Timthumb Vulnerability Renderers Viele WordPress-Seiten von Google blockiert

Die Google-Malware-Warnungen begannen Anfang des Monats im Internet und selbst jetzt werden Websites noch von autonomen Internet-Skripten infiziert. Wenn Sie eine WordPress-Website mit einem benutzerdefinierten Premium-Design betreiben, sehen Sie möglicherweise die obige Nachricht, wenn Sie versuchen, Ihre Website zu besuchen ( hoffentlich nicht .... ). Das Problem liegt in einer Schwachstelle, die kürzlich in einem beliebten Bildmanipulations-Skript namens Timthumb entdeckt wurde. Das Skript ist sehr beliebt bei Premium-WordPress-Themes, was diesen Exploit besonders gefährlich macht, da der Exploit-Code schon seit einigen Wochen in der Wildnis ist. Die gute Nachricht ist, ich werde nicht nur überprüfen, wie Sie erkennen, ob Sie bereits infiziert wurden, sondern auch, wie Sie Ihren Blog patchen, um zu verhindern, dass er überhaupt infiziert wird.

Wie überprüfe ich, ob Sie ein Problem haben?

Abgesehen davon, dass Sie beim Besuch Ihrer Website eine ähnliche Warnung wie in Chrome sehen, gibt es zwei einfache Möglichkeiten zu sehen, ob Ihre WordPress-Installation infiziert ist.

Der erste ist ein externer Wordpress-Scanner, der von Sucuri entwickelt wurde: http://sitecheck.sucuri.net/scanner/

Das zweite ist ein serverseitiges Skript, das Sie auf Ihre Website hochladen und dann von einem Webbrowser laden. Dies ist unter http://sucuri.net/tools/sucuri_wp_check.txt verfügbar und muss nach dem Herunterladen gemäß den folgenden Anweisungen von Sucuri umbenannt werden:

Speichern Sie das Skript auf Ihrem lokalen Rechner, indem Sie mit der rechten Maustaste auf den obigen Link klicken und den Link speichern
Melden Sie sich über sFTP oder FTP bei Ihrer Site an (wir empfehlen sFTP / SSH)
Laden Sie das Skript in Ihr WordPress-Stammverzeichnis hoch
Benennen Sie sucuri_wp_check.txt in sucuri_wp_check.php um
Führen Sie das Skript über den Browser Ihrer Wahl aus - yourdomain.com/sucuri_wp_check.php - Stellen Sie sicher, dass Sie den URL-Pfad zu Ihrer Domain ändern und wo auch immer Sie die Datei hochgeladen haben
Überprüfen Sie die Ergebnisse

Wenn der Scanner infiziert ist, sollten Sie die infizierten Dateien sofort entfernen. Aber selbst wenn die Scanner "All Clear" anzeigen, haben Sie wahrscheinlich immer noch ein Problem mit Ihrer eigentlichen Timthumb-Installation.

Wie repariere ich es?

Erstens, wenn Sie dies noch nicht getan haben, sichern Sie eine Kopie Ihres WordPress-Verzeichnisses und Ihrer MySQL-Datenbank. Anweisungen zum Sichern der MySQL-Datenbank finden Sie im WordPress-Codex. Ihr Backup kann Junk enthalten, aber es ist besser, als von nichts anzufangen.

Als nächstes holen Sie sich die neueste Version von timthumb unter http://timthumb.googlecode.com/svn/trunk/timthumb.php

Jetzt müssen wir das neue timbthumb .php sichern und es so machen, dass externe Seiten Run-Skripte nicht aktivieren können. Gehen Sie hierzu folgendermaßen vor:

Benutze einen Texteditor wie Notepad ++ und gehe zu Zeile 27 in timbthumb.php - Es sollte $ allowedSites = array (
Entfernen Sie alle aufgelisteten Websites wie "imgur.com" und "tinypic.com".
Nachdem alles entfernt wurde, sollte die Klammer nun leer und wie folgt geschlossen sein: $ allowedSites = array ();
Änderungen speichern.

Okay, jetzt, da das neue Timbthumb-Skript sicher ist, müssen Sie sich per FTP oder SSH mit dem Server Ihrer Website verbinden. In den meisten benutzerdefinierten WordPress-Designs, die timbthumb verwenden, befindet es sich im Ordner wp-content \ themes \ [themename] . Lösche die alte timbhumb.php und ersetze sie durch die neue. Wenn Sie mehr als eine Kopie von timbthumb auf Ihrem Server haben, müssen Sie sicher sein, ALLE zu ersetzen - beachten Sie, dass sie manchmal nur thumb.php genannt werden.

Sobald Sie timbthumb auf Ihrem Webserver aktualisiert und alle Dateien gelöscht haben, die von den oben genannten Scannern erkannt wurden, können Sie mehr oder weniger gut gehen. Wenn Sie der Meinung sind, dass Sie ein wenig zu spät upgraden und Sie möglicherweise bereits infiziert sind, sollten Sie sofort Ihren Webhost kontaktieren und ihn bitten, einen vollständigen AV-Scan Ihres Webservers durchzuführen. Hoffentlich kann dann helfen, Sie zu reparieren, sonst müssen Sie möglicherweise zu einer Sicherung zurückkehren.