Новости WordPress на неделя 3/6/2006
или «новости Wordpress окончательно вывесили неделю поздно»
С «рубить» первоначально конкуренции темы Wordpress 2.0 и нового отпуска обеспеченностью WordPress 2.0, exciting неделя. Во первых быстрое слово на конкуренции после этого пролом вниз изменений в 2.01.
Теперь о конкуренции: Когда WordPress 2.0 было выпущено, каждое искало темы. И google вел каждое к как раз немного мест. Главное одно закончилось вверх по быть местом конкуренции кто-то известным только как Джастин. Оно кажется теперь, даже к вечному оптимисту как, что правоподобно что то вся конкуренция KyCap.com было очковтирательством или Джастин как раз полученными внутри над его головкой. Здесь окончательные столбы от того места:
Более лучшие новости
6-ое марта 2006
Я контактировал сервера admin и они сказали мне они посмотрит в его и получат, что назад было как можно скорее. На среднем времени, я получил много электронные почты помощи от каждого на как к retrive задней части почти каждый столб от тайника google. Я очень признательн на этой помощи. Я хотел был бы сказать спасибо к тем которые помогают мне вне.Пробовать к retrive базе данных
5-ое марта 2006
Я поистине очень уныл на чем случаясь к моему блогу конкуренции. Я принял больше чем время месяца строгая все вверх прежде чем я организую эту конкуренцию препятствовать каждому делить их работы. Я не зарабатываю что-нибыдь от этой конкуренции и я даже не кладу вверх никакое adsense google для того чтобы заработать любой бортовой доход. Я как раз надеюсь что каждое смогло насладиться искать славные темы.
Сообщение к хакеру, «если вы сделали освобождаетесь вверх по полностью этой базе данных блога конкуренции, то мы не получили ничего сказать но если вы сохранили подпорку для этой базы данных. Пожалуйста пошлите экземпляр к нам к нашей электронной почте на kcyap@kcyap.com. Мы оценим если вы смогли послать его над как можно скорее», то
Оно действительно каждое трудная работа на организовать эту конкуренцию. Мы тратим большое часть из нашего времени пробуя наше самое лучшее для того чтобы хозяйничать самая лучшая конкуренция всегда.
Я очень счастлив с всеми комментариями и электронными почтами которые были посланы к мне относительно этого случая. Много люди помогали мне вверх на как получить назад полностью потерянный столб. Для вашей информации, моя вся база данных была уничтожена хакером. Не даже вещь вышла на мою директорию сервера. Удачливейше я подпер хотя бы что-то вверх для моего личного блога. Я угадываю что единственный путь восстановить полностью потерянный столб тайник google trought. Тайник Google не делает выставки каждая страница для моего столба который был опубликовывает. Там все более лучшие пути восстановить их все?
Темы все будут опубликовать по мере того как мы двинули их к новому серверу. Новый сервер спонсирован одним из следующих для этого блога конкуренции. Я буду быть блог о ем скоро. Спасибо.
Вебсайт получил прорубленным
5-ое марта 2006
Очень сожалейте объявлено что был прорублен этот вебсайт блога конкуренции. Я не имею никакую подпорку для всех этих данных и не уверено если сервер admin имел подпорку на ем или не. Я очень огорченн для этого случая.
Призы все еще будут этими же и я буду upload еще раз все представленные темы дальше одним от теперь. Это может взятия довольно некоторое время, пожалуйста быть терпеливейше.Результат для этой конкуренции все еще будет объявляет надевает 10-ое марта 2006.
К рекламодателям которые имели согласились к рекламодателю для этого приза, я не одену в все поричание ваше если u восстановляет от спонсировать случай вследствие этого призов. Мы спонсируем ourself призов. Удачливейше мы подготовили на ем.
Любое имеет любую идею на как получить назад полностью уничтоженный столб? Еще раз, я очень огорченн на что случилось. Я попробую получить назад уничтоженный столб если возможно. Я угадываю сегодня буду самым плохим днем моей жизни после того как я имею едва ли организовать эту конкуренцию на сверх период месяца.
Усмешливо, она кажется его вебсайт теперь был прорублен в виду того что он полностью разбивается. Она только не показывает «никакой такой архив или директория в /home/u1/ahkiongkc1/html/index.php», что-то я одеваю в показатель здесь в виду того что я не могу увидеть любое reationship между названным «Джастин» и «″ achkiongks1. Но то как раз дело для более дальнеишего умозрения. На положительной стороне, были несколько пристойных тем положенных вверх включая одно я использую теперь, бинарная синь отсчетом нул.
Я решал что я фактически положу совместно базу данных 2.0 тем что люди смогли внести их темы в журнал к и даже upload их для распределения если они не имеют объем запоминающего устройства. Так, вы скоро увидите некоторые столбы объясняя чего я учил о формах и полях паутины. Я думаю что я получает все части работая теперь. 1. Форма входа с полями я для того чтобы оценить использовал бы ли или не загружать тему. 2. Страница для того чтобы позволить uploading помещенной в архив темы к моему месту. 3. Страница которая выполняет фактические upload и утверждение и многообещающе обеспечивает некоторое предохранение от обеспеченности злоупотреблением. Oh, и я нужна форма которая повторяют базу данных и показывают результат в таблице, но которая легка. Так мне как раз нужно положить их совместно.
ПРИМЕЧАНИЕ: Это не будет конкуренцией темы. Это как раз план- конспект или перечисление тем. МНОГООБЕЩАЮЩЕ это будет САМЫМ ЛУЧШИМ перечислением тем но оно в никаком путе это значенные, что состязалось с новой конкуренцией темы на http://www.wordpressarena.com/ которое остановит признавать новые темы в неделе.
Относительно отсчета нул, и того английский перевод - в немце он быть известным под названием Null отсчета (делая его вебсайт www.4null4.de 404 как ошибка инвалидной страницы получает ее? Получите его?), мы посылали по электронной почте назад и вперед все неделя и, несмотря на мой более предыдущий комментарий о его искусствах ошений с клиентами (который я rescind - я угадываю что каждое озаглавлено получать сварливый теперь и снова), я действительно любим ванта. Несмотря на теория конспирации стены что он мог фактически быть Джастин (lol), я думаю что хорошее приятельство может эволюционировать здесь, принимающ я всегда получает вокруг к рассматривать его тему как я сказал что я о последний викэнд.
Одна из вещей мы обсуждали над последней неделей бреши в системе безопасности в системе WordPress Blogging. Они деиствительно существовали. Подсчитайте остроконечно меня на где рванина была и более поздно ту ночу я испытал нападение на этом вебсайте. Удачливейше хозяин места i этот блог до конца имеет установку которая защищает против того добросердечного нападения я использовал. Я все еще хочу определить которые блоги могут быть уязвимы к этому виду нападения и говорить им как зафиксировать его. Да я сказал вязать. При блог моего супруги получая меня в это, я чувствую как я должен попробовать помочь той общине с техническими сторонами вещей. Я уже знаю пук уязвимых мест. Как причалить им ключ. Я довольно уверен что выходящ комментарий который изменяет название столба я комментирует дальше путем добавлять период к ему неправильное aproach. Но оно все еще уговаривает и получил бы пункт поперек. 
Хорошие новости что обеспеченность в Worpress 2.02 фиксирует это определенное уязвимость. Другие хорошие новости что никто шло вокруг принимать преимущество этого отверстия но в способе который они смогло. KnitChat.com фактически было прорублено дважды через отверстия в Wordpress 1.52 которые с тех пор были заткнуты. То позволило архиву index.php быть замененным с прорубленной версией. От сегодни вечером, я довольно уверен я умею как то было сделано. Ремонтировать нападение был легок. Если вы бедный человек принятый правые меры предосторожности в вашем блоге, это нападение смогли сделать что-нибыдь от уничтожать весь из ваших столбов, то к обтирать весь DB или плох (да более плох).
Так, на что изменяло в 2.02 (это предположил, что быть мясом этого столба и был единственной причиной почему я начал ее.) В виду того что это отпуск обеспеченностью, проявители Wordpress не сделали детальное «здесь как вы можете атаковать перечисление более старые блоги», но они смогли пойти более далее чем они фактически имеют. Люди которые атакуют блоги, уже сумеют как сравнить архивы между версиями и могут написать их собственные нападения. Я хочу знать какие отверстия там в более старых системах так, что я не совершью такие же ошибки в чего я пишу.
BTW там будет зонами пары в которых я технически правильно в чего я говорю, но я несколько смутн или не объясняю все влияния Кода. Эти преднамеренны, пожалуйста не поставляют экстренную деталь. Однако, если я blatently неправильно на что-то, то препятствуйте мне знайте. Спасибо!
Настолько здесь пролом вниз:
Изменения конечного пользователя
\ WP-Comments-Post.PHP
Старый Код:
-
51 $comment_id = wp_new_comment ($commentdata);
-
52
-
53 если (! $user_ID):
-
54 $comment = get_comment ($comment_id);
-
COOKIE_DOMAIN);
-
endif 58; </p>
-
Код <p><strong>New: </strong>
-
[php]
-
51 $comment_id = wp_new_comment ($commentdata);
-
52
-
53 если (! $user_ID):
-
-
-
setcookie 54 (comment_author_ `'. COOKIEHASH, stripslashes ($comment_author), время () + 30000000, COOKIEPATH, COOKIE_DOMAIN);
-
setcookie 55 (comment_author_email_ `'. COOKIEHASH, stripslashes ($comment_author_email), время () + 30000000, COOKIEPATH, COOKIE_DOMAIN);
-
setcookie 56 (comment_author_url_ `'. COOKIEHASH, stripslashes ($comment_author_url), время () + 30000000, COOKIEPATH, COOKIE_DOMAIN);
-
endif 57;
Почему:
См. как stripslashes были добавлены? То обеспечить что печенья которые хранятся на компьютере плаката содержат сырцовый незащищенный Код. WordPress сделает предохранение каждый раз столб madeIf вы защищаете уже защищенный вход, данные как раз получает искаженным.
[/php] См. как stripslashes были добавлены? То обеспечить что печенья которые хранятся на компьютере плаката содержат сырцовый незащищенный Код. WordPress сделает предохранение каждый раз столб madeIf вы защищаете уже защищенный вход, данные как раз получает искаженным.
\ wp-register.PHP
Старый Код:
-
26} еще если (! is_email ($user_email)) {
-
27 $errors [user_email'] `= (`<strong>ERROR</strong>: Адрес электронной почты не правильно. ');
-
-
-
28}
-
29
-
-
-
-
-
30 если (! validate_username ($user_login))
-
31 $errors [user_login'] `= (`<strong>ERROR</strong>: Этот username инвалидн. Пожалуйста впишите действительный username. ');
Новый Код:
-
26} еще если (! is_email ($user_email)) {
-
27 $errors [user_email'] `= (`<strong>ERROR</strong>: Адрес электронной почты не правильно. ');
-
28 $user_email =»;
-
29}
-
30
-
31 если (! validate_username ($user_login)) {
-
32 $errors [user_login'] `= (`<strong>ERROR</strong>: Этот username инвалидн. Пожалуйста впишите действительный username. ');
-
33 $user_login =»;
-
34}
Почему:
Это справедливо прямодушно. Если UserName или электронная почта потребителя поставили, то пока регистрировать содержит инвалидный info, по возможности от нападения, не выйдите info туда, котор нужно построить на. Как раз ясно оно вне и имеет попытку потребителя снова.
Старый Код:
-
< 68; id= «имя пользователя» div >
-
< 69; h2><? _e php (Complete') зарегистрирования `? >< /h2>
-
< 71;? php printf ((пароль `: %s'), < `; strong>. (`посыланное по электронной почте к you'). < `; /strong>')? > < br/>
-
< 73; class= p «представляет» >< ><» mce_href= «wp-login.php» href= «wp-login.php;? _e php (Login') `; ? >» < /a>< /p>
-
< 74; /div>
-
[…]
-
user_login» size= «» id= ««user_login 113 maxlength= 20 ″ «value= 20 ″ «<! - отголосок $user_login p; - >»/>
-
114 = user_email» size= «» id= ««user_email maxlength= 25 ″ «value= 100 ″ «<! - отголосок $user_email p; - >»/></p>
-
<p/>
Новый Код:
-
< 71; id= «имя пользователя» div >
-
< 72; h2><? _e php (Complete') зарегистрирования `? >< /h2>
-
< 73; p><? php printf ((Username `: %s'), «< strong>». wp_specialchars ($user_login). «< /strong>")? >< br/>
-
< 74;? php printf ((пароль `: %s'), < `; strong>. (`посыланное по электронной почте к you'). < `; /strong>')? > < br/>
-
< 75;? php printf ((электронная почта `: %s'), «< strong>». wp_specialchars ($user_email). «< /strong>")? >< /p>
-
< 76; class= p «представляет» >< ><» mce_href= «wp-login.php» href= «wp-login.php;? _e php (Login') `; ? >» < /a>< /p>
-
< 77; /div>
-
[…]
-
116 […]= user_login»» id= «user_login «size= «maxlength= 20 ″ «< value= 20 ″ «;? wp_specialchars отголоска php ($user_login); ? >»/>< br/>< /p>
-
117 […]= user_email»» id= «user_email «size= «maxlength= 25 ″ «< value= 100 ″ «;? wp_specialchars отголоска php ($user_email); ? >»/>< /p>
Почему:
Эт 2 изменения просто слишком. Используя wp_specialchars, оно принимает все характеры OEM (и что не) и убеждается что они показано правильно в имени и электронной почте имени пользователя потребителя. Это критическое в сегодняшнем международном мире.
\ wp-settings.php
Старый Код:
-
188 // если уже о, прокладка.
-
190 $_GET = stripslashes_deep ($_GET);
-
191 $_POST = stripslashes_deep ($_POST);
-
192 $_COOKIE = stripslashes_deep ($_COOKIE);
-
193 $_SERVER = stripslashes_deep ($_SERVER);
-
194}
Новый Код:
-
188 // если уже о, прокладка.
-
190 $_GET = stripslashes_deep ($_GET);
-
191 $_POST = stripslashes_deep ($_POST);
-
192 $_COOKIE = stripslashes_deep ($_COOKIE);
-
-
-
193}
Почему?
Magic_quotes_gpc () установка для сервера PHP на вашем месте. Оно автоматически защищает применения базы данных PHP (как блоги) от шаровар безопасность для всех. ЕДИНСТВЕННАЯ причина почему нет сотни блогов WordPress будучи разбиванными вне там. magic_quotes_gpc защищает 4 путя представлять информацию к серверу: Установки получает, столбов (кладет), печений, и сервера (сервер в этот случай включает информацию от вашей машины). WordPress имитирует волшебные цитаты и не полагается на установках сервера. Однако, оно не хочет делать работу дважды и карабкаться входной сигнал. Это изменение извлекает линию извлекает слеши положенные в по волшебству закавычит для перемеююого сервера. Быть довольно честен, я не уверен почему пока… Перемеююые сервера должны быть специальны как-то в что мы хотим удвоить защищаем их. Это не кажется, что делает любое чувство к мне. Для того чтобы быть довольно честен, я рассчитывал увидеть больше предохранения вокруг перемеююых сервера в виду того что они обыкновенно злоупотребляемая область и часто используемые середины атаковать вебсайты. Возможно не извлекающ слеши - и таким образом не позволяющ двойным слешам? - добавляет больше предохранения? однако к мне оно кажется что ые слеши как раз дали взболтанные…. Возможно проявители хотели показать позитву доказательства что эти области были защищены? Я пропавш что-то здесь…
Изменения потребителя Admin
OK этот столб получает путь к длиной. Так я не иду пойти в уровень детали я сделал для другой области.
\ wp-admin \ admin.php - защищает справку к странице plugins
\ wp-admin \ admin-functions.php - были несколько зон предохранения добавленных к этому режиму. Он в большинстве концентрирует перемеююые использования обрабатываемые/retreived довольно чем перемеююые которые смогли отвергнуться потребителями. Он также прикрывает вне или закрывает установки столба которые не имеют никакие автоматически принимаемые значения.
\ wp-admin \ admin-header.php - принуждает привилегированности редактировать категории.
\ wp-admin \ edit-pages.php - защищает столб редактирует путем использование обрабатываемой перемеююого довольно чем одно которое смогло быть поставлено потребителем.
\ wp-admin \ List-manipulation.php - блоки рубят нападения от malformed соединений.
\ wp-admin \ menu-header.php - добавляет ablity для plugins для того чтобы дать извещения о admin в коллекторе.
\ wp-admin \ post.php - обеспечивает что столбы могут только быть сделаны admins которые вносили в журнал дальше через пульт управления.
\ wp-admin \ user-edit.php - обеспечивает что случай потребителя редактировать приходит от pannel управлением admin и не нападения мотыги.
\ wp-admin \ blogger.php - добавляет пропавший коллектор HTML
Будьте достаточным оно для того чтобы сказать что эти изменения в большинстве защищают администраторов блога которые позволяют их потребителям вывесить.
Делят блоки
\ wp-включает \ comment-functions.php защищает WP от malformed печений
\ починка черепашки wp-включает \ functions.php небольшая в обрабатывать даты
\ регулировки wp-включает \ template-functions-general.php к методам дисплея даты
\ wp-включает \ template-functions-links.php был перезаписан режим для позволений потребителя испытания. Звоноки к тому режиму должны быть обновленный.
\ wp-включает \ version.php - поднял номер версии
\ wp-включает \ js \ * - TinyMCE был обновлен.
новая версия к TinyMCE делает более лучше но она ВСЕ ЕЩЕ horribly сломана. Я все еще решил повернуть его для столбов сочинительства. Re-Редактировать столбы как раз НЕВОЗМОЖН с им дальше. Оно вероятно работает если вы ТОЛЬКО используете лимитированные кнопки, то которые вверху коробка столба, но если вы используете больше чем то, то оно как раз messes вверх.
Заключения
Этот отпуск защищает потребителей WordPress от нескольких форм нападения. Некоторые чего я не подумал себя. Я все еще полно не понимаю почему система не обнажает вне слеши в varibles _server прежде чем она повторно обращает их. Возможно кто-то может адресовать то в комментариях, но то изменение делает дальнейшее увеличение предохранение уже уязвимой области и возможно был бульвар нападения в той области которую я не могу увидеть на этой стадии. Однако, я сильно рекомендую вас прикладываю эту новую версию. Она делает вас более безопасной от нападений и spamming.
