This is the first Weblog XSS Worm
July 31st, 2007Called SECUREWordpressWorm.
It uses the Security vulnerabilities in the latest Wordpress Version (2.2.1) to get into your blog and help you patching the Security flaws! Everything based on Cross-Site Scripting and Cross-Site Request Forgery
How can I start the Worm?
- Go to your blog and login to your Wordpress Adminstration Panel
- Post a Comment to your own Blog containing a link to this blog, that means
http://mybeni.rootzilla.de/mybeNi/ - Go into your admin Panel -> Moderate Comments and click the freaking link :o)
- The friendly worm will guide you through everything and your blog is secure again.
Update: This Page describes the Worm in Pictures,Step By Step! For the douchebags 
Trust me, This is what you’ll get:
Have fun!
Update: This is my Reply to a German Blogger who was uncertain whether to launch my Worm:
Hey!
Einige hatten den wurm schon ausgeführt und waren bisher sehr erfreut :o)
Vertrau mir, das ist echt ein *lieber* abkömmling seiner Art, Er erkennt dich wenn du aus deinem Wordpress Adminpanel heraus über einen Link auf meine homepage http://mybeni.rootzilla.de/mybeNi/ gehst [am Referer - eigentlich ganz simpel
Er meldet sich dann mit einem div-layer in dem alles noch einmal beschrieben wird, daraufhin musst du bestätigen und der Wurm begleitet dich zu deinem Blog und führt dich in einer Art Setup durch das Patchen der unsicheren scripte upload.php, options.php und link-import.php, und am ende Frägt er ob du noch einen Blogroll-Link zu mir hinzufügen willst oder Feedback in irgendeiner Form hast
Gruß Benjamin
Update: My wormy thingy opened 2 very minor bugs, but now everything is fixed and should work fine!
Did you Like this Post? Try these ones! :)
Yahoo! Blog Admins Noticed my Security Warning on August 10th, 2007
Google Websearch Server Error on July 20th, 2007
Viral Marketing or The Best Newsletter Ever on July 19th, 2007
Wordpress ZeroDay Vulnerability Roundhouse Kick and why I nearly wrote the first Blog Worm (updated) on July 31st, 2007
"Bundestrojaner" Leaked, Download available on January 8th, 2008
July 31st, 2007 at 02:25
[…] post: res:// File Enumeration. Not on Windows, not using IE - but hell, it works! next one: This is the first Weblog XSS Worm […]
July 31st, 2007 at 04:06
[…]Got a message from the security expert beni which says that he has found 7 security issues with the blog platform Wordpress (latest version 2.2.1).
He has now created a friendly XSS-worm which uses this vulnerabilities to patch your system. More instructions how to to this in his blog-post.[…]
July 31st, 2007 at 05:16
Thanks -
First time I’ve seen a helpful worm
Great service and nice idea
July 31st, 2007 at 05:33
[…] misma persona que reportó estos bugs se tomó el trabajo de realizar un gusano que se encarga de parchar los blogs vulnerables, siempre y cuando se el servidor web tenga permisos […]
July 31st, 2007 at 08:58
Thanks pal
i’ve just execute your worm.. 
August 1st, 2007 at 03:20
[…] a quick post about mybeni latest idea, its as far as I know the first dedicated XSS worm for wordpress, basically it means that his proof […]
August 1st, 2007 at 04:05
[…] 17yo who hacked google”, mybeNi, ha appena creato un worm per worpress che sfrutta la nuovissima le nuovissime vulnerabilitá XSS (Worpress Roundhouse kick vulnerability, […]
August 1st, 2007 at 05:17
[…] soll man davon halten: This is the first Weblog XSS Worm? Mehr zu den betroffenen 7 Lücken im Bloggingsystem: Wordpress ZeroDay Vulnerability Roundhouse […]
August 1st, 2007 at 05:21
[…] http://mybeni.rootzilla.de/mybeNi/2007/this_is_the_first_weblog_xss_worm/ […]
August 1st, 2007 at 06:42
[…] Workaround bietet Flesch einen eigenen eigenen Proof-Of-Concept-Wurm. Sein AJAX-basierter Wurm nutzt eine der Schwachstellen, um die gefundenen Ansatzpunkte Cross-Site […]
August 1st, 2007 at 07:09
[…] man die XSS-Lücke ausnutzt und wie man den Wurm indiziert, das erklärt mybeNi. Das ganze basiert auf WordPress Version […]
August 1st, 2007 at 07:33
[…] info: Websecurity Audits, Vulnerability Assessment and all kinds of other Hack stuff. - This is the first Weblog XSS Worm This is the first Weblog XSS Worm Wordpress ZeroDay Vulnerability […]
August 1st, 2007 at 09:50
wow dude what is this service pack for Wordpress
August 1st, 2007 at 10:02
Haha, indeed! :o)
August 1st, 2007 at 10:19
hi beNi,
super sache und danke für deinen “guten” wurm. leider ist bei mir außer dem blogroll-eintrag nichts sichtbar. zumindest erscheint immer noch dein patch hinweis, wenn ich ein weiteres mal auf den link im kommentar klicke. was mache ich falsch?
August 1st, 2007 at 10:21
XSS Wurm für WordPress…
Mehr unter bueltge.de (inklusive Lösungsvorschlägen) oder direkt beim Autor mybeni.rootzilla.de/mybeNi. Der Wurm ist nämlich ein Guter. Führt man Ihn aus, wird man wohl automatisch durch einen Updateprozess geführt. Denen, die …
August 1st, 2007 at 10:28
mk: Hallo!
Also der Patch-hinweis erscheint JEDESMAL wenn du von deinem AdminPanel aus mein Blog besuchst, egal ob du den Patch schon hast oder nicht, er erkennt einfach die seite von der du kommst als ein Wordpress Adminpanel (also /wp-admin/ in der URL)
Ob du wirkich gepatch bist, solltest du in
/wp-admin/templates.php?file=/wp-admin/upload.php
nachschauen ob da irgendwas wie
“/*
Security Patch added by the Secure Wordpress Worm
by Benjamin Flesch http://mybeni.rootzilla.de/mybeNi/
*/”
wenn das der Fall ist, bist du “gepatcht”.
Da der Blogroll-Link auch schon hinzugefügt wurde sollte es bei dir eigentlich keine weiteren probleme geben
Gruß Benjamin
August 1st, 2007 at 10:29
dann dank ich dir recht schön.
August 1st, 2007 at 11:28
[…] apropiadas. Todos están detallados en su blog, pero lo especial es que ha creado una prueba de concepto de un gusano que afecta el popular Wordpress con un resultado […]
August 1st, 2007 at 12:16
Danke! Endlich mal ein netter Wurm. =)
August 1st, 2007 at 12:48
[…] erste Wordpress XSS Wurm ist raus, der eine Zero-Day Schwachstelle in Wordpress ausnutzt. Alle derzeit erhältlichen […]
August 1st, 2007 at 12:53
Vielen Dank, beNi!
August 1st, 2007 at 03:03
Wordpress: Der freundliche Wurm…
Die aktuelle Version 2.2.1 der freien Blogsoftware Wordpress, mit der auch diese Seite betrieben wird, enthält verschiedene Sicherheitslücken; einige davon werden als “kritisch” eingestuft. Von offizieller Seite gibt es noch keine Patches…
August 1st, 2007 at 05:19
Thanks a lot! I easily patched three WordPress installations I’m maintaining. I guess you already checked your referrers and ticked me in your Global WordPress Security Chart
August 1st, 2007 at 05:38
I patched the file upload vulnerability myself when I saw the announcement on Security Focus, now the worm won’t work to patch the others
Can you send me the text of what you instruct readers to do?
I promise to only use it for good.
August 1st, 2007 at 05:46
M: I haven’t read any Article at Securityfocus, but how about undoing the changes you did to your wordpress code and then launching the worm again?
Never trust these 3rd Party “Security” Sites like Securityfocus or Secunia. They are all the same, scraping the Content, publishing the exploits and filing them without any backlinks to the sources.
August 1st, 2007 at 09:03
danke!!
August 1st, 2007 at 11:46
Danke für diese Idee und Deine Hilfe, WP ein bischen sicherer zu bekommen.
August 2nd, 2007 at 12:01
Wurm fixt aktuelle WordPress-Lücken…
Sieben neue Sicherheitslücken hat beNi in den letzten Tagen in der aktuellen WordPress-Version 2.1.1 entdeckt und publik gemacht. Doch nicht nur das: Er hat auch gleich einen “gutmütigen” Wurm geschrieben, der die Lücken patchen soll:
…
August 2nd, 2007 at 12:13
Vielen Dank für die Fixes erstmal. Wie schaut es da aber jetzt mit zukünftigen Patches von Wordpress aus, sind die noch möglich?
Ich hatte erst Probleme, da meine Domain meinen Blog in einem “unsichtbaren” Frame anzeigt, damit die richtige Domain nicht sichtbar ist. Da erkennt der Wurm natürlich den Admin-Panel nicht. Also immer dran denken, über die direkte Adresse zuzugreifen
Danke nochmal
Gruß
Markus
August 2nd, 2007 at 12:30
[…] Wie man den Sicherheits-Wurm einlädt „Gutes“ zu tun, verrät Benjamin auf seinem Blog. Es besteht auch die Möglichkeit, die Nachbesserungen selbst und per Hand vorzunehmen. Wer […]
August 2nd, 2007 at 01:44
[…] http://mybeni.rootzilla.de/mybeNi/2007/this_is_the_first_weblog_xss_worm/ […]
August 2nd, 2007 at 02:01
XSS Wurm für Wordpress…
Der erste XSS Wurm für WordPress | bueltge.de [by:ltge.de]:
Wie man die XSS-Lücke ausnutzt und wie man den Wurm indiziert, das erklärt mybeNi. Das ganze basiert auf WordPress Version 2.2.1.
Bueltge.de zeigt die Lücken und wie man sie per Hand schli…
August 2nd, 2007 at 02:02
der upload-bug funktioniert schon mal nicht in WP 2.0.10.
vermutlich der rest auch nicht. werde, sobald ich dafür zeit habe, aber noch ein bisserl rumprobieren.
cu, w0lf.
August 2nd, 2007 at 02:10
Wurm alarm…
Der erste Wurm für WordPress und ich lade den auch noch selber runter. Aber myBeNi hat sich die Mühe gemacht einen freundlichen Wurm zu schreiben. Dieser behevt 7 Sicherheitslücken in der neuen WordPress Version 2.2.1. Super mybeNi und W…
August 2nd, 2007 at 02:43
[…] Wurm vertraut und die Lücken automatisch beheben möchte, dann folgt man am besten diesen Link. Benjamin macht in seinem Weblog einen sehr vertrauenswürdigen Eindruck, deshalb mach ich das […]
August 2nd, 2007 at 03:24
[…] näheres dazu Lesen möchte dem sei folgende Seite ans Herz […]
August 2nd, 2007 at 03:56
[…] hat mal wieder Lücken. Benjamin Flesch beschreibt hier wie man sich dagegen schützen kann. Er hat einen “friedlichen Wurm” programmiert, […]
August 2nd, 2007 at 05:28
7 Wordpress Lücken & der freundliche Wurm…
Beim stöbern diverser Blogs von Freunden habe ich von den sieben gefundenen Wordpress Lücken über den Blog von Xsized erfahren. Es handelt sich dabei um kritische Lücken, die entweder manuell oder durch einen “freundlichen Wur…
August 2nd, 2007 at 06:16
[…] my small world full of websecurity, overall security, safety and… security in the web. nah, kiddin’ « previous post: This is the first Weblog XSS Worm […]
August 2nd, 2007 at 06:21
[…] ich hab‘ s getan! Ich habe den Wurm zum Schließen der 7 neuesten Sicherheitslücken auf meinem Blog ausgeführt! Nachdem […]
August 2nd, 2007 at 06:23
[…] Genaue Informationen über diesen Wurm gibt es auf dieser Seite. […]
August 2nd, 2007 at 06:54
[…] been some talk, lately, about the “friendly” AJAX worm coded by Benjamin Flesch as a proof of concept both leveraging and patching 3 XSS vulnerabilities […]
August 2nd, 2007 at 07:31
Thanks a lot
August 2nd, 2007 at 08:33
[…] freundliche Helfer ist hier zu finden. Dort findet man auch eine Anleitung und diverse […]
August 2nd, 2007 at 09:32
Except that it seems it introduces some bugs as well (in files link-imports.php and options.php, ‘+’ character is replaced by space).
http://www.symantec.com/enterprise/security_response/weblog/2007/08/wordpress_xss_exploit_solves_p.html
August 2nd, 2007 at 10:16
[…] Infos auch hier: this is the first weblog xss worm wordpress zeroday […]
August 2nd, 2007 at 10:55
Nächtliche Wordpressaktion: Lasst den Wurm los!…
Sowas gibt es? Ich bin echt baff! Ein Wurm, der neu entdeckte Sicherheitslücken in Wordpress entdeckt und interaktiv mit dem Admin stopft. Klasse. Natürlich erst mal lesen und nicht einfach so den Deckel von Pandoras Brotdose aufplöppen.
Gefunden be…
August 2nd, 2007 at 11:00
[…] process requires some faith that the xss worm is really fixing the vulnerabilities but the application itself is easy. About the faith: I have […]
August 2nd, 2007 at 11:11
[…] Aqui estan los pasos para parchar: http://mybeni.rootzilla.de/mybeNi/2007/this_is_the_first_weblog_xss_worm/ […]
August 2nd, 2007 at 11:44
Super Idee mit dem “Wurm”!
August 2nd, 2007 at 12:35
[…] no tardaran en sacar una nueva versión, pero para los que no quieran esperar, aquí están las indicaciones para infectar tu blog. […]
August 2nd, 2007 at 12:36
Vielen Dank dafuer. Klasse, dass es noch Menschen wie dich gibt, die nicht gleich alles boesartig ausnutzen und versuchen aus allem Profit zu machen. Du bist mein Held des Tages!
August 2nd, 2007 at 02:18
[…] call it a worm since it doesn’t really spread automatically and on its own, but anyway. I saw this on gHacks and thought it was […]
August 2nd, 2007 at 02:56
[…] Weblog Worm Security, Version, Cross-Site, Infos Latha-Math.com This is the first Weblog XSS Worm ~ mybeNi websecurity da geht es schon los […]
August 2nd, 2007 at 03:28
Ich habe deinen Patch einfach mal vertrauensvoll angemeldet … und wenn das wirklich nur der Code ist, der da Stand, dann kann es ja eigentlich nicht falsch gewesen sein.
Aber irgendwie hat das mit dem Blogroll nicht so ganz funktioniert … aber egal.
August 2nd, 2007 at 06:50
[…] exakt die angesprochenen Exploits, um die notwendigen Updates durchzuführen - er stammt vom Mybeni Blog: It uses the Security vulnerabilities in the latest WordPress Version (2.2.1) to get into your […]
August 2nd, 2007 at 09:54
Went ahead and rewrote the changes in English, verified them on my Wordpress install
http://evaders.swrebellion.com/forums/postp401.html#401
Feel free to use this or the pre-packaged files
August 2nd, 2007 at 11:51
[…] misma persona que reportó y estudio estos 7 bugs se encargó de hacer un XSS WORM […]
August 3rd, 2007 at 03:43
[…] Der erste WordPress-Wurm ist da und er basiert noch auf JavaScript. Dienen soll er dem Erkennen der Sicherheitslücke und das nützliche an dem ist, er patcht es gleich. Super, sicheres WordPress und keine Arbeit. […]
August 3rd, 2007 at 10:24
[…] zum Cross Site Scripting und SQL-Injektionen. Ein “Hacker” bzw. Blogbetreiber namens mybeni nutzt genau eine dieser Lücken, um sie zu […]
August 3rd, 2007 at 10:46
A friendly worm. That´s really a cool idea.
Eine neue, interaktive Art zu patchen
Danke !
Hab festgestellt, dass du nirgends auf chmod hinweist. Falls es nicht klappt und in der upload.php
kein Eintrag a la
“/*
Security Patch added by the Secure Wordpress Worm
by Benjamin Flesch http://mybeni.rootzilla.de/mybeNi/
*/”
zu finden ist, kann es daran liegen.
August 3rd, 2007 at 12:58
thanx, mate!
August 3rd, 2007 at 05:31
[…] starta WordPress verzije 2.2.1 dodje do otkrivanja sigurnosnih propusta kako nam to demostrira mybeNi websecurity. Naravno da se isplati procitati ovaj tekst iako se u demostraciji radi o jednom […]
August 5th, 2007 at 02:47
[…] Flesch auf einige neue Sicherheitslücken in WordPress aufmerksam gemacht und daraufhin sogar einen gutartigen Wurm veröffentlicht, der die Probleme unter Ausnutzung der Sicherheitslücken selbst beheben soll. […]
August 6th, 2007 at 05:13
Ironischerweise validiert der Bot die Daten des Clients selbst nicht genau. Ich kann mir zwar derzeit nicht vorstellen, wie man eine XSS-Attacke daraus machen kann, aber ich halte es für ein Prinzip, dass man per Request Header eingefügte Daten nicht unvalidiert als HTML-Code wieder ausspuckt.
Ich habe das einfach mal zum Spaß ausprobiert und das bekommen:
var blogurl = ‘http://alert(1337);.de/’;
Eine wirkliche XSS-Attacke lässt das offenbar nicht zu… aber wehe irgendjemandem fällt noch was ein und die “Lücke” ist noch offen. :-p
August 6th, 2007 at 05:15
Oh mein Gott, mit Wordpress kann man in Kommentaren ja nicht die überaus wichtigen Zeichen < und > verwenden (diesmal probiere ich es mit Unicode).
_DAS_ bekam ich:
<script>var blogurl = ‘http://<script>alert(1337);</script>.de/’;</script>
Sorry, wenn das nicht klappt, aber der obige Kommentar ist andernfalls vollständig missverständlich.
MfG, Robert Nitsch
August 6th, 2007 at 05:29
Sorry, ich habe letzte Nacht kaum geschlafen - ich habe in meinem ersten Eintrag vergessen zu sagen, dass ich es mit dem Referer angestellt habe. Also die URL, die man vom “Kommentare moderieren” anklicken soll, die habe ich gefälscht und mit HTML-Code gefüllt. Dieser wird einfach so in die Seite eingesetzt. Wenn möglich, kannst du das ja in den ersten Kommentar einfügen, es tut mir wirklich außerordentlich leid, hier einen dritten Kommentar schreiben zu müssen. Sorry.
August 6th, 2007 at 09:56
Hey Robert!
Haha, stimmt XSS soll in den besten Häusern vorkommen
Und gäbe es noch die Alte Lücke, mit der man per Flash den REFERER spoofen könnte (http://ha.ckers.org/blog/20070203/flash-80-fixes-certain-header-spoofing-issues/)
wäre das wirklich ausnutzbar gewesen, so bleibt der ganze XSS-Aha Effekt leider nur dir alleine erreichbar :o)
Nevertheless, du hast gezeigt das du dir Gedanken über meinen Wurm gemacht hast, heads up dafür, mach so weiter und du wirst den “richtige” Treffer noch landen
Gruß benjamin
August 6th, 2007 at 11:09
Oh, den richtigen Treffer, den habe ich - bilde ich mir ein - bereits gelandet. Nur noch nicht in einer populären Webapplikation wie Wordpress o.ä. (genauer: bisher habe ich mich ausschließlich auf Webseiten konzentriert, also Closed-Source). Ich kann nur sagen, ich liebe die Herausforderung, XSS-Lücken zu finden und zu beweisen, dass sie ausnutzbar sind. Umso mehr freut es mich, dass ich dank sw-guide.de auf diesen Blog gestoßen bin. Deinen Feed habe ich mal abonniert.
MfG, Robert Nitsch
August 6th, 2007 at 06:51
[…] que los desarrolladores de WordPress le den más importancia a este tipo de reportes, es liberar exploits que hagan uso de éstas […]
August 7th, 2007 at 05:52
Do you know if any problems will now be caused by updating to version 2.2.2, or did WP just implement your fix?
August 7th, 2007 at 06:08
[…] que los desarrolladores de WordPress le den más importancia a este tipo de reportes, es liberar exploits que hagan uso de éstas […]
August 7th, 2007 at 06:10
Mike:
The did implement their own fixes, that means they used the sanitizing-Functions which come with WP.
Anyway, there may be a few more bugs/errors they have fixed with this release, so better update and get the “original” fixes from the Developers.
August 27th, 2007 at 02:43
[…] nicht die schöne Versionsnummer (2.2.2) sondern auch das erst von einem Entwickler ein “gutartiger Wurm” veröffentlicht wurde, der diese Sicherheitslücke geschlossen hat. Da das Update […]
August 28th, 2007 at 11:33
Endlich mal ein anständiger Wurm …
September 11th, 2007 at 06:48
[…] Source […]
November 18th, 2007 at 12:37
alert (document.cookie)
April 30th, 2009 at 06:23
lol
are you mad?
which idiot believes your kiddy se stuff? loool!
October 30th, 2009 at 01:44
[…] Scripting (XSS) handelt, kann man damit von Session-Hijacking über Phishing bis zu einem XSS-Wurm viele lustige Sachen machen. Vor allem mit einem vertrauenserweckenden https:// in der […]