Como Identificar Plugins GPL com Backdoors Ocultos em 5 Minutos
Se você baixa plugins de sites de terceiros que vendem assinaturas GPL e nulled, está se arriscando. Já vi casos de sites inteiros comprometidos por backdoors escondidos em linhas aparentemente inofensivas. A verdade é que muitos desses pacotes contêm código malicioso que permite acesso remoto total ao seu site. Neste guia, vou te mostrar como inspecionar manualmente qualquer plugin suspeito e detectar backdoors em menos de 5 minutos, usando apenas ferramentas gratuitas e acesso ao cPanel ou FTP.
O Alvo: Arquivos-chave do Plugin
Backdoors geralmente se escondem em arquivos que são executados em toda requisição, como o wp-config.php, functions.php do tema, ou no index.php do plugin. Mas os mais perigosos estão no wp-content/plugins/ e se parecem com código normal. O primeiro passo é baixar o plugin para seu computador e usar um editor de código com destaque de sintaxe.
Passo 1: Procure por eval() e base64_decode()
Mais de 90% dos backdoors em plugins GPL usam combinações de eval() e base64_decode(). Execute no seu terminal (Windows/PowerShell ou Mac/Linux): grep -rn 'eval(base64_decode' /caminho/do/plugin. Se aparecerem ocorrências, é quase certeza de código malicioso. Mas existem variações como eval(gzuncompress(base64_decode ou eval(str_rot13.
Passo 2: Varra por funções suspeitas de execução remota
Funções como system(), exec(), shell_exec(), popen(), e passthru() raramente são necessárias em plugins WordPress. Para encontrá-las, use: grep -rn 'system(' /caminho/do/plugin. Se houver, examine o contexto: se for para executar comandos baseados em parâmetros GET/POST, é um backdoor.
Passo 3: Verifique o acesso via HTTP
Outro truque comum é usar wp_remote_get() ou file_get_contents() para conectar a um servidor externo. Procure por URLs de IPs ou domínios estranhos: grep -rn 'http://' /caminho/do/plugin e ignore os padrões legítimos. Se encontrar requisições para domínios de terceiros que não sejam APIs conhecidas, desconfie.
Ferramentas Grátis que Aceleram a Inspeção
PHP CodeSniffer com regras WordPress pode detectar uso inadequado de funções de execução. WordPress Scanner (WPScan) é útil para verificar plugins vulneráveis, mas não substitui a análise visual. O plugin WordFence tem uma ferramenta Scan que detecta arquivos modificados, mas não conta com backdoors artesanais. A melhor defesa é baixar apenas plugins originais do repositório ou de desenvolvedores confiáveis.
Conclusão: Vale a Pena o Risco?
Para sites de alto valor, NUNCA use plugins nulled ou de sites GPL duvidosos. O dinheiro economizado não paga o dano de ter o site desfigurado ou dados roubados. Se você insiste em usar cópias, pelo menos faça essa varredura em cada versão nova. Mas a verdade nua e crua: você está jogando roleta-russa com o seu negócio.