Takto vám hacknú Wordpress

Akým spôsobom a prečo nám hackli Wordpressový blog, ako sa tomu brániť a ako ho hacknú aj vám

Wordpress je v aktuálne neuveriteľne rozšírený. Firmy ho používajú ako CMS a robia v ňom robia celé stránky. Za takú popularitu Wordpress vďačí kope pluginov, ktorými sa dá takmer všetko riešiť a v značnej miere aj lacným témam. Nakoľko sa dá ale veriť pluginom, ktoré mohol naprogramovať skoro ktokoľvek? Asi viete kam tým smerujem.. Čo by ste povedali, keby na svojom serveri nájdete takúto srandu?

Včera som to našiel na našom blogu brm.sk. Tento malý nástroj sa volá WSO web shell a je určený na jednoduché ovládanie vášho servera útočníkom cez PHPčko. Dajú za z neho prezerať, uploadovať a vymazávať všetky súbory ku ktorým má PHP prístup a ak je to povolené, dokonca aj spúštať shellové príkazy.

A to nie je všetko. WSO shell sa nakopíroval len ako vedľajší efekt. Hlavná časť, vďaka ktorej som útok objavil, infikovala všetky Wordpress inštalácie na serveri. Návštevníkom týchto blogov sa potom zobrazoval na stránke takmer neviditeľný iframe, v ktorom sa načítala stránka s windowsovým vírusom. Vírus sa dostáva do počítača napríklad cez chyby v starom Flashi, Jave, Internet Exploreri a iných programoch/pluginoch. Pravdepodobne...

Ťažko povedať, aký vírus tam v skutočnosti je. V rámci skrývania sa pred vyhľadávačmi a administrátormi zvyknú takéto stránky posielať vírus len raz denne na jednu IP adresu. Vyhľadávače blokujú úplne a adresa s vírusom sa občas mení. Preto Google nenašiel vôbec nič ohľadom adresy "http://analyze.net.tf/in.cgi?2". Keď som stránku otvoril normálne, tiež sa tvárila, že neexistuje. Dá sa však zistiť, že je registrovaná, takže pravdepodobne sa len "schováva".

Podľa logov vidno, že útok nebol cielený. To sa ani nestáva moc často. Wordpress beží na neskutočne veľa miestach, takže hackerom sa oplatí spraviť skript, ktorý skúša všetky stránky po celom nete a využíva chyby v pluginoch a témach.

Hackeri potom jednak predávajú prístupy na servery a jednak majú záujem rozširovať vírusy, vďaka ktorým vznikajú tzv. botnety, čo sú siete infikovaných počítačov. Od správcu takejto siete si klienti kupujú rozosielanie spamových mailov alebo DDoS útoky.

Obeťou sa teda môžete ľahko stať aj vy.. skript napáda všetkých doradu. Navyše ak máte na jednom serveri veľa Wordpressov a nie sú oddelené, pravdepodobne zle dopadnú všetky.

Je môj blog ok?

Konkrétne túto infekciu, čo som popisoval ľahko odhalíte tak, že v roote Wordpress inštalácie je adresár .cache a v ňom súbory pomenované ako 120124 a tmp_120124. Tam je uložený zoznam IP adries a zamaskovaný Javascript, ktorý vytvára iframe s vírusom.

Samotný škodlivý kód sa ale pripája na niektorý z 90 wordpressových súborov v adresári wp-includes. Skript zámerne mení formu, takže sa nedá ľahko vyhľadať. Ale na pohľad je celkom nápadný.

Takto vyzerali napadnuté súbory na konkrétne na našom webe meta.php, post.php, script-loader.php. Všetky sú v podstate o tom istom. Obsahujú string zakódovaný cez base64 a z-gzip-ovaný. Ten sa spustí buď cez eval() alebo cez preg_replace(). Áno, preg_replace má z nepochopiteľných dôvodoch v sebe zabudovaný eval(), stačí za matchovací string dať písmeno e - "/.*/e" a už je galiba. :p

Vírus sa ale dostáva hlavne cez pluginy a témy, takže treba prehľadať všetky php súbory vo "wp-content", ideálne v celom Wordpresse. Zvyknú mať kadejaké vtipné, kvázi nenápadne sa tváriace názvy, napríklad ak sa škodlivý skript nachádza medzi javascriptami, volá sa jquery.facebox.php, ak v cache, je to niečo v štýle ccc781414d9f71fda8c4c1cfec1f55d1.php.

Ak poznáte tools na automatické odstraňovanie takéhoto svinstva, napíšte do komentov, určite sa niekomu zídu. :)

Ako sa proti tomu brániť

Vždy keď používate niečo tak rozšírené a rozšíriteľné ako Wordpress, ste v ohrození. Najlepšie je mať custom systém s dobrou ochranou. To, samozrejme, nie je vždy možné. Ak teda máte radi Wordpress, dávajte si pozor na pluginy a témy, predovšetkým na také, čo manipulujú so súbormi alebo obrázkami. A updatujte na najnovšie verzie.

Útok na brm.sk bol napríklad uskutočnený cez knižnicu "timthumb", ktorá slúži na generovanie malých náhľadov obrázkov. Odkedy v nej niekto našiel exploit, v ohrození sú tisíce tém a pluginov. Platené témy boli pomerne rýchlo opravené, ale o neplatených rozšíreniach sa to nedá povedať.

Ďalší príklad je "1-flash-gallery". V prístupovom logu servera som našiel takmer každý deň pokus o uploadnutie škodlivého súboru cez /wp-content/plugins/1-flash-gallery/upload.php?action=uploadify&fileext=php. A to takýto plugin ani nemáme.

Edit: Ako na kontrolu bezpečnosti vašeho Wordpressu a odstránenie nebezpečných rozšírení si môžete prečítať v tomto návode http://www.techforum.sk/showthread.php?t=7040&p=11200#post11200 (vďaka za tip Janovi Bočíncovi)