カテゴリー
ネットの事件

ワードプレステーマ販売の Pipdig が、顧客サイトを使って競合にDDoSを掛けていた

ブログツール WordPress の有料デザインテーマを販売する Pipdig が、販売したテーマの中に競合製品の妨害をするなどのコードを隠し入れていた、ということで騒ぎになっています

イギリスのジェム・ジャベラ氏(Jem Jabella)のレポートが口火を切った疑惑は、Pipdig の売っているテーマが利用している Pipdig Power Pack (P3) プラグインの動作に関するもの。

さまざまな「特権的」コードの混入

「有料テーマを買って入れたら、ワードプレスのサイトがおかしな挙動を示すようになった」と顧客から調査を頼まれた彼女は、サイトがひどく遅くなっていることに気づきます。P3 プラグインがその原因だろうと突き止めた彼女は、P3が以下のようなことをしていると突き止めたと言います。

  • 利用者ブロガーのサーバーを使って、競合のウェブサイトに DDoS を掛ける
  • 利用者ブロガーのコンテンツ内のリンクを変更し、競合サイトの紹介リンクをPipdig へのリンクに変更する
  • GDPR違反となるような許可の無い利用者ブログの情報を収集する
  • 管理者パスワードを変更して利用者ブログへのアクセス権を得る
  • データベースの全テーブルを削除するスイッチを内蔵
  • Pipdigが不要と判断する他のプラグインを、ユーザーに問い合わせることなく無効化
  • ワードプレス本体や他のプラグインが出す警告を隠す

ジェムさんはこれらのコードの該当部分それぞれを記事中で解説していますが、実際の実行コードを外部のサイトから取得して動かしていたりする作りもあり、ある時点でその外部コードを調べても空ファイルだったり、無害なコードだったりと、すぐには何をしているのかわからないように工作されているようです。

管理者のメールアドレスをテキストファイルに出力し、そのログインパスワードを変更する機能などもあり、これが(WordPress に詳しくない)ユーザーをサポートする際に使おうという機能ではないかという擁護もありましたが、サポートを依頼したユーザーだけでなく全利用者に対して使えるようになっていることなど、Pipdig に対する疑念が表明されています。

別の操作。Bluehost という競合のテーマが有効になっていたら、そのキャッシュ機能を切り、WordPress公式に偽装したドメインに置いたコードを実行した上で「サイトが遅くなってますか?」というメッセージを表示させてた、というもの。

告発を受けたバージョンのソースコードのミラー。Pipdig 社はすでにいろいろなコードを削除した新バージョンを公開しているので、証拠保全用に前の問題があるバージョンを保管した人がいるようです。

Pipdig の「弁明」

Pipdig はブログで公式な声明を出しています。

彼らはたった4人の小さな会社で、猫の画像が好き。テーマをコピーして売ろうとする盗作が起こり、その対策としてコードを入れた、等、悪意でやったものではないと書いています。

また、停止させた他のプラグインのリストと、停止させた理由も書かれています。

一つ一つの理由を見れば、隠し入れられたすべての機能が最初から悪意を持って入れられたものではないのかもしれません。競合の排除やリンクの変更はそれでも弁明不可能に思いますが。

こういろいろと揃ってみると、購入者のワードプレス/サーバに対して自分たちのものであるかのように自由に操作しようとしている感じがあり、名誉回復は難しいのではと感じます。

ジェムさんは Pipdig を「ワードプレス有料テーマ販売の大手の一つ」と書いていますが、日本語で宣伝や販売をしていた感じでもないので、日本にはそれほどユーザーがいないのかもしれません。もし使っている場合は、Pipdig 社が出したこれらの機能を削った最新版に更新するか、彼らが信用できなければ他社のものに変更した方がいいかもしれません。

via Wordfence, Hacker News

カテゴリー
WordPress

WordPressに喋らせる Amazon Polly プラグイン。読み上げ podcast 開設まで

[更新 2019-02] この記事のためだけにプラグインを入れておくのを止めて、プラグインは無効にします。また、プラグイン名は Amazon Polly から Amazon AI に変更されていたようです。

Amazon 自身が音声合成サービス Amazon Polly のワードプレス用プラグイン Amazon Polly公開したので、早速入れてみました。

インストールと設定

WordPress のプラグインディレクトリから選んでインストールすると、「設定」メニューに Amazon Polly が出てきます。

必要な権限を持たせたAWSのアカウントを用意して、以下の二つを設定。

  • AWS access key
  • AWS secret key

また、Voice Name で言語や話者を選べるので、日本語の女性 Mizuki か男性 Takumi を選んでおきます。

Cloud storage の項目では、合成された音声をローカルではなくAmazon S3に置く指定も可能です。

音声対応の記事を書く

これで新規にブログ記事を書こうとすると、投稿画面に”Enable Amazon Polly”というチェックボックスが出てくるので、喋らせたい記事にチェックを入れます。チェックすると「今回の変換にいくら掛かるか?」を確認するボタンまで出してくれるのは、有料APIだけに安心感があります。

あとは通常と同様に公開するだけ。

記事の先頭(プラグインの設定により末尾に出したり、表示しないことも可能)に、上のように音声再生のウィジェットが表示されました。聴いてみるとかなり良い感じで合成されていますね。

Autoplay という設定で、記事を開くと自動的に喋り始めるようにもできますが、これをオンにするのは読者には煩わしいのではないかと思います。

自動podcastも

管理画面の案内から、ブログの podcast feed が自動で生成されていることもわかります。

このブログの場合はこのURLで、生成された音声記事が podcast として公開されているということです。さらに iTunes で公開する Podcast Connect へ案内までしてくれるので、Apple ID/Store Account を持っていればそのまま iTunes で公開までしてしまいそうです。

今回はこの記事のみ変換するようにしましたが、過去の記事も変換したり、新規記事はデフォルトで音声版を作るようにする設定もあるので、既存のブログ資産から勝手に podcast を作れてしまいます。大量に長文を変換すると、それなりの金額になるかもしれませんが、そこだけ注意すれば、ブログコンテンツの再活用という意味でも面白いかもしれません。

カテゴリー
プログラミング教育

scratchblocks – Scratch プログラムをテキストファイルから生成

scratchblocksは、教育用プログラミング言語 Scratch の図形を組み合わせたプログラムを、テキストから生成してくれるというwebサービスです。

言語を日本語(Japanese)にすると、日本語での画像を作ってくれますし、英語など他言語で書いたテキストを translate メニューから日本語に翻訳し、それを画像化( png や svg 形式に)することもできます。

ソースコードも公開されていて、これを使って WordPress で表示するプラグイン(作者は日本の方)や Pandoc でドキュメント内に埋め込むライブラリなども紹介されていました。

小学校の自由研究で、提出するといってもパソコンやタブレットを提出するわけにもいかない。作ったものを紙にして出すにはどうするのがいいのかな、と調べたら見つけたものです。

[訂正 2017-09-08]

scratchblocksScratch Blocks の関係性について間違いがあったので、下の内容を撤回します。ご指摘ありがとうございました。

このツールが表示しているのはそもそも GoogleとScratch が HTML5 版の Scratch 3.0 に使うために策定し、また他の Scratch 風プロジェクトでも採用されるべく規定しようとしている Scratch Blocks で、このScratch Blocks を「非公式に」サポートするツールとして作られているようです。

消えゆく Flash Player から HTML5 ベースに移行しようという Scratch 本家に合わせて作っているものですから、描画結果のそれらしさについては間違いのないところでしょうね。

Github の scratchblocks は Scratch 用の”unofficial”なツールを作っている、とGitHub にありますが、これは Scratch Blocks をサポートしているものではないようです。