Ooroon Bai

Und mein Ärger mit dem Plugin WP-Contactform

Nachdem mein Blog seit Freitag Nacht unter Dauerfeuer eines [zensur] Spammers lag, musste ich erst das Blog abschalten und dann den kompletten Webspace putzen. Nebenbei ist dann auch noch eine E-Mail-Adresse drauf gegangen (blog @ neun12.de), wer diese irgendwie irgendwo gespeichert hat, kann sie getrost löschen. Es gibt sie nicht mehr.

Was ist passiert?

Ich habe hier im Blog wie viele andere auch das WP-Contactform Plugin von Ryan Duff. Es ist ein einfaches Kontaktformular welches man mit einem Quicktag an beliebiger Stelle in sein Blog einfügen kann. Ich habe es normalerweise an zwei Stellen hier im Blog untergebracht: Unter den Menü-Punkt “Kontakt” und dem Menü-Punkt “About” (welchen es nicht mehr gibt).
Diese Kontaktformulare, oder Formmailer wie sie auch genannt werden, haben nun eine Schwachstelle. Fügt man bestimmte Daten an bestimmten Stellen im Formular ein, kann man dieses überlisten. Als Ergebnis bekommt der Spammer dann die E-Mail-Adresse raus an die normalerweise die Daten aus dem Kontaktformular geschickt werden.
Das alleine ist nicht so schlimm. Adressensammler gibt es zu hauf im Internet. Allerdings kann der Spammer nun mit weiteren modifizierten Daten so Spammails verschicken. Bei mir hat er dies im Minutentakt gemacht, so das ich am Samstagmorgen bereits 168 Spammails im Briefkasten hatte. Über die BCC-Funktion wurden diese Mails wohl auch noch in die weite Welt hinaus geblasen.

Wie kam der denn an die URL?

Die URL des Kontaktformulars hat der Spammer mit einem Brut-Force Angriff heraus bekommen. Brute Force bedeutet nichts weiter als das er einfach einige “übliche” URLs durchprobiert hatte. Auf vielen Webseiten gibt es Seiten die sich kontakt.html, contact.php, about.htm, login.php oder ähnlich nennen. Der Spammer hat sich also zu Nutze gemacht das viele ihre Dateien nach Schema F benennen.

Mir wurde dabei zum Verhängnis das ich die so genannten “Sprechenden URLs” bei WordPress eingeschaltet habe. Der Spammer hat einfach alle typischen URLs durchprobiert und hatte bei neun12.de/about/ bereits Erfolg. Ab da wusste er wo sich das Kontaktformular befand. Der Rest war dann nur noch reines Ausprobieren bis es geklappt hatte und schon wurde mein Blog zur Spamschleuder.

Was habe ich dagegen gemacht?

Als erstes einmal natürlich WordPress auf den letzten Stand der Dinge gebracht. Es läuft nun die aktuelle Version 2.0.1. Dies hat mit dem Spam-Angriff an sich nichts zu tun da der Angrifff über ein Plugin geschah. Trotzdem kann man nie wissen und aktualisieren tut gut. Geht auch recht flink, ist ganz einfach und dauert nur ein paar Minuten.

Nachtrag:
Silke Schürmann hat in ihrem Blog darauf hingewiesen das die Version 1.3 von WP-Contactform offensichtlich bereits gegen solche Angriffe abgesichert sei.
Nun kann ich nicht mehr 100%ig sagen welche Version im Blog installiert war bevor ich es runter geputzt habe. In einer Sicherung des Blogs auf meiner Festplatte habe ich die Version 1.3. Es kann aber möglich sein, dass das Plugin, welches von dem Angriff betroffen war, noch in der Version 1.2 vorlag!
Auf alle Fälle sollte man das Plugin updaten. Für den Betrieb mit WordPress 2.0 ist ohnehin die Version 1.4.3 nötig.

Als nächsten, und wohl wichtigsten Schritt, habe ich WP-Contactform deaktiviert. Ich rate jeden der dieses Plugin verwendet es ebenfalls zu deaktivieren! Vor allem dann, wenn man, so wie ich, sprechende URLs verwendet. Ganz besonders dann, wenn das Kontaktformular auf eine Unterseite liegt und z.B. über www.domainname.tld/kontakt oder /contact, /about, /uber oder ähnlichem zu erreichen ist! Es ist nur eine Frage der Zeit bis die Spammer das Kontaktformular irgendwo im Blog gefunden haben.
Das betrifft auch die Blogger, die keine sprechenden URLs verwenden! WordPress verwendet dann etwas das in etwa so aussieht: /?p=zahl. Wobei die Zahl die Nummer des Eintrages ist. Und was macht man als erstes wenn man ein Blog einrichtet? Richtig, Kontaktseiten schreiben (verf**** Impressumspflicht!).
Demnach müssen Spammer oft nur 10-20 Versuche starten bis /p=x den richtigen Verweis auf das Kontaktformular enthält.

Wer nun denkt er sei in Sicherheit weil er ein eigenes, selbst geschriebenes Kontaktformular hat, der irrt gewaltig. Einfach mal bei Google nach charleses3299@aol.com suchen. Es werden ca. 40.800 Seiten gelistet wo dieser Spammer es versucht hat. Und das sind nicht nur Blogs. Genau genommen werden die gehackten Kontaktformulare dabei noch nicht einmal aufgelistet. Es sind lediglich Gästebücher und Foren gelistet.
Der Trick den dieser Spammer anwendet betrifft also (fast) alle Formulare in denen man seinen Namen, E-Mail und Webadresse angibt und diese Daten automatisch an eine E-Mail-Adresse weitergeleitet werden!

Weiterhin habe ich meinen Unterseiten keine so aussagekräftigen Titel mehr verpasst. Die About-Seite erreicht man nun nicht mehr über neun12.de/about. Gleiches gilt für die Kontakt-Seite und alle anderen Seiten auf den evt. mal ein Kontaktformular erscheinen könnte.

Ich werde demnächst noch versuchen Ryan Duff zu kontaktieren und ihn auf das Problem aufmerksam machen. Denn selbst in der neuesten Version von WP-Contactform bleibt der Fehler bestehen. Das Problem bei diesem Plugin ist, dass die E-Mail-Adresse nicht richtig geprüft wird.
Das Plugin prüft zwar die E-Mail-Adresse und entfernt anscheinend auch dubiose Zeichen. Allerdings scheint dies nicht richtig zu funktionieren. Um die Fehlerquelle im PLugin ausfindig zu machen, müsste man allerdings genau wissen wie der Spammer vorgegangen ist. Ich habe dazu zwar eine Vermutung, bin mir aber nicht 100%ig sicher ob er es auch so gemacht hat.

Somit wäre eine neue Runde im Krieg Menschheit gegen Spammer eröffnet. Falls jemand genaueres dazu weiss wie die Kontaktformulare überlistet werden oder Links hat, bitte ich um Hinweise in den Kommentaren! Danke schon mal.