Onda de ataques ao WHMCS – o que fazer?

Desde o lançamento da versão 5, os usuários do WHMCS têm tido uma dor de cabeça com uma série de ataques e ameaças à segurança. Como o Edvan noticiou em seu blog, o Matt liberou uma atualização de segurança para corrigir uma falha que atinge todas as versões do sistema. Desde então tem sido um problema atrás do outro.

Ataques

Mesmo com o patch de segurança aplicado, algumas instalações – várias para ser precisa – foram vítimas do “ticket maldito”. O ticket geralmente contem um código iniciando com:

{php}eval(base64_decode(….

Quando se vai decodificar o código enviado, acaba-se percebendo que aponta para algum arquivo que tenta pegar seus dados. Algumas pessoas tiveram tudo apagado no WHMCS. Outros que guardavam informações de login de servidores, também tiveram problemas. Um amigo teve dois VPS zerados por causa de um mísero ticket.

A vulnerabilidade neste caso é culpa do Smarty – o sistema de templates usado pelo whmcs.

Proteja-se

Além das dicas básicas de segurança do WHMCS (mais abaixo), existem algumas coisas pra prevenir este problema específico.

- Aplique o patch e mantenha seu sistema sempre atualizado;

- O próprio Matt postou este código no Webhosting Talk:

<?php
$checkvars = array('subject','message');
foreach ($checkvars AS $checkvar) if (strpos($_REQUEST[$checkvar],'{php}')!==false) die("no thanks");
?>

Salve o código acima em um arquivo com qualquer nome, por exemplo smarty_ticket.php e envie para a pasta /inludes/hooks/ do seu whmcs. O que ele faz é detectar se algum ticket começa com a tag {php} e se começar, ela não processa a abertura do ticket (mas isso não garante que algum arquivo seja enviado).

Passos extras de seguranca

Se você ainda não fez os passos extras para um whmcs mais seguro… Abra o arquivo configuration.php :

- As pastas “attachments”, “downloads” and “templates_c” precisam ser acessíveis pelo whmcs e precisam de permissão 777. Quando pastas tem este tipo de permissão, é melhor que não fiquem acessíveis ao público. Mova estas pastas do /public_html/ para /home/usuario/ e informe o novo endereço no arquivo configuration.php (na raiz do whmcs):

$templates_compiledir = "/home/username/templates_c/";

$attachments_dir = "/home/username/attachments/";

$downloads_dir = "/home/username/downloads/";

- Você também pode alterar o nome da pasta de admin para qualquer outro como /backend, /eupresa (ehhehehe). Você também tem de informar a mudança no configuration.php:

$customadminpath = "meuadmin";

Lembre, pelamordedeus, se mudar o nome desta pasta, altere também tudo que tiver relação a ela, como o cron.

Backup sempre

Sempre tenha um backup atualizado da sua instalação do whmcs bem como de seus clientes.

Em tempo: O Edvan me mostrou um programa que circula na Internet, um executável que fica escaneando vulnerabilidades em uma instalação do WHMCS. Então, todo cuidado é pouco. A coisa está ficando séria.