Portal Dobreprogramy.pl właśnie poinformował o tym, o czym ostrzegaliśmy już od dawna: wszelkie płatne skórki i wtyczki, które wiele osób ściąga z różnych źródeł w postaci scrackowanej są sposobem na włamanie na stronę.
Okazuje się, że wiele z nich (nie tylko przeznaczonych dla WordPressa, ale też Joomli i Drupala) zawiera w sobie kod nazwany CryptPHP. Dzięki niemu osoba, która przygotowała taką skórkę czy wtyczkę przejmuje pełną kontrolę nad naszą witryną.
Zainfekowanych dodatków są ponoć tysiące.Kolejny raz potwierdza się, że nie ma nic za darmo, a oszczędzenie tych 20 czy 30 dolarów na ThemeForest może nas kosztować o wiele, wiele drożej.
Więcej szczegółów znajdziecie na Dobrych Programach.
Konrad Karpieszuk
Jak każdy chyba tutaj zacząłem po prostu od blogowania. WordPress jednak tak mnie zafascynował, że szybko zabrałem się za tworzenie stron na nim opartych. Później przyszedł czas na pisanie poradników z nim związanych, zdarzyła się nawet książka. Współorganizowałem pierwszy polski WordCamp.
Opiekuję się serwisem WPzlecenia.pl, a teraz także tym podserwisem, na którym właśnie jesteście: dev.WPzlecenia. Wszystkim życzę jak najwięcej wyniesionej WIEDZY odnośnie WordPressa. Zaparzcie kawę, usiądźcie wygodnie i – do lektury! :)
Pracowałem w firmie tworzącej wtyczkę WPML (pozwala tworzyć wielojęzykowe strony), gdzie odpowiadałem za jej rozwój.
Teraz pracuję w firmie AwesomeMotive Inc. gdzie odpowiadam za rozwój wtyczki WPForms.
Jestem także członkiem-założycielem Białostockiej grupy WordUp-owej
Komentarze
Jedna odpowiedź do „Uwaga na CryptPHP: jeśli masz piracką wersję skórki lub wtyczki, najprawdopodobniej Twoja strona jest zainfekowana”
Chyba nie zdradzę tu wielkich tajemnic. Podobne mechanizmy są stosowane przez firmy i twórców darmowych skórek w celu zabezpieczenia np. przed usunięciem linków reklamowych sponsorów czy nazwy i odnośnika do autora w stopce, Nie są to rzeczy szkodliwe i nie wyrządzają krzywdy. Spotkałem się z dwoma sposobami takich zabezpieczeń. Pierwszy to zmiana rozszerzenia pliku php na png lub gif – bardzo łatwy do rozszyfrowania, bo nie można otworzyć takiej grafiki w żadnej przeglądarce. Drugi sposób to przygotowanie pliku grafiki i skompresowanego zipem -lub nie- pliku php, a następnie dodanie tych plików binarnie (np. dosowe polecenie copy/b) i zapisanie wyniku jako plik png. Tak przygotowany plik jest poprawnie wyświetlany w przeglądarce grafik, mimo, że zawiera dodatkowy kod.
W ogóle warto przeanalizować cały kod skórki i wtyczek nawet z wordpress.org, a wszystkie grafiki przepuścić przez np. przetwarzanie wsadowe przeglądarki irfanview. Warto też skopiować zewnętrzne pliki js na swój serwer i oczywiście w skórce, czy pluginie zmienić ich ścieżki dostępu. Zabezpieczy nas to przed możliwością zmian takich plików na zewnętrznych serwerach.