ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
podmiana treści strony (defacement)
Atak polegający na jawnym zastąpieniu wyglądu lub treści strony komunikatem napastnika, nastawiony na rozgłos i kompromitację właściciela, a nie na pozostanie w ukryciu.
TAB. 1Nazwaobie formy
| Po angielsku | defacement |
|---|---|
| Po polsku | podmiana treści strony (defacement) |
| Którą formą pisać | obie formy Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski. |
| Inne formy | podmiana strony · podmiana wyglądu strony · zmiana treści strony przez napastnika |
| Odmiana | ten defacement, tego defacementu, o defacemencie; skrócone: ten deface, tego deface'u; czasownik: podmienić stronę, strona podmieniona |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | czasownikowo w tytułach: „podmienili kilkanaście polskich stron WWW", „Strona… podmieniona" (niebezpiecznik); fachowo: „atak deface", „defacement" (sekurak) |
|---|---|
| Urząd i ustawa | bez terminu, opisowo: „umieszczają na niej plik z komunikatem o włamaniu lub zmieniają wygląd strony głównej" (CERT Polska) |
TAB. 3Źródła5
| Forma | Cytat | Skąd |
|---|---|---|
| EN | „Wczoraj doszło do ciekawego ataku deface.” | niebezpiecznik.pl |
| PL | „Ukrańscy (?) „Anonimowi” podmienili kilkanaście polskich stron WWW” | niebezpiecznik.pl |
| PL | „Strona piłkarza Roberta Lewandowskiego podmieniona” | niebezpiecznik.pl |
| PL | „Atakujący po przejęciu dostępu do strony internetowej umieszczają na niej plik z komunikatem o włamaniu lub zmieniają wygląd strony głównej” | wiedza.cert.pl |
| EN | „Hot: truecrypt hacked / trojaned / defacement ?” | sekurak.pl |
TAB. 4Obok w tej dziedzinie6
| piracka wtyczka (nulled plugin) | nulled plugin | Płatna wtyczka lub motyw rozpowszechniany za darmo z usuniętą kontrolą licencji, często z celowo doklejonym backdoorem, który daje napastnikowi dostęp do strony od pierwszego dnia. |
| podatność w motywie | theme vulnerability | Błąd bezpieczeństwa w kodzie motywu (szablonu) WordPressa lub w bibliotece dołączonej do motywu, wykorzystywany do przejęcia strony — groźny zwłaszcza w motywach kupowanych na giełdach szablonów, rzadko aktualizowanych, oraz w motywach nieaktywnych, które pozostają na serwerze i nadal zawierają podatny kod. |
| podatność we wtyczce | plugin vulnerability | Błąd bezpieczeństwa w kodzie wtyczki WordPressa, pozwalający napastnikowi na działania niedostępne dla zwykłego użytkownika (wgranie pliku, zmianę treści, przejęcie konta). Wtyczki odpowiadają za zdecydowaną większość publikowanych podatności ekosystemu WordPressa i są — obok słabych i wykradzionych haseł — jednym z głównych wektorów przejmowania stron. |
| porzucona wtyczka | abandoned plugin | Wtyczka, której autor przestał rozwijać i łatać, przez co znane w niej podatności pozostają nienaprawione, mimo że wtyczka nadal działa na stronie. |
| prefiks tabel | database table prefix (changing wp_) | Przedrostek nazw tabel bazy danych WordPressa ustawiany w wp-config.php zmienną $table_prefix (domyślnie wp_, np. wp_users). Zmiana na nietypowy utrudnia gotowym exploitom SQL injection zgadywanie nazw tabel, ale nie usuwa samej luki; na działającej stronie wymaga zmiany nazw tabel i wpisów w wp_options oraz wp_usermeta. |
| role i uprawnienia użytkowników | user roles and capabilities (WordPress) | System WordPressa przypisujący każdemu kontu rolę (Administrator, Redaktor, Autor, Współpracownik, Subskrybent; w sieci witryn także Super administrator), a roli zestaw uprawnień (capabilities), np. edit_posts, install_plugins. Z punktu widzenia bezpieczeństwa: jak najmniej kont z rolą Administrator, a luki we wtyczkach dostępne „dla subskrybenta” są groźne, gdy rejestracja jest otwarta. |