Peter+Sayer

编译 Charles

在安全补丁得以应用之前，攻击者通过对这些补丁进行逆向工程剖析，试图在CMS上做手脚。德国程序员找到了阻止他们的方法。

在短短的四个小时内，犯罪分子就能够完成对开源内容管理系统（CMS）软件补丁的逆向工程剖析，让数百万个网站去滥发垃圾邮件，变成恶意软件主机，甚至是DDoS攻击者。

David Jardin是德国协会“CMS Garden”的会员，该协会旨在促进包括Drupal、Joomla、WordPress在内的开源CMS软件的应用，他说：“一般的网站负责人很少有时间去应用更新。”

为帮助普通用户尽快打好补丁，CMS Garden正在参与一项政府资助的项目，即安全网站和内容管理系统（Siwecos），目的是让中小企业的网站更安全。

Jardin介绍说，Siwecos由三部分组成。

项目参与者包括波鸿大学的研究人员，他们正在开发一个扫描引擎，把企业网站可能存在的安全问题及时反馈给企业领导，例如SSL配置错误或者跨网站脚本攻击漏洞等。

CMS Garden参与了第二部分的工作：为不同的开源CMS提供一系列插件，获取CMS管理接口的反馈，这样，网站负责人就能够根据这些信息立即采取行动。

第三部分是Jardin最感兴趣的，这是一种服务，帮助网站托管公司过滤掉针对有漏洞的CMS的攻击。

Jardin把该项目推荐给了短信、恶意软件和移动反滥用工作组（M3AAWG，该组织旨在打击滥用互联网基础设施）在六月举行的一次会议。

正如Jardin所看到的，CMS Garden所提倡的系统本质上是安全的。问题是，网站负责人在使用网站时没有时间让系统保持最新状态。那么，最好把他们从整个链路中去掉。

他说：“我想通过直接与网络主机沟通，把网站负责人从责任链上去掉。……