WP-Simple » Хаки WordPress

Защита WordPress используя .htaccess

admin — Thu, 28 Jan 2010 07:38:53 +0000

У файла .htaccess есть много возможностей. Сегодня мы рассмотрим как с помощью пары строчек, написанных в нем, возможно защитить ваш блог на WordPress от инъекций и нежелательных изменений _REQUEST и GLOBALS.

Для начала сохраните свой файл .htaccess из корневой директории и не забывайте делать его бэкап всегда перед изменением файла. Если вдруг что пойдет не так будет возможность восстановиться.

Ну а теперь добавим несколько строк в ваш .htaccess.

Options +FollowSymLinks
RewriteEngine On
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} GLOBALS(=|\[|\%[0-9A-Z]{0,2}) [OR]
RewriteCond %{QUERY_STRING} _REQUEST(=|\[|\%[0-9A-Z]{0,2})
RewriteRule ^(.*)$ index.php [F,L]

Благодаря этим строкам вы защитите свой блог.

Вот и все, как обычно легко и просто. Удачи!

Автоматическая защита от спама

admin — Wed, 27 Jan 2010 08:00:00 +0000

Надеюсь вы все пользуетесь широко известным плагином для защиты от спама Akismet, но бывает что спам все равно просачивается в комментарии. Советую дополнить ваш WordPress еще одним плагином для защиты от спама при вводе комментариев, что-то типа капчи.

Но и это не все, сейчас я покажу как еще можно увеличить защиту от спама с помощью небольшой функции. Открываем и добавляем этот код в свой functions.php.

function in_comment_post_like($string, $array) {
	foreach($array as $ref) { if(strstr($string, $ref)) { return true; } }
	return false;
}
function drop_bad_comments() {
	if (!empty($_POST['comment'])) {
		$post_comment_content = $_POST['comment'];
		$lower_case_comment = strtolower($_POST['comment']);
		$bad_comment_content = array(
			'viagra',
			'hydrocodone',
			'hair loss',
			'[url=http',
			'[link=http',
			'xanax',
			'tramadol',
			'russian girls',
			'russian brides',
			'lorazepam',
			'adderall',
			'dexadrine',
			'no prescription',
			'oxycontin',
			'without a prescription',
			'sex pics',
			'family incest',
			'online casinos',
			'online dating',
			'cialis',
			'best forex'
		);
		if (in_comment_post_like($lower_case_comment, $bad_comment_content)) {
			$comment_box_text = wordwrap(trim($post_comment_content), 80, "\n  ", true);
			$txtdrop = fopen('/var/log/httpd/wp_post-logger/nullamatix.com-text-area_dropped.txt', 'a');
			fwrite($txtdrop, "  --------------\n  [COMMENT] = " . $post_comment_content . "\n  --------------\n");
			fwrite($txtdrop, "  [SOURCE_IP] = " . $_SERVER['REMOTE_ADDR'] . " @ " . date("F j, Y, g:i a") . "\n");
			fwrite($txtdrop, "  [USERAGENT] = " . $_SERVER['HTTP_USER_AGENT'] . "\n");
			fwrite($txtdrop, "  [REFERER  ] = " . $_SERVER['HTTP_REFERER'] . "\n");
			fwrite($txtdrop, "  [FILE_NAME] = " . $_SERVER['SCRIPT_NAME'] . " - [REQ_URI] = " . $_SERVER['REQUEST_URI'] . "\n");
			fwrite($txtdrop, '--------------**********------------------'."\n");
			header("HTTP/1.1 406 Not Acceptable");
			header("Status: 406 Not Acceptable");
			header("Connection: Close");
			wp_die( __('bang bang.') );
		}
	}
}
add_action('init', 'drop_bad_comments');

Массив $bad_comment_content содержит список запрещенный слов. Этот отличный совет взят с сайта http://www.nullamatix.com/

На этом все, удачи!

Изменение логотипа на странице Login

admin — Sun, 24 Jan 2010 08:01:41 +0000

В WordPress на странице login установлен всем известный логотип, выглядит он хорошо, но иногда хочется изменить его. В таком случае, возможно использование некоторых плагинов или просто попробовать, предложенный мною хак.

Тут все просто, нужно добавить одну функцию в файл вашей темы functions.php.

function my_custom_login_logo() {
    echo '';
}

add_action('login_head', 'my_custom_login_logo');

Кому непонятно, custom-login-logo.gif наш новый логотип.

На этом все, удачи!

Создание хака заполнения метаполя description

admin — Mon, 14 Dec 2009 07:41:47 +0000

Кто-то пользуется плагинами для заполнения метаполей в описании страницы, а кто-то предпочитает использовать хаки или исправления кода.

Опишу простой способ решения проблемы без использования плагинов. Откройте файл header.php и вставьте следующий код в любом месте в пределах и :

">

Скрываем версию Wordpress

admin — Sun, 13 Dec 2009 18:10:39 +0000

В некоторых случаях для безопасности вашего сайта или блога необходимо скрыть версию Wordpress. Один из таких случаев – это взлом CMS Wordpress и получение доступа к вашему сайту или личному блогу.

Решение проблемы лежит в скрытии метаданных, находящихся между тегами и . С выходом WordPress 2.5 версия вставляется в метатеги автоматически, и не может быть легко удалена как прежде.

Если посмотреть исходный код любой страницы сайта или блога на Wordpress, то можно увидеть таку строку:

Предлагаю небольшой хак. Для его реализации нужно открыть файл functions.php, находящийся в каталоге вашей темы и добавить туда следующую строку:

remove_action ( 'wp_head', 'wp_generator');

В приведенном выше коде использована remove_action для удаления функции wp_generator (), которая выводит на экран версию Wordpress. Теперь эта функция не будет выполнена и версия WordPress не будет показана в исходном коде страницы. С помощью этого простого однострочного хака потенциальные хакеры никогда не узнают какую версию вы используете.

Хак испробовал на себе, можете посмотреть исходный код страницы и попробовать в нем найти эту строку. В данный момент ее нет. К этому я и стремился