危険? 安全? フリーのブログテンプレート

BloggerはGoogleが力を入れていないのか、テンプレートのデザインがまったく充実していません。そろそろレスポンシブくらいにはしたいなーと思いましたが、手がありません。そこでフリーのテンプレートを探してみたら、とても魅力的なものがたくさんあるではありませんか!


どれどれちょっと試してみようかと、気に入ったテンプレートをダウンロードし、ウィルスチェックもOK。よし適用するぞ、とちょっとだけ緊張しつつマウスを握ります。このときふと、念のためソースを見てみようかな、と思い立ちました。さっそくエディタで開いてみると...。うーん、これが安全なのかどうか判断できません。せっかくブログを訪問していただいた方にご迷惑になる可能性もあるので、残念ながらやめることにしました。

どこが問題かというと、テンプレートのソースのjavascriptに以下のような圧縮・難読化部分があって何をしているのか全く分からなかったり(されてなくても良くわかりませんが)、


そのソースの中にURLをアクセスしている部分があったり、それ以外の部分でも他のサイトからスクリプトを取ってきていたり。もちろんそれぞれ安全なのかも知れませんが、自分で確認できない場合は、よほど信頼できる会社でなければ使用しない方が良さそうです。何かあってからでは手遅れですからね。ちなみに安全なサイトかどうか判断してくれる無料サービス

Sucuri.net

に提供元サイトやテンプレート中のURLを入れてみたら、

Warning: Malicious Code Detected on This Website!

Status: Infected With Malware. Immediate Action is Required.

だそうです。危なかった...。と思いきや、GoogleセーフブラウジングやVirusTotalでは安全の判定。結局どっちなんだか分かりませんでしたが、少なくとも標準のテンプレートよりもリスクが高いのは確実です。やめました。

仮に今問題なくても、外部サイトへのリンクがあるということは、いつでも危険なコードに豹変する可能性があるわけですしね。

おまけ
圧縮・難読化されたソースコードの一部をちょっと読んでみました。データの羅列に見える部分をASCIIコードに変換すると、何となく見覚えのある形が浮かび上がります。
例えば

A(f k=0;k<h.v.o;k++){

のAはfor、fはvarに違いありませんし、

21://1.3a.37.29/36/34/3D/3B/3j/32.3b

の21はhttp、29はcom、のようでした。このような対応関係がいくつか分かると、ソースコード内の対応表に載っている番号と単語の対応が分かり、全文が解読できそうです。まるでシャーロックホームズの踊る人形でもやっている気分。まあそんなことをしなくても解読してくれそうなサイトもありましたが。

圧縮・難読化自体は、元々はカジュアルなリバースエンジニアリングへの対抗手段として使われるので、圧縮・難読化されているからマルウェアが仕込まれていると一概には言えませんが、中に何が入っているか分からないこと自体大きなリスクです。君子危うきに近寄らず、で行きましょう!

参考
悪性スクリプトの埋め込み方法の最新動向