Recentemente estive envolvido na preparação do Extreme Makeover e do Lucrando Bonito na Rede, e acabei encontrando um artigo interessante e preocupante ao mesmo tempo: WordPress Theme Security Vulnerabilities (link para o cache do Google porque o artigo foi removido do seu local original).

A questão que quero abordar é bem simples: tome cuidado com de onde você baixa os temas para seu WordPress, pois eles podem não ser tão inocentes quanto parecem.

O WordPress é escrito em PHP, que é uma poderosa linguagem de programação. Os temas para o WP nada mais são que uma combinação de scripts em PHP e JavaScript, folhas de estilo em CSS e imagens, que provêem a camada de apresentação do site. Ora, se os temas são script, nada impede que eles contenham trechos de código que façam mais do que dizem que estão fazendo.

Por exemplo, uma das técnicas de Black Hat abordadas pelo autor do artigo acima citado (que também é criador de diversos temas para o WordPress) consiste em entregar conteúdos distintos para o Googlebot e para um usuário humano. Isso é facílimo de fazer, haja vista a possibilidade de identificar-se o user agent que está acessando a página, e servir o conteúdo adequado conforme o caso. Normalmente os blackhatters incluem nos temas hackeados links em locais relevantes para seus sites PPC (Pornografia, Pílulas, Cassino).

Porém, a coisa pode ir ainda mais longe: estamos falando de um ambiente de programação completo, capaz de tornar seu humilde blog em um bot de spam em comentários, ou numa estação de envio de spam por e-mail, ou qualquer coisa imaginável e executável em ambiente web.

A solução para este problema pode ser simples ou complexa, dependendo do seu nível de conhecimento técnico.

Se você for programador, vai ser fácil de identificar códigos suspeitos. Aliás, eu nunca ponho um tema em uso no meu site sem inspecionar todos os arquivos — até por causa da inclusão da publicidade, e porque eu nunca vou querer tudo que vem pré-configurado no tema (como o blogroll), além de sempre faltar algo de que eu precise. Já com os plugins confesso que não sou tão criterioso assim, principalmente se o plugin for daqueles complexos que têm um diretório só para si.

Caso você não tenha os conhecimentos necessários para auditar os componentes por si mesmo, vai ter que contar com a ajuda de alguém mais apto, ou limitar-se a usar os temas padronizados que seu host oferecer (a DreamHost oferece cinqüenta pré-instalados, a PortoFácil oferece consultoria gratuita para a instalação segura dos temas, embora não faça a customização dos mesmos).

E você, o que acha disso? Seria possível, na sua opinião, criar uma ferramenta que identificasse automaticamente os arquivos maliciosos? Por favor, deixe-me saber sua opinião sobre esse assunto, os comentários são todos seus!

Textos possivelmente relacionados:

1. Atualize seu WordPress com segurança
2. Segurança online
3. Comprando com segurança no Mercado Livre
4. WordPress Plugin: contagem de palavras
5. WordPress 2.0.5: saiu a correção para o erro 500