{"id":27028,"date":"2018-09-07T11:52:37","date_gmt":"2018-09-07T09:52:37","guid":{"rendered":"https:\/\/www.hostinet.com\/formacion\/?p=27028"},"modified":"2018-09-07T11:53:35","modified_gmt":"2018-09-07T09:53:35","slug":"problema-de-seguridad-en-el-plugin-de-wordpress-duplicator","status":"publish","type":"post","link":"https:\/\/www.hostinet.com\/formacion\/wordpress\/problema-de-seguridad-en-el-plugin-de-wordpress-duplicator\/","title":{"rendered":"Problema de Seguridad en el Plugin de WordPress Duplicator"},"content":{"rendered":"
<\/div>

\n\t\"Problema\n<\/p>\n

\n\tDuplicator<\/a><\/strong> es uno de los plugins más utilizados en WordPress<\/strong>, con más de 1 millón de instalaciones activas en el momento de escribir este artículo.\n<\/p>\n

\n\tEs un plugin que puede utilizarse para realizar copias de seguridad<\/strong>, clonar y es una herramienta muy útil para realizar migraciones de WordPress de un servidor a otro<\/strong>.\n<\/p>\n

\n\tEs realmente sencillo de usar<\/strong> y su versión gratuita es suficiente para la mayoría de los usuarios, aunque también disponen de una versión PRO para usuarios que necesiten de más características.\n<\/p>\n

\n\t\"plugin\n<\/p>\n

\n\tSe ha detectado una vulnerabilidad que que afecta a todas las versiones anteriores a 1.2.42 que hay que tener en cuenta, ya que un atacante puede aprovecharla para ejecutar código remoto<\/strong> y hacerse con el control de WordPress<\/strong>, instalar malware o simplemente dejarlo sin conexión.
\n\t \n<\/p>\n

\n\tCómo Funciona Duplicator
\n<\/h2>\n

\n\tEl funcionamiento del plugin Duplicator<\/strong> es muy sencillo, las copias de seguridad que realiza se basan en un archivo .zip<\/strong>, que contiene todos los archivos, como todos los backups, y un archivo .php<\/strong> que sirve de instalador<\/em> del backup.\n<\/p>\n

\n\tEntonces, bien sea para restaurar un sitio web o para migrarlo a otro servidor, hay que subir los dos archivos al hosting y luego hacer una llamada al archivo PHP desde cualquier navegador:\n<\/p>\n

\r\nhttp:\/\/www.dominio.tld\/installer.php\r\n<\/code><\/pre>\n
\n\tDe esta forma, Duplicator es capaz de instalar nuestro WordPress directamente<\/strong>, aunque nos preguntará los datos de la base de datos, que no se nos olvide.\n<\/p>\n
\n\tAl final resulta un método muy sencillo de usar, por eso este plugin es tan popular, pero existe un problema de seguridad si dejamos los archivos que hemos subido, el .zip y el .php<\/strong>, en nuestro alojamiento.\n<\/p>\n
\n\tDe hecho, al finalizar la migración, Duplicator no se cansa de advertirnos que eliminemos los archivos<\/strong>, pero muchos usuarios no hacen caso de estos avisos.\n<\/p>\n
\n\t\"aviso\n<\/p>\n
\n\tDe hecho lo pone bastante fácil, añade un enlace en el aviso con el que no lleva directamente a la sección del plugin desde donde se pueden eliminar los archivos.\n<\/p>\n
\n\t\"archivos\n<\/p>\n
\n\tTambién avisa que es recomendable eliminar el archivo .zip con los datos, aunque en principio no supondría ningún riesgo…\n<\/p>\n
\r\nFichero de Archivos: el archivo de almacenamiento tiene un nombre hash único cuando se descarga.\r\nDejar el archivo en su servidor no impone un riesgo de seguridad si el archivo no fue\r\nrenombrado. Todavía se recomienda eliminar el archivo de almacenamiento\r\ndespués de la instalación, especialmente si se renombró.\r\n<\/code><\/pre>\n
\n\tEl cual podemos eliminar desde el Administrador de Archivos<\/strong> de nuestro cPanel. Primero por seguridad y segundo para no ocupar espacio en disco.\n<\/p>\n
\n\t\"eliminar\n<\/p>\n
\n\tLos chicos de Wordfence han estado detectando una serie de ataques maliciosos buscando los archivos generados por Duplicator, installer.php y installer-backup.php<\/strong>.\n<\/p>\n
\n\tEn las versiones anteriores 1.2.42, los atacantes podían evitar la seguridad<\/strong> del instalador utilizado por Duplicator, teniendo acceso al archivo wp-config.php<\/strong> y pudiendo inyectar el código malicioso que quiera.\n<\/p>\n
\n\tEn la nueva versión de Duplicator, se han añadido medidas de seguridad<\/strong> para evitar que un atacante use estos archivos de forma maliciosa y han añadido la posibilidad de proteger con contraseña los archivos de instalación.\n<\/p>\n
\n\t \n<\/p>\n
\n\tQué debo Hacer si uso Duplicator en WordPress
\n<\/h2>\n
\n\tBueno, hay que tener en cuenta que el problema viene al restaurar o migrar<\/strong> una web con Duplicator.\n<\/p>\n
\n\tSi se han efectuado copias de seguridad pero esas se han descargado y no se han usado nunca para restaurar o migrar una web, no debería ocurrir ningún problema<\/strong>.\n<\/p>\n
\n\tSi se ha utilizado alguna vez duplicator para restaurar o migrar la web, hay que comprobar si los archivos installer.php y installer-backup.php<\/strong> siguen en nuestro alojamiento.\n<\/p>\n
\n\tEl propio plugin nos lo indicará como hemos visto, pero no está de más revisar la carpeta de public_html<\/strong> de nuestro hosting por si acaso no lo eliminados.\n<\/p>\n
\n\t \n<\/p>\n
\n\tEl parche de Duplicator ayuda a mitigar el problema, pero un atacante puede volver a lanzar el instalador con datos falsos y tumbar WordPress<\/strong>, aunque en este caso no sería capaz de inyectar código malicioso.\n<\/p>\n
\n\tEn cualquier caso, hay que eliminar los archivos que genera Duplicator<\/strong> al migrar o restaurar la web para evitar cualquier problema, hay que tenerlo en cuenta.\n<\/p>\n