Display Widgets插件由于含有恶意代码从WordPress官方下线

Display Widgets是一款收录在WordPress官方,并且有超过20万次安装下载量的插件,已经被WordPress官方强制下线,原因也比较尴尬,是因为这款插件有恶意代码,而且是插件作者主动植入的恶意代码,而不是第三方恶意植入的。之前无论是主题还是插件,如果有问题,大多数都是因为安全漏洞被植入恶意代码,而这款插件是作者植入的恶意代码,这个就有些尴尬了,不知道插件作者的动机是什么;

发现这个问题的是一个SEO顾问,他发现问题之后,及时向WordPress插件团队做了报告,WordPress官方插件团队在仔细检测了这个插件之后,确认Display Widgets插件作者插入了代码,这些代码可以不经过授权就可以获取WordPress网站的访客数据,并且向网站内容插入黑链。

Wordfence,WordPress著名的安全插件也在第一时间发布了一篇文章,警告用户如果按照了名为Display Widgets的插件或者有相似名称的插件要及时删除,因为这款插件有恶意代码,并及时整理了整件事情的来龙去脉(所有时间均为美国时间):

2017年6月21号:Display Widgets插件作者在WordPress官方论坛宣称,已经将插件卖给了其他人;这款插件当时的版本是:2.6.0;

2017年6月22号:一个美国的SEO顾问,通过邮件告知WordPress官方,Display Widgets插件含有恶意代码;

2017年6月23号:Display Widgets插件从WordPress官方插件库移除,在WordPress官方论坛针对这款插件还有一个讨论帖子:点击查看;这里最不寻常的是,Display Widgets只有200K,而更新一个版本之后竟然有38M,这绝对是不正常的情况!

2017年6月30号:Display Widgets发布了2.6.1版本,这个版本确认有大量的恶意代码植入,插件有一个文件名为:geolocation.php,允许插件作者在任何安装了Display Widgets插件的WordPress程序的网站上未经授权的发布,编辑任何文章,这已经是非常大的权限,可以修改文章内容,插入恶意代码,而这一些都是WordPress站长不知情的;

2017年7月1号:Display Widgets插件再次从WordPress官方插件仓库移除;

2017年7月6号:Display Widgets插件发布2.6.2版本,这个版本依然包含大量的恶意代码,依然会获取用户的数据;

2017年7月23号:一个帖子在WordPress核心功能讨论区发布,是关于 Display Widgets插件包含恶意代码的,为了增加可信度,还把google的检测见过也贴上了,点击查看

2017年7月24号:Display Widgets插件再次被WordPress插件团队从WordPress官方移除;

在沉寂很久之后,2017年9月2号,Display Widgets插件发布2.6.3版本,依然包含了之前的恶意代码;

2017年9月7号:一个用户在Display Widgets插件官方论坛再次确认,Display Widgets插件包含恶意代码,会获取WordPress网站的权限;

2017年9月8号:Display Widgets插件作者公开回应:说Display Widgets插件2.6.3版本已经修复了之前的漏洞,如果用户发现该插件依然包含恶意代码,建议用户清除WordPress缓存并且升级Display Widgets插件插件到最新版,并且说在数据库的 wp_options表中也看不到任何的相关恶意信息;

但是这款插件从2.6.1版本到2.6.3版本都包含恶意代码,并且以木马后门的形式存在,持续了超过75天,很明显,这是插件作者的主动行为,而且插件作者的声明也说,仅仅只有100个网站是受害者,但这款插件有20万的下载量,所以,回顾整个时间可以看出来,这是一件有预谋的恶意植入事件。

2017年9月8号: Display Widgets插件第四次从WordPress官方移除,但希望这次是永久的,而不会再有后续的版本和时间发酵,但这种事情很难说,之前有一款主题包含恶意代码,但几个月之后,确认没有任何恶意代码之后,依然再次在WordPress官方上线;

2017年9月12号:WordPress官方插件团队确认Display Widgets插件发布2.7.0版本并且这是一个纯净的,不包含任何恶意代码和后门的插件版本,建议各位升级,但如果您不想使用这款插件,直接删除即可,这款插件也恢复到了2.0.5版本,这是未发现恶意代码之前的版本。

除了Display Widgets插件,还有一些插件可以实现类似的功能,比如: Widget Options;Custom Sidebars;Content Aware Sidebars等;

这个事件也使WordPress官方插件团队意识到,他们需要改进和用户的沟通方式,确保类似的事情不在发生。

如果您依然在使用Display Widgets插件,建议您直接删除吧!

类似文章

2条评论

回复 chencool 取消回复