Денежный блог

В течение последних дней читатели, подписанные на фид этого блога через Google Reader, через различные каналы подавали сигналы о появлении в фиде различного спама. Заголовки оставались мои же, а вот собственно текстом была реклама различных медикаментов.

Wordpress, в принципе, никогда не переставал удивлять количеством различных пробелов в плане безопасности, поэтому первоначально подозрения пали понятно куда. Однако даже после удаления всех релевантных файлов и свежего svn checkout из репозитария спам в фиде остался, причем выдавался только Google Reader.

Проблема, как выяснилось, появлялась не только на моем сайте, и после некоторой возни с базой данных выяснилось, что виной спаму был подгруженный на сервер r57shell, который благополучно записался в пару директорий типа .svn/props и затем записался в базу данных в графе active_plugins, которые WordPress при загрузке каждого файла предусмотрительно выполнял. Шелл всегда удачно прячется, хотя есть полуработающие инструкции об его поиске.

Проблема вроде как решена, однако не до конца понятно, как r57shell попал на сервер первоначально – через влом хостера (Dreamhost) либо блога (скорей всего). Пароль к блогу на всякий случай поменял, с хостером будем разбираться.

Читать дальше...