54% популярных тем для WP содержат зловредный код.

Haosame · 25-08-2014, 10:58:34

Эта тема как-то прошла мимо практически незаметно, хотя на самом деле на нее стоит обратить пристальное внимание всем, занимающимся Wordpress. Полная статья на хабре - http://habrahabr.ru/post/234329/ (не сочтите за рекламу), здесь только цифры:

Темы и шаблоны для Wordpress скачивали с популярных сайтов-каталогов, предлагающих русскоязычные премиум и тематические шаблоны:

best-wordpress-templates.ru (99% зараженных или уязвимых тем)
wordpress-ru.ru (99% зараженных или уязвимых тем)
wpfree.ru (97% зараженных или уязвимых тем)
wpfreethemes.ru (16% уязвимых тем)
bestwordpress.ru (7% уязвимых тем)
wordpreso.ru (3% зараженных тем)

Данные сайты были выбраны как наиболее популярные, поскольку находятся по запросу "бесплатные темы для wordpress" в первой десятке в результатах поисковой выдачи.

Подавляющее большинство (около 97%) проверенных тем содержат код, размещающий чужой контент и спaм-ссылки на страницах блога. Это так называемое "черное seo".

Следующая по популярности проблема в шаблонах wordpress – это уязвимости в скрипте timthumb.php. Данный скрипт очень популярен среди разработчиков шаблонов и активно используется в темах для автоматического масштабирования изображений. В версии 2.8.13 и более ранних обнаружено несколько критических уязвимостей, позволяющих исполнять произвольный код на сайте и загружать произвольные файлы на хостинг (в том числе хакерские веб-шеллы). Если на вашем сайте установлена одна из старых версий, необходимо как можно быстрее обновить ее до актуальной.

В 3% проверенных тем были обнаружены бэкдоры и веб-шеллы. Эти скрипты предоставляют хакеру полный контроль над файловой системой и базой данных аккаунта: можно управлять файлами и каталогами, размещать дорвеи, мобильные и поисковые редиректы, вирусный код в шаблонах и многое другое. Поскольку на большинстве виртуальных хостингов скрипты сайта могут получить доступ к файлам соседнего сайта, скопрометированными оказываются все сайты владельца, размещенные на том же аккаунте хостинга.

Будьте внимательны при использовании бесплатных шаблонов.

DOleg · 25-08-2014, 11:27:13

Те, кому это интересно, об этом всё уже давно знают и делают всё, чтобы от лишнего мусора избавиться, а остальным это не интересно и не нужно.

Timekiller · 25-08-2014, 15:27:07

Никогда не пользовался шаблонами с этих сайтов. Всегда брал премиум и переводил его, допиливал как хотел. Премиумов в паблике полно.

Rencontrez · 25-08-2014, 16:05:21

Раньше тоже искал "бесплатные" темы в каталогах. Написано что всё норм, работает и тд. На самом то деле всё коряво, половину вообще не рабочее и тд. Ладно что ручками можно доделать... Так уязвимостей хоть отбавляй да и ошибок 100500.... Начал смотреть тут: themecheck.org Данный сервис показывает сколько ошибок и тд.
Так вот скачал в каталоге специально шаблон и проверил в данном сервисе... Показывает что 0% валидации и тп.... Везде чего то есть.... Поэтому начал искать проверенные шаблоны тут =)

P.s Я не рекламирую, я делюсь!

beyond · 25-08-2014, 16:29:11

Как можно выявить уязвимости в шаблоне?

ClaytonTV · 25-08-2014, 20:46:39

понятно что за тебя просто так дело дизайна человек не сделает, тут либо самому пылить либо заказывать шаблон ибо бесплатный сыр только в мышеловке

DOleg · 26-08-2014, 11:32:54

Цитата: beyond от 25-08-2014, 16:29:11Как можно выявить уязвимости в шаблоне?

Цитата: Haosame от 25-08-2014, 10:58:34позволяющих исполнять произвольный код на сайте и загружать произвольные файлы на хостинг

Делается поиск основных функций, которые позволяют это сделать и которых по идее быть в шаблоне не должно (fopen, fread, base64_, eval и т.п.).

beyond · 26-08-2014, 11:57:29

Цитата: DOleg от 26-08-2014, 11:32:54
Делается поиск основных функций, которые позволяют это сделать и которых по идее быть в шаблоне не должно (fopen, fread, base64_, eval и т.п.).

у вас есть полный список этих функций?

vold57 · 26-08-2014, 12:14:42

Цитата: DOleg от 25-08-2014, 11:27:13
Те, кому это интересно, об этом всё уже давно знают и делают всё, чтобы от лишнего мусора избавиться, а остальным это не интересно и не нужно.

При желании это можно сказать по отношению к любой другой теме.

DOleg · 26-08-2014, 12:24:17

Цитата: beyond от 26-08-2014, 11:57:29у вас есть полный список этих функций?

Если бы был, я своего айболита или rwp_checker написал бы

Цитата: vold57 от 26-08-2014, 12:14:42При желании это можно сказать по отношению к любой другой теме.

А разве это не так?

Если кто-нибудь хочет создать себе сайт, он начинает искать информацию о том, как это сделать и в любом случае ему попадётся информация о том, чем может грозить использование бесплатных (да и не бесплатных) тем и шаблонов. Как он воспользуется этой информацией зависит от того, интересно ему это или нет.

Да и не понимаю я таких тем на таких форумах. Это же очевидные вещи о которых тут все уже знают