随机链接入口,非此入口无法登陆。
3、账号密码不要固定,参考宝塔随机生成,减少撞库。撞默认账号密码。
4、ssh管理请添加私钥下载次数和私钥概述列表,方便查看ssh状况。

赞(0)
未经允许不得转载:RUBLOG-分享我的生活 » wdcp的安全漏洞

我想说 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址