तत्काल सुरक्षा चेतावनी: लॉगिन-संबंधित वर्डप्रेस कमजोरियों — आपको क्या जानने की आवश्यकता है

नोट: लॉगिन-संबंधित मुद्दे के बारे में हाल ही में एक कमजोरियों का खुलासा समुदाय में प्रसारित किया गया है। मूल रिपोर्ट लिंक वर्तमान में 404 लौटाता है, लेकिन यहां वर्णित तकनीकी विवरण और जोखिम पैटर्न कमजोरियों की अंतर्निहित श्रेणी और जंगली में देखी गई पुष्टि की गई शोषण तकनीकों पर आधारित हैं। यह सलाह जोखिम, पहचान, शमन और कैसे एप्लिकेशन-स्तरीय सुरक्षा और सुरक्षा टीमें तुरंत जोखिम को कम कर सकती हैं, को समझाती है।.

सामग्री की तालिका

• कार्यकारी सारांश
• क्या हुआ (उच्च स्तर)
• यह सुरक्षा दोष क्यों महत्वपूर्ण है
• तकनीकी अवलोकन (हमला सतह और शोषण)
• कौन और क्या प्रभावित है
• समझौते के संकेत और शोषण का पता लगाने के तरीके
• साइट मालिकों के लिए तत्काल सुरक्षा कदम
• WAF सिफारिशें — वर्चुअल पैचिंग और नियम जिन्हें आप अभी लागू कर सकते हैं
• दीर्घकालिक डेवलपर और संचालन सुधार
• घटना प्रतिक्रिया चेकलिस्ट (चरण-दर-चरण)
• WAF या सुरक्षा टीम कैसे मदद कर सकती है
• व्यावहारिक उदाहरण — हार्डनिंग चेकलिस्ट जिसे आप आज लागू कर सकते हैं
• निष्कर्ष और निरंतर निगरानी

कार्यकारी सारांश

सुरक्षा रिपोर्टों से पता चलता है कि एक लॉगिन-संबंधित कमजोरी है जो हमलावरों को वर्डप्रेस साइटों पर प्रमाणीकरण जांचों को बायपास करने की अनुमति दे सकती है जो कस्टम या गलत तरीके से मान्य लॉगिन एंडपॉइंट्स (कस्टम लॉगिन हैंडलर, REST एंडपॉइंट्स, या असुरक्षित थीम/प्लगइन लॉगिन एकीकरण) को लागू करती हैं। सफल शोषण से खाता अधिग्रहण, प्रशासक के लिए विशेषाधिकार वृद्धि, या पूर्ण साइट समझौता हो सकता है।.

वर्डप्रेस साइटों के ऑपरेटर — विशेष रूप से वे जो तृतीय-पक्ष या कस्टम प्रमाणीकरण लॉजिक का उपयोग कर रहे हैं — को इसे उच्च प्राथमिकता के रूप में मानना चाहिए। यहां तक कि जहां सार्वजनिक सलाह लिंक उपलब्ध नहीं है, इस श्रेणी की कमजोरियों को लक्षित करने वाला स्वचालित हमले का ट्रैफ़िक सक्रिय है। एप्लिकेशन या नेटवर्क स्तर पर तत्काल शमन जोखिम को महत्वपूर्ण रूप से कम कर सकता है जबकि विक्रेता और डेवलपर्स सुधार तैयार करते हैं।.

क्या हुआ (उच्च स्तर)

शोधकर्ताओं ने कुछ प्लगइन्स और थीम में लॉगिन हैंडलिंग में एक दोष का खुलासा किया। यह दोष लॉगिन या संबंधित एंडपॉइंट्स पर तैयार किए गए अनुरोध भेजकर प्रमाणीकरण बायपास की अनुमति देता है। सामान्य मूल कारणों में शामिल हैं:

• गायब या गलत क्षमता जांच (जैसे, current_user_can को सत्यापित करने में विफलता)।.
• वर्डप्रेस नॉन्स (wp_verify_nonce) को सत्यापित करने में विफलता।.
• अस्वच्छ इनपुट जो SQL या तार्किक बायपास की अनुमति देते हैं।.
• लॉजिक जो तैयार किए गए पैरामीटर को मान्य प्रमाणीकरण टोकन के रूप में स्वीकार करता है।.
• दर सीमा या ब्रूट-फोर्स सुरक्षा की अनुपस्थिति।.

हमलावर तैयार किए गए अनुरोधों का उपयोग करके मान्यता अंतराल का शोषण करते हैं। शोषण स्वचालित किया जा सकता है और व्यापक स्कैनिंग और हमले अभियानों में देखा जा रहा है।.

यह सुरक्षा दोष क्यों महत्वपूर्ण है

प्रमाणीकरण बायपास उच्च जोखिम वाले होते हैं क्योंकि वे एप्लिकेशन की विश्वास सीमा पर हमला करते हैं। संभावित प्रभावों में शामिल हैं:

• साइट का प्रशासनिक अधिग्रहण।.
• बैकडोर, वेब शेल और स्थायी पहुंच।.
• मैलवेयर वितरण (SEO स्पैम, फ़िशिंग, ड्राइव-बाय डाउनलोड)।.
• डेटा चोरी, जिसमें उपयोगकर्ता की व्यक्तिगत और वित्तीय डेटा शामिल है।.
• समझौता किए गए क्रेडेंशियल्स या पहुंच का उपयोग करके अन्य सिस्टम में पिवटिंग।.

क्योंकि कई साइटें तृतीय-पक्ष घटकों का पुन: उपयोग करती हैं, एकल वर्ग की भेद्यता तेजी से बड़ी संख्या में साइटों को प्रभावित कर सकती है।.

तकनीकी अवलोकन (हमला सतह और शोषण)

हमले की सतह

• मानक वर्डप्रेस एंडपॉइंट: /wp-login.php, /wp-admin/।.
• XML-RPC और REST API एंडपॉइंट जो ऑथ/सेशन कार्यक्षमता को उजागर करते हैं।.
• कस्टम लॉगिन/प्राधिकरण लॉजिक (AJAX हैंडलर, कस्टम REST रूट, फॉर्म हैंडलर) के साथ प्लगइन या थीम एंडपॉइंट।.
• खराब कॉन्फ़िगर किया गया सिंगल साइन-ऑन या कस्टम टोकन सिस्टम।.

सामान्य शोषण पैटर्न

• नॉनस बायपास: अनुरोध जो wp_verify_nonce जांचों को छोड़ते हैं या उन्हें दरकिनार करते हैं।.
• तार्किक बायपास: वैकल्पिक पैरामीटर या कुकीज़ को प्रमाणित स्थिति के रूप में व्याख्यायित किया जाता है।.
• लॉगिन लॉजिक के भीतर SQL इंजेक्शन या दोषपूर्ण DB क्वेरी।.
• क्रेडेंशियल स्टफिंग या ब्रूट फोर्स जहां दर-सीमा सीमित नहीं है।.
• सत्र फिक्सेशन या असुरक्षित सत्र निर्माण।.

वैचारिक शोषण प्रवाह

1. हमलावर एक कस्टम ऑथ एंडपॉइंट (जैसे, /wp-json/my-plugin/v1/auth) खोजता है।.
2. एंडपॉइंट से अपेक्षा की जाती है कि वह एक नॉनस को मान्य करे लेकिन लॉजिक केवल कुछ स्थितियों में मान्य करता है (जैसे, GET बनाम POST या एक हेडर की उपस्थिति)।.
3. हमलावर अनुरोध तैयार करता है जो नॉनस जांचों को बायपास करते हैं और लॉगिन लॉजिक द्वारा स्वीकार किए गए पेलोड्स को मान्य सत्र कुकी सेट करने के लिए प्रस्तुत करता है।.
4. प्रशासनिक पहुंच प्राप्त की जाती है और हमलावर बैकडोर तैनात करता है या खाते बनाता है।.

नोट: शोषण कोड और PoCs जानबूझकर छोड़े गए हैं ताकि दुरुपयोग को सुविधाजनक बनाने से बचा जा सके। यहां ध्यान पहचान, शमन और सुधार पर है।.

कौन और क्या प्रभावित है

• साइटें बिना पैच किए या बिना रखरखाव वाले प्लगइन्स/थीम्स के साथ कस्टम लॉगिन हैंडलर्स चला रही हैं।.
• साइटें उचित क्षमता और नॉनस जांच के बिना REST/AJAX एंडपॉइंट्स को उजागर कर रही हैं।.
• इंस्टॉलेशन में दर-सीमा, 2FA, या एप्लिकेशन या नेटवर्क परतों पर अन्य सुरक्षा की कमी है।.
• प्रबंधित होस्टिंग कुछ जोखिम को कम कर सकती है लेकिन एप्लिकेशन-परत की खामियां पैच किए बिना या सक्षम WAF द्वारा सुरक्षित किए बिना शोषण योग्य बनी रहती हैं।.

यदि आपकी साइट तृतीय-पक्ष प्रमाणीकरण संशोधनों का उपयोग करती है, तो अपडेट या शमन लागू और सत्यापित होने तक संभावित जोखिम मानें।.

समझौते के संकेत और शोषण का पता लगाने के तरीके

संभावित संकेतक:

• wp_users में अप्रत्याशित प्रशासनिक उपयोगकर्ता।.
• साइट सामग्री में परिवर्तन (स्पैम पृष्ठ, विकृति)।.
• संदिग्ध लॉगिन घटनाएँ: अपरिचित IPs से लॉगिन, असामान्य असफल/सफल लॉगिन के पैटर्न।.
• नए या संशोधित फ़ाइलें (वेब शेल) या कोर/थीम/प्लगइन फ़ाइलों में अप्रत्याशित परिवर्तन।.
• साइट से अपरिचित IPs/डोमेन के लिए आउटबाउंड कनेक्शन।.
• CPU, मेमोरी, या डिस्क I/O में वृद्धि।.
• एक्सेस लॉग में लॉगिन एंडपॉइंट्स पर असामान्य POSTs, बार-बार प्रयास, या असामान्य लंबे पैरामीटर मान दिखाना।.

तात्कालिक जांच:

• अज्ञात प्रशासनिक खातों के लिए wp_users और wp_usermeta की समीक्षा करें।.
• wp-content (प्लगइन्स, थीम, अपलोड) में हाल के परिवर्तनों की जांच करें।.
• /wp-login.php, /xmlrpc.php, /wp-json/* या असामान्य पेलोड के साथ कस्टम एंडपॉइंट्स पर POSTs के लिए एक्सेस लॉग की जांच करें।.
• लॉग में अनुरोधों की खोज करें जिनमें नॉनस गायब हैं या गलत रूप में हैं, या समान IP रेंज से बार-बार शोषण-जैसे पैटर्न के लिए।.

साइट मालिकों के लिए तत्काल सुरक्षा कदम

1. तुरंत अपडेट लागू करें: वर्डप्रेस कोर, प्लगइन्स और थीम को अपडेट करें। विक्रेता पैच उपलब्ध होने पर निश्चित समाधान होते हैं।.
2. मजबूत प्रमाणीकरण सक्षम करें: प्रशासक खातों के लिए दो-कारक प्रमाणीकरण की आवश्यकता करें और मजबूत पासवर्ड लागू करें। प्रशासनिक क्रेडेंशियल्स को घुमाएं।.
3. सामान्य एंडपॉइंट्स को मजबूत करें: यदि अप्रयुक्त हो तो xmlrpc.php को अक्षम या प्रतिबंधित करें। संवेदनशील क्षमताओं को उजागर करने वाले REST API मार्गों तक पहुंच को सीमित करें।.
4. लॉगिन प्रयासों को सीमित करें: लॉगिन एंडपॉइंट्स और REST API POSTs पर IP-आधारित दर सीमित करें। बार-बार विफलताओं के बाद गुणात्मक बैकऑफ या अस्थायी ब्लॉक्स का उपयोग करें।.
5. उपयोगकर्ताओं और फ़ाइलों का ऑडिट करें: अनावश्यक प्रशासनिक खातों को हटा दें या लॉक करें; अप्रत्याशित फ़ाइलों या वेब शेल की खोज करें।.
6. बैकअप और अलग करें: फ़ाइलों और डेटाबेस का एक ताजा बैकअप लें। यदि समझौता पुष्टि हो जाता है, तो सुधार करते समय साइट को ऑफ़लाइन करने पर विचार करें।.
7. WAF/वर्चुअल पैच लागू करें: यदि आप एप्लिकेशन-लेयर WAF का उपयोग करते हैं, तो शोषण पैटर्न को ब्लॉक करने, लॉगिन प्रयासों की दर सीमित करने और सही अनुरोध संरचना लागू करने के लिए नियम लागू करें।.

ये तात्कालिक उपाय आपके दीर्घकालिक सुधारों का समन्वय करते समय जोखिम को कम करते हैं।.

WAF सिफारिशें — वर्चुअल पैचिंग और नियम जिन्हें आप अभी लागू कर सकते हैं

निम्नलिखित सिफारिशें एप्लिकेशन-लेयर WAF या समान फ़िल्टरिंग परत को कॉन्फ़िगर करने के लिए हैं। ये रक्षात्मक, त्वरित नियंत्रण हैं जो विक्रेता पैच या सुरक्षित कोड सुधारों का स्थान नहीं लेते हैं।.

• लॉगिन एंडपॉइंट को मजबूत करना: गलत लॉगिन पेलोड को ब्लॉक करें और लॉगिन एंडपॉइंट्स के लिए केवल POST-ही सबमिशन लागू करें। अपेक्षित हेडर और नॉनस की उपस्थिति की आवश्यकता करें जहां लागू हो।.
• प्रमाणीकरण प्रवाह के लिए आक्रामक दर सीमित करना: /wp-login.php, /xmlrpc.php और कस्टम ऑथ मार्गों पर POSTs को थ्रॉटल करें (उदाहरण प्रारंभिक बिंदु: प्रति IP प्रति 5 मिनट में 5 प्रयास; वैध उद्यम SSO प्रवाह के लिए समायोजित करें)।.
• REST/AJAX एंडपॉइंट्स के लिए वर्चुअल पैचिंग: संदिग्ध पैरामीटर पैटर्न और असामान्य पैरामीटर लंबाई (जैसे, पैरामीटर नाम > 64 वर्ण या मान > 5000 बाइट) को ब्लॉक करें।.
• संदर्भ और उपयोगकर्ता-एजेंट जांच: जहां सुरक्षित हो, फॉर्म सबमिशन के लिए उचित संदर्भ हेडर की आवश्यकता करें, और ज्ञात-खराब या खाली उपयोगकर्ता एजेंटों को ब्लॉक करें। वैध क्रॉस-ओरिजिन प्रवाह के लिए सावधानी से परीक्षण करें।.
• आईपी प्रतिष्ठा और ब्लॉक सूचियाँ: आईपी प्रतिष्ठा फ़ीड का उपयोग करें और जहां संभव हो, दुरुपयोगी स्कैनरों या ज्ञात दुर्भावनापूर्ण रेंज को ब्लॉक करें।.
• सत्र को मजबूत करना: संदिग्ध हमलों पर, व्यवस्थापक सत्रों को अमान्य करें और पुनः प्रमाणीकरण को मजबूर करें।.

उदाहरण नियम पैटर्न (सैद्धांतिक):

• /wp-json/* पर POST को ब्लॉक करें जिनके पैरामीटर नाम 64 वर्णों से लंबे हैं या पैरामीटर मान > 5000 बाइट हैं।.
• कस्टम प्रमाणीकरण अंत बिंदुओं पर POST को ब्लॉक करें जिनमें वैध X-WP-Nonce या संदर्भ हेडर गायब है।.
• दर-सीमा: यदि request_path IN [“/wp-login.php”,”/xmlrpc.php”,”/wp-json/my-plugin/v1/auth”] और method == POST THEN throttle to 5/minute/IP.

वर्चुअल पैचिंग समय-सीमित सुरक्षा प्रदान करता है जबकि लेखक स्थायी सुधार जारी करते हैं; इसका उपयोग कोड सुधार और परीक्षण के साथ किया जाना चाहिए।.

दीर्घकालिक डेवलपर और संचालन सुधार

डेवलपर्स और ऑपरेटरों को स्थायी सुधार और सुरक्षित प्रथाओं को प्रदान करने के लिए सहयोग करना चाहिए:

1. वर्डप्रेस की मूल प्रमाणीकरण और क्षमता जांच का उपयोग करें: कस्टम प्रमाणीकरण के बजाय wp_signon, wp_set_current_user और कोर APIs को प्राथमिकता दें। विशेषाधिकार प्राप्त क्रियाओं के लिए current_user_can() के साथ क्षमताओं को मान्य करें।.
2. उचित नॉनस उपयोग: फॉर्म और AJAX अंत बिंदुओं के लिए wp_create_nonce और wp_verify_nonce का उपयोग करें। पूर्वानुमानित या गलत तरीके से मान्य किए गए कस्टम टोकन योजनाओं से बचें।.
3. इनपुट को साफ और मान्य करें: DB क्वेरी के लिए sanitize_text_field, sanitize_email, intval और $wpdb->prepare का उपयोग करें। कभी भी उपयोगकर्ता इनपुट को सीधे SQL में इंटरपोलेट न करें।.
4. सुरक्षित सत्र प्रबंधन: प्रमाणीकरण के बाद सत्र पहचानकर्ताओं को पुनः उत्पन्न करें और सत्र स्थिरीकरण वेक्टर से बचें।.
5. किनारे के मामलों के लिए परीक्षण करें: नकारात्मक परीक्षणों को शामिल करें ताकि यह सुनिश्चित हो सके कि गैर-मानक अनुरोधों पर nonce और क्षमता जांच विफल हो जाएं।.
6. समय पर विक्रेता प्रतिक्रिया: प्लगइन/थीम लेखकों को खुलासों का तुरंत जवाब देना चाहिए और स्पष्ट अपग्रेड पथ प्रदान करना चाहिए।.

घटना प्रतिक्रिया चेकलिस्ट (चरण-दर-चरण)

1. फोरेंसिक स्नैपशॉट: विश्लेषण के लिए सर्वर और एप्लिकेशन लॉग, डेटाबेस डंप और फ़ाइल सिस्टम स्नैपशॉट को संरक्षित करें।.
2. पहुँच को प्रतिबंधित करें: साइट को रखरखाव मोड में डालें या अन्यथा सार्वजनिक पहुंच को प्रतिबंधित करें ताकि जोखिम कम हो सके।.
3. क्रेडेंशियल्स को घुमाएं: प्रशासक पासवर्ड, API कुंजी, OAuth रहस्य और सेवा क्रेडेंशियल्स को रीसेट करें।.
4. सत्रों को अमान्य करें: सभी उपयोगकर्ताओं के लिए मजबूर लॉगआउट करें और सत्र कुकीज़ को समाप्त करें।.
5. बैकडोर के लिए स्कैन करें: अनधिकृत PHP फ़ाइलों और संशोधित कोर फ़ाइलों के लिए मैलवेयर स्कैनर और मैनुअल फ़ाइल निरीक्षण चलाएं।.
6. दुर्भावनापूर्ण सामग्री को हटा दें और मजबूत करें: अनधिकृत उपयोगकर्ताओं को हटाएं, दुर्भावनापूर्ण फ़ाइलें हटा दें, कमजोर घटकों को पैच करें, और हार्डनिंग कदम लागू करें।.
7. यदि आवश्यक हो तो पुनर्स्थापित करें: यदि सफाई अधूरी या अनिश्चित है, तो समझौते से पहले लिए गए ज्ञात-अच्छे बैकअप से पुनर्स्थापित करें।.
8. पुनर्प्राप्ति के बाद की निगरानी करें: यह सुनिश्चित करने के लिए कई हफ्तों तक उच्च निगरानी बनाए रखें कि कोई स्थायी तंत्र न बचे।.
9. मूल कारण विश्लेषण: कमजोर घटक की पहचान करें और स्थायी समाधान के लिए इसके विक्रेता या डेवलपर के साथ समन्वय करें।.
10. जहां आवश्यक हो, सूचित करें: यदि उपयोगकर्ता डेटा उजागर हुआ है, तो प्रभावित पक्षों के लिए लागू खुलासे के नियमों और सर्वोत्तम प्रथाओं का पालन करें।.

WAF या सुरक्षा टीम कैसे मदद कर सकती है

एप्लिकेशन-स्तरीय WAF और अनुभवी सुरक्षा प्रथाओं के पेशेवर त्वरित शमन विकल्प प्रदान करते हैं:

• ज्ञात शोषण पैटर्न को अवरुद्ध करने के लिए आभासी पैचिंग करें जबकि विक्रेता सुधार जारी करते हैं।.
• क्रेडेंशियल स्टफिंग और बाईपास प्रयासों को कम करने के लिए लॉगिन हार्डनिंग नियम और दर सीमा।.
• संदिग्ध व्यवहार के लिए निरंतर निगरानी और स्वचालित अलर्ट।.
• मार्गदर्शित घटना प्रतिक्रिया, फोरेंसिक विश्लेषण, और सुधार सहायता।.

यदि आपकी संगठन में इन-हाउस क्षमता की कमी है, तो एक योग्य सुरक्षा टीम को शामिल करें जो वर्चुअल पैच लागू करे, कस्टम एंडपॉइंट्स की समीक्षा करे, और प्रमाणीकरण लॉजिक का केंद्रित ऑडिट करे।.

व्यावहारिक उदाहरण — हार्डनिंग चेकलिस्ट जिसे आप आज लागू कर सकते हैं

उच्च प्राथमिकता (घंटों के भीतर लागू करें)

• वर्डप्रेस कोर, प्लगइन्स, और थीम को अपडेट करें।.
• सभी प्रशासनिक खातों के लिए दो-कारक प्रमाणीकरण सक्षम करें।.
• लॉगिन एंडपॉइंट्स को मजबूत करने और दर सीमित करने के लिए WAF नियम लागू करें।.
• अज्ञात व्यवस्थापक उपयोगकर्ताओं और अप्रत्याशित फ़ाइल परिवर्तनों के लिए स्कैन करें।.

मध्यम प्राथमिकता (दिनों के भीतर लागू करें)

• यदि आवश्यक नहीं है तो XML-RPC को अक्षम करें।.
• सुनिश्चित करें कि wp_verify_nonce और क्षमता जांच मौजूद हैं, कस्टम एंडपॉइंट्स की समीक्षा करें और उन्हें ठीक करें।.
• दुरुपयोग करने वाले नेटवर्क के लिए IP प्रतिष्ठा अवरोधन लागू करें।.

निम्न प्राथमिकता (सप्ताहों के भीतर लागू करें)

• कस्टम कोड और तृतीय-पक्ष एकीकरण का सुरक्षा ऑडिट करें।.
• सख्त सामग्री सुरक्षा नीति (CSP), HTTP सुरक्षा हेडर, और सुरक्षित कुकी ध्वज लागू करें।.
• निरंतर निगरानी स्थापित करें और घटना प्रतिक्रिया प्रक्रियाओं का अभ्यास करें।.

निष्कर्ष और निरंतर निगरानी

लॉगिन से संबंधित कमजोरियाँ सीधे साइट की अखंडता और उपयोगकर्ता विश्वास को खतरे में डालती हैं। यहां तक कि जहां एक मूल सलाह अस्थायी रूप से अनुपलब्ध है, देखे गए हमले के पैटर्न सक्रिय हैं। एक परतदार रक्षा आवश्यक है:

• उपलब्ध होने पर विक्रेता सुधार लागू करें।.
• सक्रिय शोषण को रोकने के लिए WAF सुरक्षा और वर्चुअल पैच का उपयोग करें।.
• प्रमाणीकरण को मजबूत करें (2FA, मजबूत पासवर्ड) और लॉग की निगरानी करें।.
• किसी भी कस्टम प्रमाणीकरण लॉजिक के लिए सुरक्षित कोडिंग सर्वोत्तम प्रथाओं का पालन करें।.

हांगकांग के सुरक्षा पेशेवर के दृष्टिकोण से: व्यावहारिक और निर्णायक बनें। स्थानीय संगठनों और सेवा प्रदाताओं को समन्वय करते हुए स्थायी समाधान प्रदान करने के लिए विकासकर्ताओं के साथ समन्वय करते हुए containment और त्वरित कमी को प्राथमिकता देनी चाहिए।.

अगले कदम - सहायता के प्रस्ताव

यदि आपको सहायता की आवश्यकता है, तो अनुभवी सुरक्षा पेशेवरों को शामिल करने पर विचार करें:

• लॉगिन शोषण पैटर्न के संकेतों के लिए साइट लॉग की समीक्षा करें जो ऊपर वर्णित हैं।.
• एक अनुकूलित WAF नियम सेट प्रदान करें जिसे आप तुरंत इस प्रकार की कमजोरियों को कम करने के लिए लागू कर सकते हैं।.
• घटना प्रतिक्रिया कदमों और सुरक्षित पुनर्प्राप्ति योजना में सहायता करें।.

प्रकाशित: 2026-03-22 — हांगकांग सुरक्षा सलाह