foxi: в гугле достаточно написано о том, как проверять картинку, чтоб она была именно картинкой с соответствующим расширением, без зашифрованного в ней шелла и xss.
В "гуглах" много чего написано... Объясни народу (ок, можешь дать правильную ссылку, где написано
SeVlad: как же такой юзер (ну ок, пускай более продвинутый и знающий основы ПХП) может проверить загружаемые в движок файлы. (чит: использовать возможности движка)
или другими словами - как не кодер сможет проверить входные данные, вырезать из них каку, не повредив загружаемые данные (бинарник) и при этом увязать с движком. Где такое написано в твоих гуглах?
---------- Добавлено 14.11.2014 в 19:04 ----------
Verba1968: Вот мой .htaccess директория
1. Не "директория", а файл.
2. Это дефолтный ВПшный хтацесс и никакого отношения к теме он не имеет. Нужные директивы (ключи для гугления) я указал выше
3. Оформляй вставляемый в форум код ББкодом [code][/code]
foxi: вы не в курсе как проверить загружаемый файл на наличие в нем не того, что предполагается?
Причём тут какие-то "мы"? Ну, ок, пусть даже я (хотя я один). Причём тут я когда в ряды ""вебмастеров" записаны миллионы юзеров, понятия не имеющих не только о подобных проверках, но даже как сжимать картинки или чем отличается html-файл от CMS.
Но у тебя есть возможность просветить общественность - как же такой юзер (ну ок, пускай более продвинутый и знающий основы ПХП) может проверить загружаемые в движок файлы. (чит: использовать возможности движка)
foxi: тогда уберите из подписи свои услуги по вордпрессу, чтоб не вредить вебмастерам
VictorAS: Предполагаю, что админ форума программистов знаком с регулярными выражениями
Какая наивная вера :)
VictorAS: Если движок будет выдавать ошибку при попытке ввести логин длиннее 16-ти символов, то соответственно возникнет ошибка и юзеру придется использовать другой логин (что не является катастрофой, на мой взгляд).
Выходит и кириллица в логинах не допускается? (или ограничивается до 5 симв?)
VictorAS: но надеюсь мысль ясна.
Не хочу верить, но у меня сложись впечатлении, что "метод" удлиняет гет-запрос, искажает его. Так ли это?
Т.е ЧПУ поломается, а из запроса в 254 байта тупо потеряется кусок?
VictorAS: целый ботнет - согласитесь, всё это уже само по себе является для взломщика лишними "палками в колесах".
Как же так далёк от реальности... Воспользуйся что ли гуглом... Да даже банальный ТОР начинающих кулцхакеров обходит такую защиту, чего уж говорить о более проф. ломателях.
Нужно вставлять в посты код,
Вставляй
Но один коментарий с завидной постоянностью появляется на блоге
В одном посте? В каждом посте страницы можно вкл\выкл комменты независимо от глобальных настроек. Это и проверяй.
Это как, скачать папку и переименовать, потом закинуть обратно?
Зачем скачивать?! Переименовать каталог plugins на сервере. Временно переименовать. После отключения плагинов - вернуть имя обратно.
А просто в админке их отключить нельзя?
А если ты туда не попадаешь? ;) Я описал "грубый" способ, когда из-за неизвестно какого кривого плагина нет возможности попасть в админку.
в гугле достаточно написано о том, как проверять картинку, чтоб она была именно картинкой с соответствующим расширением, без зашифрованного в ней шелла и xss.
В "гуглах" много чего написано... Объясни народу (ок, можешь дать правильную ссылку, где написано
как же такой юзер (ну ок, пускай более продвинутый и знающий основы ПХП) может проверить загружаемые в движок файлы. (чит: использовать возможности движка)
или другими словами - как не кодер сможет проверить входные данные, вырезать из них каку, не повредив загружаемые данные (бинарник) и при этом увязать с движком. Где такое написано в твоих гуглах?
---------- Добавлено 14.11.2014 в 19:04 ----------
Вот мой .htaccess директория
1. Не "директория", а файл.
2. Это дефолтный ВПшный хтацесс и никакого отношения к теме он не имеет. Нужные директивы (ключи для гугления) я указал выше
3. Оформляй вставляемый в форум код ББкодом [code][/code]
Удалить не выходит. Блог сразу слетает.
"Слетает" потому что нет дефолтной темы.
Как её загрузишь и удалишь косячную (и отключишь плагины) - сразу заходи по данным выше урлам. Всё получится.
Если нет - проверяй хтацесс и перезалей дистрибутив ВП
А чем это поможет?
Покажет где ошибки и даст пищу для поисков проблем.
это ж было понятно из скринов на второй странице
Были скрины? О_о. Точно. Я что-то их только увидел (мб не отобразились когда тогда читал страницу).
Тогда алес..
ЧПУ отработает раньше, если оно на уровне хтацесс разруливается, а не движком.
Но так далеко не всегда. Тот же ВП например.
Камень в мой огород?
Да не.. Я никого конкретно не имел ввиду. Но это должен знать и уметь каждый сайтоделатель.
вы не в курсе как проверить загружаемый файл на наличие в нем не того, что предполагается?
Причём тут какие-то "мы"? Ну, ок, пусть даже я (хотя я один). Причём тут я когда в ряды ""вебмастеров" записаны миллионы юзеров, понятия не имеющих не только о подобных проверках, но даже как сжимать картинки или чем отличается html-файл от CMS.
Но у тебя есть возможность просветить общественность - как же такой юзер (ну ок, пускай более продвинутый и знающий основы ПХП) может проверить загружаемые в движок файлы. (чит: использовать возможности движка)
тогда уберите из подписи свои услуги по вордпрессу, чтоб не вредить вебмастерам
Обоснуй.
Если не подскажете что делать, я и не знаю что творить дальше.
1. Загрузить и никогда не удалять дефолтную тему (напр Twenty Fourteen для ВП4,0).
2. Удалить все левые темы и запомнить, что их нужно брать только на оф. сайтах (бесплатное - только оф репо)
2.1 Для надёжности принятия изменений можно зайти твойсайт/wp-admin/themes.php
3. Отключить все плагины, путём переименования каталога с ними и последующим заходом на твойсайт/wp-admin/plugins.php.
Приходится опять бекапить.
Не бекапить, а восстанавливать из бекапа. Бекапить - сохранять текущее состояние.
Белый экран.
Включить отображение ошибок
картинки можно.
А в картинках - исполняемый код или просто линк:) Не, не в курсе?
Но и FilesMatch и RemoveType никто не отменял.
Только плдохо что в нем капчи нет
Это-то как раз хорошо. Ибо капча-зло.
Плохо то, что вообще возникла мысль позволять загружать непонятно кому.
Предполагаю, что админ форума программистов знаком с регулярными выражениями
Какая наивная вера :)
Если движок будет выдавать ошибку при попытке ввести логин длиннее 16-ти символов, то соответственно возникнет ошибка и юзеру придется использовать другой логин (что не является катастрофой, на мой взгляд).
Чо, правда? ;)
Выходит и кириллица в логинах не допускается? (или ограничивается до 5 симв?)
но надеюсь мысль ясна.
Не хочу верить, но у меня сложись впечатлении, что "метод" удлиняет гет-запрос, искажает его. Так ли это?
Т.е ЧПУ поломается, а из запроса в 254 байта тупо потеряется кусок?
целый ботнет - согласитесь, всё это уже само по себе является для взломщика лишними "палками в колесах".
Как же так далёк от реальности... Воспользуйся что ли гуглом... Да даже банальный ТОР начинающих кулцхакеров обходит такую защиту, чего уж говорить о более проф. ломателях.