Přehled odpovědí
-
Příspěvky
-
Obsahuje script timthumb.php ve verzi 2.8
Teoreticky by mohlo jít změnit soubor “blog.php” na šablonu stránky. Pak si vytvoříte v administraci stránku (nazvěme ji třeba “úvod” a jako šablonu použijete právě tento soubor blog.php. V nastavení WP pak už jen změníte že jako úvodní stránku webu chcete použít statickou stránku a vyberete stránku kterou jste vytvořili v administraci (úvod).
Šablona stránky se vytvoří tak, že hned za
<?phpvložíte tento komentář:/*
* Template Name: Blog
*/
Mimochodem koupil jste si šablonu s bezpečnostní chybou, doporučuji aktualizovat soubor timthumb.php ve vaší šabloně.
btw autora této šablony bych nejraději zabil za tu hudbu na pozadí…
Cesty musí být absolutní, tedy pokud je soubor formular.php umístěn ve složce “skola-hubnuti” měl by kód být takový:
<?php include dirname(__FILE__).'/formular.php'; ?>
pokud jej máte v rootu webu (tedy tam kde je soubor wp-config.php) měl by být takový:
<?php include ABSPATH.'/formular.php'; ?>
Každopádně jej v ani jedné složce nevidím.
Jeden problém jsem tam našel a to je URL adresa k obrázku pozadí stránky, je nastavena na localhost…
Možná by se s tím dalo něco dělat pokud by jsme věděli alespoň adresu webu když už nevíme o jakou šablonu se jedná…
Takže znovu opakuji čím víc informací nám podáte tím rychleji a lépe zde může někdo váš problém vyřešit. Z vašeho dotazu pouze víme, že někde bude chyba :)
No a to je právě problém…
Proč je na obrázku uveden soubor htaccess pro čtení úplně všem? K souboru má mít přístup pouze apache a maximálně php, ta poslední 4 je tam
1) špatně (má tam být 0 – nikdo kromě vlastníka nebo skupiny k tomuto souboru nemá mít přístup)
2) zbytečně protože každý server má pro tento soubor už ve výchozím nastavení uvedeno “deny from all”
To samé u souboru wp-config.php, proč by mělo být správně 644 když nikdo kromě vlastníka a skupiny nemá mít možnost tento soubor číst. Příjde mi nelogické uvádět “správné” nastavení “ostatní pouze pro čtení” a pak v samotném PHP kódu zabránit aby nikdo kromě PHP tento soubor číst nemohl.
Tím chci pouze naznačit, že uvedené “správné” nastavení zase tak správné není. Také to s těmi právy není tak jednoznačné, na některých serverech 640 nefunguje, na některých ano (wedos). Také jsem se setkal i s tím, že u jednoho serveru musí být pro zápis do souboru nastaveno 664 a u jiného 666 (freehostingy), na jiném zase PHP vesele zapisuje i při 644. Je to prostě hodně o konfiguraci serveru a to je důvod proč se bojím těchto doporučení. To že to funguje mi, neznamená, že to bude fungovat i všem ostatním…
Zkusím to nějak vyřešit, ale už teď je mi jasné že s tím bude hromada problémů. Každopádně díky za připomínky.
kubalap potřeboval z originálního souboru sidebar.php vytáhnout pouze kód pro zobrazení widgetů. Ten jsem zde dal, ale forum jej z většiny stejně zobrazilo i když byl zdroj v tagu “code”, takže by mu byl stejně k ničemu :)
Takže asi smazat
EDIT: tak nic no zase pozdě, každopádně koukám, že se kód při vložení stejně zmrší…
No než jsem to dopsal…zase pozdě :)
Super díky moc,
– kontrola nastavení přístupových oprávnění
Nerozumím co tím myslíš, přístupy k tomuto pluginu? Zatím funguje tak, že operovat s nastavením může pouze administrátor (navíc mě napadlo že by se i mohl nastavit pouze jeden určitý admin). Zbytek pluginu – tedy samotné kontroly by byly v provozu “neustále” (ty uvozovky vysvětlím později).
Oprávnění celkově si myslím řeší WP docela dobře, zkus to rozepsat.
– prefix SQL tabulek
Jistě na to jsem zapoměl při psaní tohodle příspěvku :)
– kontrolovat nastavení práv k důležitým souborům a složkám
Samozřejmě nějak mi to taky vypadlo, ale se bojím, že tohle bude chyba kterou hned po aktivaci uvidí 99% uživatelů WP a že s tím bude nejvíc problémů :)
– “IPS&IDS” – kontrola počtu 404 error stránek a možnost nastavení zablokování IP Adresy
Co se týče 404, nevím zda to nějak souvisí s bezpečností. Neexistující stránky řeší snad všechny služby pro monitoring návštěvníků a ještě více to zvýší složitost tohoto pluginu. Musím taky brát v potaz, že né každý má na hostingu neomezeně procesů a memory_limit nad 250 mega :) Ale zatím to úplně nezavrhuji, nechám to na další úvahy.
Zablokování IP adresy pravděpodobně ano, nejvíc asi z toho důvodu, že neznám žádný plugin, který umí na 100% zablokovat IPV6 adresy…
– vypnutí administrace na určitou dobu
Tohle mě vůbec nenapadlo, zajímavý tip určitě zvážím
– změnit /wp-content/
Tomu bych se nejraději vyhnul, hodně pluginů a vzhledů díky tomu přestane správně fungovat. A podle mého názoru to zase taková výhra co se týče zabezpečení není…
Na ten plugin Better WP Security se podívám, určitě tam bude hodně inspirace. Co se týče motivace určitě se nebudu bránit, každopádně největší radost budu mít z toho až oslavím první milion stažení tohoto pluginu :)
Ještě jednou díky za tipy.
Hezký článek na toto téma vyšel včera zde (anglicky). Popisuje některé výsledky (i se seznamem nezabezpečených šablon) profi penetračního testu šablon na Themeforest.net. Další šablony jsou v komentářích.
Jsou to jen výsledky náhodně vybraných vzhledů, šablon s nějakou bezpečnostní chybou je na Themeforest.net samozřejmě daleko víc.
Používáte zastaralou verzi WP kde tato funkce není. Aktualizujte WordPress na nejnovější verzi a plugin bude fungovat.
Ano, jde patrně o stejnou osobu, nevím proč používá různá uživatelská jména.
Asi je to nějaký komplex protože uživatelská jména litolka a pastis jsou jak zde, tak i na podpora.dgx.cz a dokonce i na webtrh.cz.
Nechce se mi ale věřit tomu, že by to byl nějaký plánovaný pokus o linkbuilding
1) uživatel litolka zde nabízí školení s odkazem na svůj web.
2) uživatel litolka nabízí dokonce i tvorbu kompletních webů samozřejmě s odkazem na svůj web.
3) uživatel litolka řeší problém na webu, který “vytvořila” sama a který opět odkazuje na její web.
4) uživatel pastis řeší na této stránce problém na webu, který “vytvořila” sama a který odkazuje opět na její web.
5) vše co je zde na foru je v té samé podobě i na foru podpora.dgx.cz (kde je podobných “problémů” ještě mnohem víc).
Každopádně i kdyby to nebyl úmyslný linkbuilding tak mé varování platí, protože z položených dotazů jasně vyplývá, že dotyčná tvůrkyně “profesionálních webových stránek na WordPressu” má s WordPressem minimální zkušenosti a udělat si od ní web bych nechtěl ani zadarmo.
Nemůže jít pouze o někoho, kdo se snaží s WordPressem “podnikat” a zatím nemá moc zkušeností (a využívá všechny možnosti propagace)?
Může a určitě to tak i je, ale to neznamená, že by uživatelé neměli být varováni před tím, že za jejich nemalé peníze dostanou bastl naklikaný v aplikaci (která je ještě nějaké historické verze – tak nějak tuším proč), který navíc nefunguje tak jak by měl (každý web vytvořený v artisteeru se při určitých rozlišení zobrazuje špatně).
Jinak v tom co jsem napsal není nic osobního, paní neznám a v čem podniká je mi úplně jedno, jen mně zarazilo toto lovení potencionálních (a nezkušených) zákazníků zde na fóru někým kdo své práci očividně vůbec nerozumí. Ano vím o tom, že podobných “tvůrcu webu” už zde bylo a stále je víc, ale nikdo z nich nebyl tak drzý aby si pro větší úspěšnost vytvořil další účet.
Možná si zkusím jen tak ze srandy od dotyčné nechat vytvořit v dnešní době normální webové stránky – tedy moderní responzivní web v HTML5 a CSS3, jsem docela zvědavý na odpověď :)
smutné, co k tomu dodat…
ale na druhou stranu mám taky několik klientů, kteří mi dobrovolně zaplatili víc než jsem požadoval, takže zase tak černé to v tomhle binárním světě není :)
Tak ještě jinak, pod uživatelskýmy jmény litolka a pastis je jedna a ta samá osoba, předpokládám, že paní Lucie Šestáková.
Stejně jako na jiném fóru opět pod přezdívkou litolka a nečekaně pastis2 produkuje pouze zbytečné dotazy, které se tady všichni snažíme s ochotou vyřešit pouze za účelem odkazování na své “výtvory” (stačí se podívat na údajné stránky s problémem – každá má nějakou spojitost s webem
tvorba-www-stranek.biz.Všem tedy důrazně doporučuji vyhnout se jakékoliv spolupráce s paní Šestákovou, protože (nejen na tomto fóru) pouze zneužívá ochoty zdejších uživatelů, kteří se snaží zdarma pomáhat každému kdo má s WordPressem nějaký problém, pouze za účelem její vlastní propagace. A také hlavně proto, že její práce nestojí za nic.
btw jestli se nemýlím tak paní Šestáková má přerušenou živnost…
1) Artisteer je bastl dobrý akurát tak pro “blogísky” a né pro profesionální stránky
2) Vzhledem k tomu, že jako autor webu/vzhledu je uvedena paní Lucie Šestáková z webu tvorba-www-stranek.biz nabízející mimo jiné i “Profesionální tvorbu webových stránek” asi bych kontaktoval ji aby vám šablonu opravila do funkčního stavu, protože ten váš web opravdu funkční není.
Mimochodem nemusíte chodit daleko, stejná osoba zde pod přezdívkou litolka nabízí “tvorbu” www stránek nebo “školení“.
Nechápu jak může někdo, kdo prodává tyto nefunkční hnusy (čti šablony) a nabízí školení za né zrovna malé peníze, žádat o pomoc s WordPressem.
Ale možná se mýlím a dotyčná žádnou pomoc nepotřebovala, jen tady neskutečně drze zkouší nepovedený linkbuilding na její weby…
1) aktualizoval bych na nejnovější verzi WP
2) požádal bych hosting o aktualizaci PHP, se i divím, že na takhle archaické verzi PHP WordPress ještě funguje (nemluvě o bezpečnostních chybách)
3) stejný (zatím nezodpovězený dotaz je zde http://wordpress.org/support/topic/plugin-contact-form-7-email-not-sending-even-though-i-get-a-green-submission-box )
Zkusil jsem dotazník otestovat a mejl opravdu nepříjde (gmail), Máte přístup k logu serveru? Z logu by mělo jít vidět zda byl email odeslán či nikoliv, předpokládám že se to zadrhne ještě na serveru… Máte plugin Contact-Form7 aktualizován na nejnovější verzi nebo také používáte nějakou starou?
Odkaz na daný web by nebyl? My toho tady vidíme ještě míň než vy takže poradit s problémem asi moc nepůjde.
Píšete, že jste vytvořila “pár zkušebních stránek” tak předpokládám, že do administrace se dostanete a že funguje bez problémů?
Používáte výchozí šablonu vzhledu nebo máte nějakou vlastní?
Co znamená, že na webu nevidíte “vůbec nic”? Vidíte jen prázdnou bílou stránku?
Jaký používáte hosting?
Těch šablon, které na první pohled vypadají velice hezky a mají opravdu veliké množství možností nastavení obsahující zastaralou verzi tohoto scriptu je na themeforest (a nejen tam) neskutečné množství. To že to nikdo neřeší je způsobené pravděpodobně pouze tím, že
1) Né každý web s těmito šablonami je ihned napaden nějakým malwarem nebo rovnou hacknut, takže většina autorů webů s těmito šablonami ani netuší, že kdokoliv může jejich web použít jako linkfarmu v tom lepším případě.
2) Autoři webů používající tyto šablony netuší, že jejich weby někdo napadl díky tomuto scriptu. Odhalení nějakých skrytých odkazů ve zdroji je většinou jen náhodné, jak jsme se mohli přesvědčit i v tomto případě.
3) a taky samozřejmě díky tomu, že kontrola na themeforestu se více zajímá o design a “vychytávky” než o to co by mněla…
Šablona vzhledu obsahovala velice starý script timthumb.php a díky němu bylo možné nahrát na webhosting a poté spustit libovolný soubor, mimoto nebyla z hlediska SEO optimalizace zrovna to pravé a z těchto důvodu usuzuji, že ji autor změnil za šablonu Tiberion.
Bohužel i táto šablona obsahuje naprosto stejnou bezpečnostní chybu!
