लेकिन पुरुषों को पता नहीं है: Wordpress 2.4 में सुरक्षा, 2.3 और सिंटैक्स हाइलाइटिंग में छेद और अपडेट

बड़े पदों और अन्य कार्यक्रमों को लिखते समय, मैं आपके बारे में जो कुछ भी जानना चाहिए, उसका एक छोटा सा विवरण दूंगा, यदि सभी के लिए नहीं, तो बहुमत के लिए।

वर्डप्रेस 2.4 में बेहतर सुरक्षा

हालांकि इंजन स्वयं अभी भी 30 प्रतिशत तैयार है, सुखद नवाचारों की घोषणा पहले ही की जा चुकी है, जैसे कि सुरक्षित कुकीज़ का उपयोग और संग्रहीत पासवर्ड के लिए एक नया एन्क्रिप्शन एल्गोरिथ्म।

आप इस .pdf (अंग्रेजी में 116Kb) में सुरक्षित कुकी प्रोटोकॉल के बारे में पढ़ सकते हैं, संक्षेप में, नए कुकीज़ इस तरह दिखते हैं:

उपयोगकर्ता नाम | समाप्ति समय | HMAC (उपयोगकर्ता नाम | समाप्ति समय | कुंजी)



इसके अलावा, कुंजी = HMAC (उपयोगकर्ता नाम | समाप्ति समय | गुप्त कुंजी), कैसे में!

नया प्रोटोकॉल सर्वर साइड पर समय की समाप्ति, सभी कुकीज़ का सामूहिक सत्यापन, और बढ़ी हुई गोपनीयता के प्रस्ताव के रूप में ऐसी सुविधाओं को लागू करता है।



अब मुझे पासपास का उपयोग करने वाले पासवर्ड हैं, जो नियमित md5 हैशिंग में नमक जोड़ने की क्षमता को जोड़ता है ( "नमक" वर्णों का एक निश्चित समूह है; आमतौर पर ये केस अक्षर, संख्या और विशेष वर्ण दोनों होते हैं जो पासवर्ड के साथ या हैश के साथ ओवरलैप होते हैं या एक साथ चिपके होते हैं) पासवर्ड का योग ) और यहां तक ​​कि छोटे पासवर्ड को बढ़ाएं। सभी एक साथ, यह हैश को छाँटकर हैकिंग की जटिलता को बढ़ाता है।

इसके अलावा, यह मत भूलो कि ड्रूप का उपयोग Drupal और phpBB में भी किया जाएगा, जिसका अर्थ है कि एक संभावना है कि प्रत्येक उपयोगकर्ता के लिए साइट के भीतर एक ही पंजीकरण डेटा का उपयोग करना संभव होगा, और अतिरिक्त विकृतियों के बिना।

सिद्धांत रूप में, कुकीज़ और एन्क्रिप्शन phpass'om के लिए जिम्मेदार कोड, आप पहले से ही डाउनलोड और आज़मा सकते हैं, बस इसे सक्रिय ब्लॉग पर न करें, क्योंकि उपयोगकर्ता तालिका निराशाजनक रूप से दूषित हो जाएगी, और यदि आपने अभी तक बैकअप नहीं लिया है ...

वर्डप्रेस 2.3.x में कुछ सक्रिय छेद

1. व्यवस्थापक सहित अन्य उपयोगकर्ताओं द्वारा बनाए गए ड्राफ्ट तक पहुंच प्राप्त करने के लिए, कुछ कार्यों का प्रदर्शन करते समय एक संभावना है। इसलिए, ड्राफ्ट में गोपनीय जानकारी को संग्रहीत न करने का प्रयास करें। अब तक, छेद 2.3.1 में है और सभी पिछले संस्करणों में सबसे अधिक संभावना है। हम एक अद्यतन के साथ बगफिक्स की प्रतीक्षा कर रहे हैं।

2. Wp-ContactForm प्लगइन में एक छेद, जिसके साथ एक हमलावर HTML कोड को इंजेक्ट कर सकता है और अग्रेषित डेटा प्राप्त कर सकता है। कोई फिक्स बग नहीं है, लेकिन प्लगइन स्वयं पुराना है, इसलिए मैं आपको सलाह देता हूं कि इसे केवल Cforms II में बदल दें, खासकर जब से आप ध्वनि से रूसी संस्करण डाउनलोड कर सकते हैं।

3. भेद्यता की खोज Seo Egghead के लोगों ने की थी। यह पुराने पदों में लिंक एम्बेड करने की क्षमता में है, इसके अलावा, यह आमतौर पर ऐसा दिखता है जैसे कि यह होना चाहिए, केवल यहां पीआर स्वाभाविक रूप से घट जाएगा। 2.1 से लेकर 2.3.1 तक के सभी संस्करण इस तरह के "हैक" के अधीन हैं।



अंडा-मुखिया लोग आपको इस तरह के शब्दों के लिए ब्लॉग को खोजने की सलाह देते हैं: एमपी 3, डाउनलोड, विज्ञापन-प्रसार, सॉफ्टिकाना, कैसिनो, वायग्रा और लाइक (मैं आपको यह नहीं बताता कि वे आमतौर पर स्पैम क्या करते हैं))

Permalinks को सही से अपडेट करें

2.3.1 पर स्विच करने के बाद, कुछ उपयोगकर्ताओं को एक गंदा बग मिला, या एक त्रुटि:

"चेतावनी: लाइन 92 पर foreach () /home/wallis3/public_html/wordpress/wp-includes/classes.php में अमान्य तर्क दिए गए"

यह काफी सरल तरीके से व्यवहार किया जाता है, लेकिन एक ही समय में स्पष्ट नहीं होता है: पहले आपको उन डिफ़ॉल्ट के लिए Permalinks रीसेट करने की आवश्यकता होती है जो डिफ़ॉल्ट रूप से इंस्टॉल किए जाते हैं (सेटिंग्स> Permalinks> डिफ़ॉल्ट> "लिंक टेम्प्लेट्स को रीफ़्रेश करें"), जिसके बाद आप अपने पुराने टेम्प्लेट वापस कर सकते हैं और फिर से अपडेट कर सकते हैं - गड़बड़ गायब होना चाहिए।

वर्डप्रेस.कॉम ब्लॉगिंग कोड मार्कअप

शायद इस नोट की उपयोगिता संदिग्ध है, क्योंकि WordPress.com (मुफ्त ब्लॉगिंग प्लेटफॉर्म वर्डप्रेस के साथ भ्रमित नहीं होना) हमारे साथ बहुत लोकप्रिय है, जहां BlogSpot / Blogger या का उपयोग अधिक बार किया जाता है, लेकिन यह नहीं था।

यदि आप WordPress.com पर ब्लॉगिंग कर रहे हैं, तो स्रोत कोड के सुंदर मार्कअप के लिए, आपके पास एक अंतर्निहित कार्यान्वयन है। यह इस तरह काम करता है

[sourcecode भाषा = 'भाषा']

लाइन कोड 1

...

लाइन कोड एन

[/ sourcecode]

जहां भाषा आपकी पसंद है: सीपीपी, सीएसएचआरपी, सीएसएस, डेल्फी, जावा, जस्क्रिप्ट, पीएचपी, पायथन, रूबी, एसक्यूएल, वीबी, एक्सएमएल।

आधार सिंटैक्सहाइटर , हमारे हमवतन (जैसा कि मैं इसे समझता हूं) एलेक्स गोर्बाचेव को लिया गया है।

मुझे ट्रैकबैक ढूंढने में मदद करें

यह पता चला है कि वर्डप्रेस मार्कअप टैग के बीच ट्रैकबैक_ड्रफ के रूप में एक ऐसा चमत्कार है, जो कोड को इंजेक्ट करता है जो ट्रैकबैक पते को निर्धारित करने के लिए कुछ प्रोग्राम और खोज बॉट द्वारा उपयोग किए जाने वाले उपयोगकर्ता को दिखाई नहीं देता है। टैग को ही लूप के अंदर रखा जाना चाहिए और HTML कमेंट में छिपा होना चाहिए ताकि पाठक की नजर न जाए। यह कुछ इस तरह दिखता है:

<! -

<; php trackback_rdf (); ?>

->

खैर, आज के लिए बस इतना ही। जल्द मिलते हैं। और अपना और अपने ब्लॉग का ख्याल रखें।

- मूल लेख "लेकिन पुरुष इसे नहीं जानते: Wordpress 2.4 में सुरक्षा, छेद और अपडेट 2.3 और सिंटैक्स हाइलाइटिंग में"