¿Puede un plugin o tema de WordPress contener un virus?

2

¿Es posible escribir un virus en forma de un complemento / tema de WordPress?

¿Es posible:

  • ¿robar datos de usuario?
  • ¿
  • daña la instalación existente de WordPress?
  • (opcionalmente) auto-propagación del virus?

¿Existen casos de este tipo de virus?

    
pregunta Marek 14.09.2010 - 08:35

2 respuestas

4

Cuando escribes código PHP, puedes hacer casi cualquier cosa. Así que cuando ejecuta el código de un complemento, puede hacer casi cualquier cosa también.

  • Puede consultar la base de datos y obtener cualquier información que haya allí (por lo que es una buena idea almacenar las contraseñas como hashes).
  • Como puede consultar la base de datos, también puede eliminar cualquier cosa en la base de datos, arruinar la configuración, apagar complementos, etc.
  • Los complementos pueden enviar información de manera normal, correo, http, por lo que la propagación de un virus será difícil si el receptor tiene una buena protección.

Dependiendo de la configuración de su servidor, un complemento puede hacerse cargo de su servidor. Si lo permite, para descargar archivos que puede ejecutar, podría descargar cualquier código, que podría ejecutarse en su servidor. Si el usuario que ejecuta el código tiene suficientes privilegios, puede hacer cosas como cambiar la contraseña para que no pueda acceder al servidor.

Pero todo esto, será fácil de detectar, por lo que si mucha gente lo está usando, debería estar seguro de descargarlo y usarlo, ya que los expertos desarrolladores de PHP lo habrían descubierto.

Así que la respuesta corta es, sí, casi todo es posible, pero los peligros no son tan grandes. Si utiliza pluings populares .

Creo que un peligro mayor, sería que el complemento esté mal escrito, y accidentalmente creará un riesgo de seguridad, como no validar los datos proporcionados por el usuario, etc.

    
respondido por el googletorp 14.09.2010 - 09:18
3

Sí. Sí. Sí.

Todo esto no solo es posible, sino que también se encuentra fácilmente en la naturaleza. Hubo olas enteras de malware de WordPress de propagación automática para algunas versiones antiguas inseguras.

Todo a lo que WordPress tiene acceso: cualquier tema o complemento también tiene acceso. Robar o arruinar datos es trivial para el código que se ejecuta como extensiones WP.

    
respondido por el Rarst 14.09.2010 - 08:53

Lea otras preguntas en las etiquetas