Tag Archive: blogs


Ayer añadí y activé un plugin que supuestamente iba a proteger mi blog de spam en forma de comentarios (además de pingbacks y trackbacks) sin la necesidad de usar métodos Captcha (era una capa de protección previa a la que ofrece Akismet). El plugin se llama Anti-Captcha, y la teoría sobre su funcionamiento era bonita (aunque no llegué a entenderla del todo pues tenía sueño y sólo quería probar qué tal iba, ahora tengo serias dudas sobre si había algo que entender).

Al parecer la instalación de dicho plugin había causado que incluso los comentarios legítimos no aparecieran en la lista de comentarios, y para postres me impedía a mi entrar al menú de administración. Mi decisión, obviamente, fue eliminar el plugin, ¿pero cómo hacerlo si no puedo acceder al panel de administración? Borrar los ficheros parece una solución buena, eso si no se piensa que su activación ha modificado la base de datos del blog y nos puede ocasionar problemas que haya referencias a ficheros inexistentes.

Así pues, la solución pasa por otro camino, casi igual de simple también. Lo primero que debemos hacer es acceder a la base de datos y visitar la tabla options (que tendrá un prefijo wp_ o el que hayáis decidido vosotros durante la instalación o tras una posterior modificación). En esa tabla debemos buscar una entrada tal que en el campo option_name tenga el valor active_plugins , vamos a editar esa entrada :) .

Si nos fijamos bien, veremos que en el campo option_value hay una cadena muy larga que empieza por “a:numero:{i:0;…“, ese primer número que nos encontramos indica la cantidad de plugins activados que tenemos en nuestro blog, dado que vamos a desactivar uno de ellos, cambiamos ese número por el mismo decrementado en una unidad, así, si tenemos 20, pondremos 19. Fijémonos ahora que para cada plugin encontramos una subcadena del estilo ‘i:numero;s:numero:”nombre_fichero_plugin.php”;‘, el número que acompaña a la i es una especie de índice que indica la “posición” del plugin dentro del blog, ahora sabiendo ésto ya podemos decidir qué hacer para eliminar el plugin de la base de datos sin que aparezcan inconsistencias en ésta. Primero de todo eliminamos la subcadena que hace referencia a ése plugin, depués debemos decrementar en una unidad todos los números que van precedidos de una i después de la aparición de la subcadena que hemos eliminado. Con ésto habremos acabado.

Lo que nos queda, si queremos eliminar cualquier rastro del plugin que nos ha amargado la existencia, es eliminar físicamente los ficheros del bicho en cuestión que tenemos en el servidor, lo podemos hacer desde el servicio ftp, ssh o desde el mismo panel de administración del blog, para gustos los colores.

Abandono Feevy

Hoy un amigo me ha comentado que la empresa de Feevy era propiedad del BBVA (lo podéis ver aquí), como ya comenté en un post anterior, no quiero tener nada que ver con esta empresa, así que esas son las razones para dejar de usar Feevy. Para los que no lo sepan, Feevy es una empresa/web… como queráis llamarlo, que ofrece un servicio de sindicación/blogroll bastante agradable a la vista y que se puede integrar muy fácilmente en páginas webs y blogs (he aquí la razón por la que usaba sus servicios, que son gratuítos).

Algunos podrán argumentar que usando sus servicios (siendo gratuítos) solo supongo una carga económica para ellos ya que no hago ningún pago, el sistema está exento de publicidad y obviamente mantener esos servidores tiene un coste. Pero eso es relativamente falso, les estoy haciendo publicidad muy barata, y eso tampoco lo quiero hacer bajo ningún concepto.

Saludos!

Hace unos minutos me encuentro con que mi sitio web se llenó de mierda a más no poder durante el ataque… o bién fue antes o después, el caso es que estaba infectado de Malware :s .

Pasando el ClamAV me encuentro con los siguientes ficheros infectados:

  • wp-contenty/themes/c99_Xrogue.php ( "Virus" PHP.C99-3 )
  • wp-content/uploads/2009/08/Xrogue_r57.php ( PHP Shell )

Por otro lado habían instalado un iframe en el index.php todos los ficheros index.php e index.html del sitio que llevaba a un sitio llamado odmarco.com (no vayáis, me parece que instala malware… si vais con Linux o algo del estilo simplemente vigilad las cookies y ese tipo de cosas no sea que hayan encontrado un modo de leerlas ilegítimamente a través del sitio, por los virus no creo que haya problema).

Me he enterado porque los de google han clasificado mi sitio como sospechoso (gracias a lo del iframe)… Me tendré que poner a cambiar claves de inmediato.

Actualización:

He corregido un bug que supuestamente se había corregido en la última versión de WP.. pero resulta que no. consiste en cambiar la línea:

if( empty( $key)  )

del fichero wp-login.php por la línea

if( empty( $key) || is_array( $key )  )

Por otro lado he borrado el fichero readme.html y he modificado algo más WP y el tema que uso para que no muestre el número de versión (instalé un plugin que en teoría hacía eso… pero no, otra vez anunciaban funcionalidades que no existían :s).

Blog securizado

He añadido una contraseña adicional al panel de administración de WordPress (las típicas claves .htaccess que te permite poner Apache) y he cambiado los prefijos de las tablas que usa la base de datos del blog… Espero que esto sea suficiente de momento para contener ciertos ataques.

Y como no, siempre mantengo wordpress actualizado, aunque ésta última vez no me sirvió de nada… creo que la combinación de medidas va a dar buenos resultados :) .

Ataque a mi blog

Hace unos minutos he recibido un ataque en mi blog bastante curioso. Alguien ha conseguido entrar y usurpar mi indentidad de administrador, me he dado cuenta cuando he recibido un email con el siguiente texto:

Contraseña perdida y cambiada para el usuario: castarco

Rápidamente he accedido a mi blog y he visto que no podía acceder, lo de la contraseña era cierto. Creo que he sido suficientemente rápido y he podido arreglarlo a tiempo… he ido al panel de administración de la web y he cambiado las tablas referentes a mi usuario para volver a poner mi dirección de email sin antes olvidarme de tomar nota de la que habían puesto allí. La dirección era ésta:

satanic.hellboy@yahoo.com

Buscando en Google he encontrado una sóla referencia a él, un artículo escrito en un documento Pdf sobre algo de pings.. está escrito en árabe persa… espero que no continúe así pues mi racismo puede verse incrementado de forma sustancial. El articulito de los cojones es el que se puede descargar desde aquí:

satanicboot.persiangig.com/document/Ping/Ping.pdf

si nos fijamos veremos que tiene todo un repositorio de programas, imágenes y documentos en

http://satanicboot.persiangig.com/

parece sin duda un buen punto de partida para investigar al sujeto… lástima lo de no saber árabe persa.

Lo que me ha llevado a su puto blog… también escrito en árabe (o algo parecido) persa:

http://www.shirazboot.blogfa.com/

La investigación continúa… no creo que pueda llegar a denunciar a éste energúmeno ante ningún tipo de autoridad pero es probable que me dedique a aprender lo suficiente como para joderlo tanto como pueda. La guerra sólo acaba de empezar.

Actualización:

Aquí podéis ver el resultado del whois que he hecho a la ip que he encontrado… parece ser de iran, cosa que concuerda con que sus textos estén escritos en árabe persa.. no sé si se ha escondido.. si me ha atacado desde el trabajo.. o desde su casa, si alguien me ayuda con éstos datos lo agradeceré.

whois 217.219.59.82

% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf

% Note: This output has been filtered.
%       To receive output for a database update, use the "-B" flag.

% Information related to '217.219.59.0 - 217.219.59.127'

inetnum:        217.219.59.0 - 217.219.59.127
netname:        ARAF
descr:          Aranik Fars Company
country:        IR
admin-c:        PH3105-RIPE
tech-c:         PH3105-RIPE
status:         ASSIGNED PA
mnt-by:         AS12880-MNT
source:         RIPE # Filtered

person:         Peyman Homayoun
address:        2nd floor , Bahar Building, Molasadra street , Shiraz ,Fars, Iran
phone:          +98 711 626 9933
e-mail:         info@aranic.net
nic-hdl:        PH3105-RIPE
source:         RIPE # Filtered

% Information related to '217.218.0.0/15AS12880'

route:        217.218.0.0/15
descr:        DCI-Route
origin:       AS12880
mnt-by:       AS12880-MNT
source:       RIPE # Filtered

% Information related to '217.219.56.0/21AS12880'

route:          217.219.56.0/21
descr:          DCI-Route
descr:          Shiraz
origin:         AS12880
mnt-by:         AS12880-MNT
source:         RIPE # Filtered

% Information related to '217.219.0.0/18AS12880'

route:          217.219.0.0/18
descr:          DCI-Route
origin:         AS12880
mnt-by:         AS12880-MNT
source:         RIPE # Filtered

% Information related to '217.219.0.0/16AS12880'

route:          217.219.0.0/16
descr:          DCI-Route
origin:         AS12880
mnt-by:         AS12880-MNT
source:         RIPE # Filtered

% Information related to '217.219.0.0/17AS12880'

route:          217.219.0.0/17
descr:          DCI-Route
origin:         AS12880
mnt-by:         AS12880-MNT
source:         RIPE # Filtered

% Information related to '217.219.32.0/19As12880'

route:          217.219.32.0/19
descr:          DCI-Route
origin:         As12880
mnt-by:         AS12880-MNT
source:         RIPE # Filtered

Ésto es todo por ahora.

Plaga de Spam ¿Akismet burlado?

Mi blog acostumbra a recibir pocos comentarios y por ello decidí que cada vez que se recibe un comentario se notificara a mi dirección de correo electrónico (más que nada para darme la alegría de saber que alguien está leyendo las tonterías que se me ocurren). Por otro lado, normalmente solo recibo mensajes que hacen referencia a comentarios normales, ya que el spam es aturado casi siempre por Akismet.

El tema del spam no es una minucia, generalmente se mantiene un ratio del 90% para comentarios  (o trackbacks o pingbacks) de spam respectivamente. Eso quiere decir que en sitios web populares se reciben diariamente miles de comentarios spam, y eso puede llegar a ser muy molesto, de ahí la aparición de herramientas como Akismet.

En mi caso es peor aún, mi blog no es demasiado popular y recibo pocos comentarios, lo que ha hecho que el spam pase a ser un 99,9% de todos los mensajes que recibo. De hecho, ahora tengo exactamente 100 comentarios legítimos en la historia de todo el blog, en contraposición a unos 10.778 comentarios de spam (que hasta ahora han sido detectados casi todos por Akismet, salvo rarísimas excepciones).

Pero Akismet ha perdido eficacia éste último mes, y no solo eso, los intentos de enviar spam también han aumentado, combinandolo todo tenemos que estoy hasta el gorro de moderar manualmente mensajes de spam. Estos ultimos días he tenido de media más de 100 comentarios de spam diarios y para postres, de esos 100, cada día he tenido que moderar 10, es decir, de una tasa de detección del 98 i pico por ciento, ha bajado a un 90 por ciento. Y lo peor de todo es que se repiten constantemente las mismas palabras, todos son anuncios de medicamentos y siguen una estructura hiperregular ¿como puede ser que estén siendo pasados por alto?

Se me ocurre una idea: Akismet ha recibido una especie de ataque para “envenenar” sus bases de datos. Akismet funciona de forma centralizada, cada vez que un blog que usa su sistema recibe un comentario, él comentario es contrastado con los datos de los servidores de Akismet para comprobar si es spam o no. El sistema no es perfecto, y cuando un mensaje es marcado como spam manualmente, la base de datos de Akismet “toma nota” de ello para detectar mejor posibles mensajes fraudulentos. Pero la cosa también funciona al revés, se han dado algunos casos de falsos positivos, y el administrador del blog ha de ser capaz de indicarlo al sistema para que no se vuelva excesivamente estricto y no deje pasar ni a los comentarios “buenos”, y ahí es donde reside la posible debilidad del sistema.

Supuestamente en Akismet tienen un sistema para evitar el envenenamiento de sus bases de datos con rectificaciones por falsos positivos que probablemente se base en listas negras, ya sea de ips o usuarios, pero hasta el momento en que estos llegan a las listas negras, se puede hacer bastante daño durante un tiempo limitado. El ataque se podría planear de forma que se hiciera desde muchos “blogs fantasma” de forma paralela (con muchos números de usuario diferentes del sistema Akismet) y consistiría básicamente en infectarlos con miles de mensajes con spam para luego clasificarlos como falsos positivos con algun script que automatizase la tarea. Es más, para dar credibilidad a los usuarios fraudulentos, se podría hacer que los falsos positivos los fuera marcando de forma un tanto aleatoria a lo largo del tiempo, intentando no mostrar ningún patrón y por otro lado, marcando como positivos todos los mensajes de spam no detectados por akismet que hubieran sido colgados por “la competencia spamera”, ya que alguien que solo marca falsos positivos también podría ser considerado como sospechoso.

Para solucionar éste problema lo que hace falta es: a parte de las listas negras, que son muy necesarias y útiles, guardar información sobre los “falsos positivos” para luego ver si mensajes idénticos (sí, identicos, parecidos no valen en este caso) son marcados como spam manualmente en otros blogs, ésto debería hacer saltar las alarmas. No sé si realmente hay implementado algo parecido, es probable que sí, en ese caso hace falta alguna medida más inteligente que se me escapa.

Por mi cuenta, lo que me toca ahora es poner un sistema de captcha que colabore con akismet para dificultar la proliferación de spam en mi blog.

Otro asunto, y que nunca dejaré de repetir: la mayoría del spam mundial se debe a redes zombies formadas por máquinas con MS Windows instalado en ellas, lo ideal sería que este sistema operativo desapareciera de la faz de la Tierra.. o bién tomen medidas serias, tales como cambiar sus políticas de seguridad por defecto, regalar guías de seguridad a los usuarios con sus paquetes de software o abrir el código de componentes críticos para que se pudieran solucionar sus vulnerabilidades de forma más rápida.

AsciiConvert

Blog amunt un altre cop!

Bé, després d’uns dies de blog caigut, ja torna a estar en marxa un altre cop. El cas es que el tenia en un servidor que tenia bastants problemes i cada dos per tres el blog era inaccessible, per això el proveidor de hosting em va preguntar si em feia il·lusió cambiar el servidor on allotjaba la meva pàgina, i jo vaig dir que sí encantat.

Vaig fer el típic backup esperant poder restaurar-lo a lo bestia a l’altre màquina.. però no va resultar, i he hagut d’estar fent petits ajustos fins que per fi la pàgina funciona com toca :) .

Fins una altra!

Nuevo plugin de encuestas :)

[ACTUALIZACIÓN] Acabo de desinstalar el plugin de encuestas por que no va bién, se queda clavado cuando se intenta votar :( .

Como últimamente estoy escribiendo bastante en el blog… y hace poco me encontré con el problema de no poder crear una encuesta en él.. he instalado el plugin wp-polls en mi blog :) . Y para estrenarlo… nada mejor que una encuesta. ( En el menú de la derecha )

Hoy he encontrado dos blogs bastante interesantes (aunque debo reconocer que uno de ellos me parece mucho más interesante que el otro) y he decidido añadirlos a mi lista de blogs favoritos para leer. Los dos blogs tratan de frikadas tecnológicas, sobretodo de programación, y la verdad es que en una tarde de lectura he aprendido bastantes cosas con ellos (aunque sean pequeñeces, se agradecen).

Los blogs son:

Pues nada, voy a seguir “trabajando”, hasta otra :) .

P.D.: Mi lector de feeds online está en http://rss.viricmind.org

Powered by WordPress | Theme: Motion by 85ideas.