搜索

[13946] 2019-04-04_WordPress主题供应商Pipdig使用客户网站发起DDoS攻击

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-04-04_WordPress主题供应商Pipdig使用客户网站发起DDoS攻击 W o r d P r e s s 主 题 供 应 商 P i p d i g 使 用 客 户 网 站 发 起 D D o S 攻 击 原 创   黑 鸟   F r e e B u f   2 0 1 9 - 0 4 - 0 4 W o r d P r e s s 主 题 供 应 商 主 题 供 应 商 P i p d i g 被 发 现 利 用 客 户 的 服 务 器 对 竞 争 对 手 的 网 站 发 动 被 发 现 利 用 客 户 的 服 务 器 对 竞 争 对 手 的 网 站 发 动 D D o S 攻 击 。 安 全 研 究 人 员 攻 击 。 安 全 研 究 人 员 j e m 分 分 析 了 他 们 的 代 码 后 ， 找 到 了 实 锤 进 行 了 析 了 他 们 的 代 码 后 ， 找 到 了 实 锤 进 行 了 D D o S 攻 击 的 证 据 。 攻 击 的 证 据 。 然 而 P i p d i g 官 方 博 客 居 然 发 表 了 一 份 声 明 称 ， 其 并 没 有 发 动 D D o S 攻 击 ， 声 称 代 码 是 用 来 检 查 主 题 的 许 可 密 钥 。 并 且 它 还 迅 速 从 其 b i t b u c k e t 库 里 删 除 了 证 据 ， 然 而 证 据 已 经 永 世 留 存 ， 且 广 大 网 友 和 W o r d f e n c e 公 司 给 出 了 打 脸 证 据 。 下 面 为 针 对 本 次 事 件 的 分 析 过 程 。 事 前 分 析 事 前 分 析 事 件 起 因 在 于 某 位 用 户 与 安 全 分 析 人 员 J e m 进 行 接 触 ， 称 她 的 网 站 运 行 了 一 个 她 从 W o r d P r e s s 主 题 提 供 商 处 购 买 的 主 题 ， 表 现 得 很 奇 怪 ： 网 站 变 得 越 来 越 慢 。 经 过 分 析 人 员 的 研 究 了 p i p d i g   P o w e r   P a c k 插 件 的 源 代 码 后 ， 发 现 了 p i p d i g 以 下 行 为 ： 1 . 正 在 使 用 其 他 博 主 的 服 务 器 对 竞 争 对 手 执 行 D D o S ； 2 . 正 在 操 纵 博 主 的 内 容 ， 以 更 改 指 向 竞 争 对 手 W o r d P r e s s 迁 移 服 务 的 链 接 ， 以 指 向 p i p d i g 网 站 ； 3 . 未 经 许 可 从 博 客 网 站 收 集 数 据 ， 直 接 违 反 G D P R 的 各 个 部 分 ； 4 . 正 在 使 用 收 集 的 数 据 ， 通 过 更 改 管 理 员 密 码 来 访 问 博 主 的 网 站 ； 5 . 包 含 一 个 “ k i l l   s w i t c h ” ， 它 会 删 除 所 有 数 据 库 表 ； 6 . 在 未 经 许 可 的 情 况 下 ， 故 意 禁 用 p i p d i g 认 为 不 必 要 的 其 他 插 件 ； 7 . 将 管 理 通 知 和 元 框 隐 藏 在 W o r d P r e s s   c o r e 和 仪 表 板 中 的 其 他 插 件 中 ， 这 些 插 件 可 能 包 含 重 要 信 息 。
下 面 将 逐 条 进 行 代 码 分 析 。 p i p d i g   p 3 插 件 对 竞 争 对 手 执 行 插 件 对 竞 争 对 手 执 行 D D o S 攻 击 攻 击 在 / p 3 / i n c / c r o n . p h p 中 ， 我 们 将 以 下 代 码 块 嵌 套 在 W P   C r o n 每 小 时 运 行 一 次 的 函 数 中 ： 代 码 注 释 告 诉 我 们 这 是 “ 检 查 C D N （ 内 容 传 送 网 络 ） 缓 存 ” 。 然 而 这 是 在 p i p d i g z . c o . u k 上 的 一 个 文 件 （ i d 3 9 d q m 3 c 0 _ l i c e n s e _ h . t x t ） 上 执 行 G E T 请 求 ， 该 文 件 昨 天 早 上 在 响 应 正 文 中 返 回 了 “ h t t p s : / / k o t r y n a b a s s d e s i g n . c o m / w p - a d m i n / a d m i n - a j a x . p h p ” 。 当 响 应 主 体 不 为 空 时 ， 即 当 它 包 含 该 U R L 时 ， 以 下 代 码 使 用 伪 造 的 用 户 代 理 向 响 应 中 的 a d m i n - a j a x . p h p   U R L 发 送 第 二 个 G E T 请 求 ： 所 以 ， 每 天 一 个 小 时 ， 没 有 任 何 人 工 干 预 ， 任 何 运 行 p i p d i g 插 件 的 博 主 都 会 向 伪 造 的 用 户 代 理 发 送 请 求 到 ’ h t t p s : / / k o t r y n a b a s s d e s i g n . c o m / w p - a d m i n / a d m i n - a j a x . p h p ‘   并 附 加 一 个 随 机 数 字 符 串 。 这 有 效 地 在 这 有 效 地 在 k o t r y n a b a s s d e s i g n . c o m 的 服 务 器 上 执 行 小 规 模 的 服 务 器 上 执 行 小 规 模 D D o S （ 分 布 式 拒 绝 服 务 ） 。 （ 分 布 式 拒 绝 服 务 ） 。 K o t r y n a b a s s d e s i g n 是 一 个 和 p i p d i g 类 似 的 w o r d p r e s s 主 题 提 供 商 ：
我 和 K o t r y n a 谈 到 了 这 些 要 求 ， 以 排 除 与 p i p d i g 的 某 种 共 同 安 排 ， 她 说 ： 在 分 析 人 员 为 了 和 K o t r y n a 联 系 以 排 除 是 否 和 p i p d i g 有 合 作 之 后 ， 负 责 人 说 了 下 面 的 话 ： “ 我 的 网 络 主 机 实 际 上 遇 到 了 很 大 麻 烦 ， 他 们 解 释 说 我 的 a d m i n - a j a x . p h p 文 件 受 到 了 某 种 攻 击 [ … ] 我 可 以 确 认 我 从 来 没 有 给 过 p i p d i g 任 何 向 我 的 服 务 器 发 出 请 求 的 权 限 。 我 也 没 有 与 他 们 建 立 伙 伴 关 系 或 任 何 形 式 的 联 系 。 ” 下 图 为 详 细 对 话 ， 其 中 提 及 了 有 大 量 不 同 的 I P 访 问 了 他 们 的 网 站 。
请 注 意 她 的 服 务 器 日 志 文 件 中 的 引 号 ， 特 别 是 p i p d i g 插 件 中 记 录 的 确 切 用 户 代 理 字 符 串 （ ’ M o z i l l a   /   5 . 0 （ W i n d o w s   N T 1 0 . 0 ;   W i n 6 4 ;   x 6 4 ） A p p l e W e b K i t   /   5 3 7 . 3 6 （ K H T M L ， 如 G e c k o ） C h r o m e   /   6 0 . 0 . 3 1 1 2 . 1 1 3   S a f a r i   / 5 3 7 . 3 6 ’ ） 和 a d m i n - a j a x . p h p 的 请 求 ， 和 上 面 代 码 中 提 及 的 使 用 请 求 P H P 的 随 机 生 成 的 编 号 字 符 串 。 这 个 D D o S i n g 的 唯 一 例 外 是 p i p d i g 自 己 托 管 的 客 户   -   因 为 每 小 时 c r o n 首 先 运 行 此 检 查 ： 大 概 是 为 了 不 减 慢 p i p d i g 服 务 器 的 速 度 ， 并 防 止 客 户 举 报 。 在 O n c e   D a i l y   c r o n 中 还 有 第 二 个 与 此 相 同 的 请 求 ， 尽 管 目 前 还 没 发 获 取 响 应 正 文 中 的 U R L
不 知 道 这 个 t x t 指 向 的 又 是 那 家 公 司 呢 ？ p i p d i g 操 纵 博 客 内 容 的 链 接 ， 替 换 竞 争 对 手 的 网 址 操 纵 博 客 内 容 的 链 接 ， 替 换 竞 争 对 手 的 网 址 在 / p 3 / i n c / f u n c t i o n s . p h p 中 ， 3 0 7 行 以 后 ： 在 这 里 ， 我 们 有 p i p d i g 的 插 件 搜 索 提 及 “   b l o g e r i z e . c o m   ” 的 字 符 串 ， 字 符 串 分 为 两 部 分 并 重 新 加 入 。 当 插 件 在 博 客 的 内 容 （ 帖 子 ， 页 面 ） 中 找 到 指 向 b l o g e r i z e . c o m 的 链 接 时 ， 它 们 会 被 转 换 为 “ p i p d i g . c o / s h o p / b l o g g e r - t o - w o r d p r e s s - m i g r a t i o n / ” 的 链 接 ， 即 p i p d i g 自 己 的 博 客 迁 移 服 务 。 交 换 这 些 链 接 可 以 提 高 对 p i p d i g 的 S E O 好 处 ， 并 且 绝 大 多 数 博 客 都 不 会 注 意 到 切 换 器 （ 特 别 是 如 果 页 面 / 帖 子 被 编 辑 ， b l o g e r i z e 的 链 接 将 像 正 常 一 样 出 现 在 后 端 ） 。 p i p d i g 收 集 数 据 和 更 改 管 理 员 密 码 （ 留 后 门 ） 收 集 数 据 和 更 改 管 理 员 密 码 （ 留 后 门 ） / p 3 / i n c / c r o n . p h p 中 ：
这 里 的 代 码 注 释 告 诉 我 们 这 段 代 码 将 “ 检 查 要 添 加 到 导 航 栏 等 的 新 社 交 渠 道 ” 。 然 而 ， 此 代 码 会 在 h t t p s : / / p i p d i g z . c o . u k / p 3 / s o c i a l z . t x t 上 执 行 G E T 请 求 ， 该 请 求 需 要 响 应 中 的 电 子 邮 件 地 址 。 当 在 当 在 G E T 请 求 正 文 中 请 求 正 文 中 “ 收 到 收 到 ” 电 子 邮 件 地 址 时 ， 该 函 数 会 检 查 电 子 邮 件 地 址 时 ， 该 函 数 会 检 查 U s e r s 表 中 是 否 存 在 该 电 子 邮 件 地 址 ， 对 其 运 行 自 表 中 是 否 存 在 该 电 子 邮 件 地 址 ， 对 其 运 行 自 己 的 己 的 “ p 3 _ c h e c k _ s o c i a l _ l i n k s ” 函 数 ， 然 后 使 用 它 来 记 录 站 点 函 数 ， 然 后 使 用 它 来 记 录 站 点 U R L （ 包 含 在 （ 包 含 在 $   m e 中 ） 在 中 ） 在 h t t p s : / / p i p d i g z . c o . u k / p 3 / s o c i a l z . p h p 的 一 个 脚 本 。 的 一 个 脚 本 。 p 3 _ c h e c k _ s o c i a l _ l i n k s （ ） 是 / p 3 / i n c / f u n c t i o n s . p h p 第 1 9 5 行 中 函 数 的 包 装 器 ， 它 将 用 户 密 码 更 改 为 ’ p 3 _ s a f e _ s t y l e s ’ 。 简 单 来 说 ： 当 c r o n 运 行 时 ， 它 会 检 查 s o c i a l z . t x t 中 的 电 子 邮 件 地 址 。 如 果 该 电 子 邮 件 地 址 存 在 ， 它 会 将 密 码 更 改 为 该 帐 户 ， 并 将 您 的 U R L 记 录 在 s o c i a l z . p h p 中 ， 以 允 许 访 问 任 何 有 权 访 问 该 文 件 的 人 。 如 果 您 的 管 理 员 电 子 邮 件 地 址 是 由 s o c i a l z . t x t 返 回 的 ， 那 么 您 将 被 从 管 理 员 帐 户 中 删 除 。 一 位 博 主 认 为 ， 这 可 以 用 来 为 p i p d i g 用 户 提 供 博 客 支 持 。 虽 然 这 是 可 行 的 情 况 ， 但 由 于 以 下 任 何 原 因 ， 这 是 一 种 完 全 令 人 讨 厌 的 方 式 ： 1 . 它 是 一 个 可 以 随 时 激 活 的 后 门 （ 不 仅 仅 是 在 需 要 支 持 时 ） 。 2 . 我 们 不 知 道 谁 可 以 访 问 这 些 数 据 ： 大 公 司 不 能 保 密 用 户 密 码 ， 我 们 为 什 么 要 信 任 p i p d i g ？ 有 一 些 方 法 和 手 段 可 以 支 持 W o r d P r e s s 用 户 而 无 需 重 置 密 码 。 3 . 这 可 能 很 容 易 被 恶 意 手 段 劫 持 。 4 . 密 码 就 是 明 文 ;   我 可 以 监 控 s o c i a l z . t x t 文 件 以 获 得 响 应 ， 并 通 过 一 些 谷 歌 搜 索 轻 松 找 到 相 应 的 博 客 到 电 子 邮 件 地 址 并 使 用 不 安 全 的 密 码 获 取 访 问 权 限 。 而 c r o n . p h p 种 下 面 有 一 个 函 数 是 用 来 收 集 另 一 个 竞 争 对 手 l y r i c a l h o s t . c o m 的 客 户 U R L 列 表 ： 同 样 ， 该 网 站 的 域 名 做 了 分 割 处 理 。
p i p d i g 包 含 一 个 擦 除 博 客 的 包 含 一 个 擦 除 博 客 的 k i l l 开 关 开 关 在 / p 3 / i n c / c r o n . p h p 中 有 以 下 内 容 ： 此 代 码 在 “ h t t p s : / / p i p d i g z . c o . u k / p 3 / i d 3 9 d q m 3 c 0 . t x t ” 上 执 行 G E T 请 求 。 如 果 它 返 回 与 您 的 博 客 U R L 匹 配 的 博 客 U R L ， 它 将 查 找 具 有 W o r d P r e s s 前 缀 的 所 有 的 表 并 逐 个 删 除 它 们 。 换 句 话 说 ， 如 果 您 的 网 站 位 于 他 的 杀 戮 名 单 上 ， 您 可 以 与 每 个 帖 子 ， 页 面 ， 插 件 / 常 规 设 置 ， 小 部 件 内 容 ， 主 题 自 定 义 ， 任 何 表 单 数 据 或 其 他 内 容 亲 吻 然 后 说 再 见 。 你 最 后 一 次 完 整 备 份 你 的 你 最 后 一 次 完 整 备 份 你 的 W o r d P r e s s 数 据 库 是 什 么 时 候 ？ 数 据 库 是 什 么 时 候 ？ p i p d i g 禁 用 它 认 为 不 必 要 的 插 件 禁 用 它 认 为 不 必 要 的 插 件 这 里 非 常 粗 暴 ， 在 插 件 激 活 后 的 / p 3 / p 3 . p h p 中 ， 插 件 会 停 用 一 大 堆 插 件 而 不 会 询 问 ：
再 往 下 ， 另 一 堆 被 停 用 ， 但 这 次 是 在 a d m i n _ i n i t 上 ， 每 次 加 载 后 端 面 板 时 都 会 运 行 ， 这 样 就 可 以 在 运 行 p i p d i g 的 插 件 时 重 新 启 用 它 们 ： 这 已 经 是 涉 及 基 本 道 德 问 题 了 。 若 有 同 学 还 想 再 次 复 现 代 码 分 析 场 景 ， 可 以 下 载 下 面 这 个 压 缩 包 。 因 为 p i p d i g 正 在 使 用 第 三 方 更 新 程 序 而 不 是 通 过 W o r d P r e s s 分 发 他 的 插 件 / 主 题 ， 所 以 他 可 以 在 任 何 时 候 重 新 实 现 已 经 删 除 的 代 码 ， 更 糟 糕 的 是 ， 其 可 以 推 送 更 新 。 如 果 您 受 此 影 响 ， 即 您 有 一 个 p i p d i g 主 题 / 插 件 ， 特 别 是 如 果 您 运 行 的 是 4 . 7 . 3 或 更 早 版 本 的 p 3   p o w e r   p a c k ， 我 建 议 您 执 行 以 下 步 骤 ： 1 . 备 份 您 的 W o r d P r e s s 文 件 和 数 据 库 ； 2 . 激 活 备 用 主 题 ； 3 . 取 消 激 活 并 删 除 p 3   p o w e r   p a c k 插 件 及 其 捆 绑 的 任 何 补 充 插 件 ； 4 . 检 查 您 无 法 识 别 的 任 何 用 户 并 将 其 删 除 ； 5 . 重 置 您 的 管 理 员 密 码 ； 6 . 安 装 W P   C r o n t r o l 或 类 似 的 c r o n 管 理 插 件 ， 并 删 除 任 何 名 为 p 3 _ 的 c r o n 作 业 ； 7 . 再 次 备 份 W o r d P r e s s 文 件 和 数 据 库 。 事 后 分 析 事 后 分 析 上 述 便 是 涉 及 的 关 键 恶 意 代 码 的 分 析 ， 下 面 将 是 在 事 件 爆 发 的 后 续 发 展 。 h t t p s : / / w w w . j e m j a b e l l a . c o . u k / w p - c o n t e n t / u p l o a d s / 2 0 1 9 / 0 3 / p 3 _ v 4 . 7 . 3 . z i p
开 头 的 P i p d i g 的 官 方 回 应 ( h t t p s : / / w w w . p i p d i g . c o / b l o g / s a d - t i m e s / ) ， 在 这 篇 代 码 分 析 中 来 看 ， 简 直 不 堪 一 击 ， 理 由 苍 白 。 单 一 条 ， 你 为 什 么 连 人 网 站 ， 你 就 已 经 解 释 不 清 了 。 他 是 这 么 回 应 的 ： 我 们 现 在 正 在 研 究 为 什 么 这 个 函 数 返 回 这 个 u r l 。 但 是 ， 它 似 乎 表 明 某 些 “ 作 者 U R L ” 已 设 置 为 “ k o t r y n a b a s s d e s i g n . c o m ” 。 我 们 目 前 不 知 道 为 什 么 会 这 样 ， 或 者 网 站 所 有 者 是 否 故 意 改 变 了 这 种 情 况 。 我 们 目 前 不 知 道 为 什 么 会 这 样 ， 或 者 网 站 所 有 者 是 否 故 意 改 变 了 这 种 情 况 。 我 们 不 知 道 ， 不 要 怪 我 ， 我 不 清 楚 ， 我 甩 锅 给 天 ！ 然 后 ， 看 见 这 些 毫 无 诚 意 的 声 明 的 t w i t t e r 网 友 以 及 w o r d f e n c e 彻 底 怒 了 ， 毕 竟 使 用 P i p d i g 的 用 户 还 是 很 多 的 ， 因 此 开 始 更 进 一 步 的 扒 皮 和 打 脸 ， 包 括 什 么 时 候 上 传 ， 什 么 时 候 删 库 ， 什 么 时 候 修 改 代 码 ， 都 一 一 列 举 了 出 来 。 包 括 什 么 时 候 上 传 ， 什 么 时 候 删 库 ， 什 么 时 候 修 改 代 码 ， 都 一 一 列 举 了 出 来 。 由 于 篇 幅 原 因 ， 感 兴 趣 的 同 学 请 直 接 跳 转 该 网 站 继 续 围 观 ， 毕 竟 这 文 章 也 一 个 很 好 的 取 证 教 学 。 h t t p s : / / w w w . w o r d f e n c e . c o m / b l o g / 2 0 1 9 / 0 4 / p i p d i g - u p d a t e - d i s h o n e s t - d e n i a l s - e r a s e d - e v i d e n c e - a n d - o n g o i n g - o f f e n s e s /
而 在 这 篇 文 章 中 还 有 一 个 关 键 证 据 ， 这 个 证 据 表 明 了 ， P i g d i g 不 仅 将 使 用 了 他 们 插 件 p i p d i g   P o w e r   P a c k 的 用 户 用 于 d d o s 攻 击 ， 而 且 还 将 调 用 了 他 们 的 一 些 B l o g g e r 主 题 的 J S 代 码 的 网 站 同 样 用 于 d d o s 攻 击 ， 关 键 证 据 分 析 如 下 。 在 调 查 过 程 中 ， 还 发 现 了 一 些 与 他 们 的 B l o g g e r 主 题 相 关 的 可 疑 代 码 。 此 代 码 是 P i p d i g 针 对 其 竞 争 对 手 的 可 疑 D D o S 活 动 的 一 部 分 ， 并 且 在 P i p d i g 否 认 任 何 此 类 行 为 四 天 之 后 一 直 有 效 ， 直 到 4 月 1 日 。 P i p d i g 的 一 些 B l o g g e r 主 题 已 被 确 认 为 对 P i p d i g 的 服 务 器 进 行 外 部 J a v a S c r i p t 调 用 ， 特 别 是 对 脚 本 h X X p s : / / p i p d i g z [ . ] c o [ . ] u k / j s / z e p l i n 1 . j s   调 用 ： 上 图 显 示 了 使 用 P i p d i g 的 B l o g g e r 主 题 之 一 在 网 站 的 实 时 源 中 调 用 z e p l i n 1 . j s 。 该 文 件 包 含 两 行 混 淆 的 J a v a S c r i p t 代 码 。 当 代 码 的 第 二 行 被 反 混 淆 并 且 可 读 时 ， 可 以 得 到 以 下 内 容 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理