怪しいWordPressプラグイン：Twitter Poster

「ついっこ」のwordpress_fanで、「このWordPress用プラグイン、怪しくね？」という話題が流れていた。

リンク１：twitter poster - Twitter Search
リンク２：@wordpress_fan Twitter Poster ヤバイっすね。．．．
リンク３：twitter-poster.php の base64 エンコードされている部分を展開したソース．．．

この問題のプラグインはTwitter Posterと呼ばれるプラグインであるが、2007年の11月4日にTechCrunchで紹介(原文)されていたTwitter Posterとはまったく別物なのでややこしい。

もちろん、TechCrunchで紹介されたTwitter Posterの中の人と、WordPressプラグインのTwitter Posterの作者は全然違う人である。

そこで、このプラグインを調べてみた。

Twitter Poster, WordPress, プラグイン

このプラグインの方がSCAM（詐欺）だと主張しているサイトが見つかった。

リンク：Automatic Twitter Poster Plugin for WordPress is a SCAM | theDomz.com
# 何の前振りも無しでいきなりかよ．．．

このプラグイン経由での投稿では自動的に特定のサイトを指すTinyURLが付加されることも指摘されているが、なんといっても問題は、該当プラグインの先頭にあるbase64エンコードされた部分のコード。

このbase64エンコードされたコードをデコードして確認してみると、エンコードされているコード中にlibcurlでHTTP POSTを発行している部分がある。

$curl_handle = curl_init();
$encoded_link = urlencode($link);
$referrer = $link;
curl_setopt($curl_handle, CURLOPT_URL, "http://72.9.228.239/get_link_info.php?source=$encoded_link");
curl_setopt($curl_handle, CURLOPT_POST, true);
curl_setopt($curl_handle, CURLOPT_RETURNTRANSFER, TRUE);
curl_setopt($curl_handle, CURLOPT_REFERER, $referrer);
$data = curl_exec($curl_handle);
$http_status = curl_getinfo($curl_handle, CURLINFO_HTTP_CODE);

IPアドレス「72.9.228.239」って誰？

→このアドレスはGNAX（http://www.gnax.net/）という米国ジョージア州のプロバイダ配下のアドレスらしい。



で、このあやしいHTTP POSTの前後を見ると、どうやら、送信している情報はget_link_info.phpに渡しているQueryString「?source=$encoded_link」という情報だけらしい。

この変数「$encoded_link」は該当コードの付近を読んでみると、どうやら、WordPressのPostIDで返されるPermaLinkがセットされており、これだけであれば、それほど大きな問題ではないが、何でHTTP POSTなんだろう？

もし、このHTTP POSTの目的が利用者のリファラ（というかTwitterに投稿されるPermalink）を収集するのが目的であれば、POST処理にする必然性はどこにもない。
というか、不必要なHTTP POSTは利用者の不安を煽るだけなので、HTTP GETを使ってない以上、SCAM(詐欺)と言われても仕方が無いと思われ。

最も、上記PHPコード中に

curl_setopt($curl_handle, CURLOPT_POSTFIELDS, $xxxxxx);

という文があると完全にクロであるが．．．

一応、WordPress.orgの日本語フォーラムには注意が上がっている模様。

リンク：WordPress › フォーラム » Twitter Poster プラグインは危険！

で、本家のフォーラムを見ると．．．

リンク：WordPress › Support » Tags — twitter-poster

どう見ても開き直りです。ありが(ry
# ある情報がスパムか否かは情報の受信側が決めるのであって、送信側ではない。


あと、このプラグインが詐欺と主張しているサイトで、スパムリンクとしてあげられているホストのwhoisを調べてみた。

該当ホストには「baby-parenting.co.uk」や「abc-baby-names.com」なんてのがあるが、IrelandのKevin Baylanという人が該当ドメインの登録者となっている。



■追記
なお、theDomz.comのエントリ中には、この怪しいHTTP POSTの変数を削除した安全な版へのリンクも紹介されている。