Заметка о том, как можно увеличить производительность работы с кешем, закинув его в память сервера, а не оставив на диске.

📗 Открыть на сайте

#будничное #nginx #wordpress

Secure Your WordPress Website

Утащил для вас неплохой курс по WP с отдельным уклоном в безопасность сайта на этой CMS.

#видео #wordpress

📝 И вот ещё короткая заметка от подписчика, о том как можно защитить страницу авторизации (на примере Wordpress) с помощью Cloudflare.

📙 Открыть на его сайте

#фидбечат #wordpress #cloudflare

Тем временем, мой Wordpress прислал уведомление о том, что он обновился до версии 4.8.2. Разработчики закрыли 9 серьёзных проблем безопасности (SQL injection и пачка XSS), так что обязательно обновитесь, если ещё не сделали этого.

Подробности здесь:
https://goo.gl/msR29d

К слову, судя по всему, CVE-2017-8295 разработчики так и не закрыли. При том что первые репорты об уязвимости получили ещё аж в июле 2016.

Подробности уязвимости можно найти здесь:
https://goo.gl/ZKwABg

Если кратко - злоумышленник может сформировать определённый HTTP запрос, содержащий предустановленную переменную hostname и в то же время инициирующий сброс пароля для нужного пользователя. В ходе выполнения атаки, письмо будет отправлено на почту того пользователя, чей пароль сбрасывается, но в полях From и Return-Path уже будет стоять ящик атакующего на проблемном домене.

Если атакующий, при этом, сделает так, что почта пользователя окажется не доступна, то письмо для сброса пароля будет перенаправлено на email злоумышленника. Так же, при ответе пользователем на письмо (Но разве на них кто-то отвечает?), ответ уйдёт злоумышленнику.

Проблема актуальна на серверах с Apache, и так как патчей и исправлений разработчиками представлено не было (они, судя по всему, не считают эту проблему критической), специалисты рекомендуют в конфиге апача использовать опцию UseCanonicalName, которая позволит установить статическое значение SERVER_NAME, что не даст злоумышленнику подменить переменную.

#wordpress #security

Друзья, у Wordpress вышло обновление безопасности, где была закрыта потенциальная возможность SQL инъекции на сайте. Обязательно обновитесь, если используете эту CMS.

https://wordpress.org/news/2017/10/wordpress-4-8-3-security-release/

#wordpress

Меня тут межу делом спросили, не станет ли канал очередным складом курсов и сливов. Нет, не станет. У меня тут ещё достаточно годноты и полезностей, которыми с вами хочется поделиться. Хотя косметические изменения (название, описание канала) запланированы, в связи с последним обновлением Telegram и пришедшим с ним поиском. Так что не пугайтесь, если вдруг что-то изменится - это так и было задумано. 🤓

Но вернёмся к всяческой всячине. Вот например, интересная утилита для управления Wordpress'ом прямо из командной строки:

https://github.com/wp-cli/wp-cli

Умеет очень многое - от установки и обновления плагинов и CMS, до запуска собственного встроенного веб-сервера для определённой WP инсталляции. Тем кто плотно с Wordpress работает, но о cli ещё не знает - рекомендую к ознакомлению.

#будничное #wordpress

Как-то совсем не по новогоднему, но всё же проблема назрела, так что будьте в курсе, друзья... Похоже что к трендовым ныне установкам майнеров на сайт, добавился ещё один кейс - покупка обычного, более-менее популярного плагина для популярной CMS c последующим встраиванием в него бекдора или какого-то другого потенциально проблемного кода. Треьего дня, в Wordpress были найдены ещё (это в дополнение к Captcha) три плагина, содержащих в себе бекдоры:

- Duplicate Page and Post
- No Follow All External Links
- WP No External Links

Принцип работы бекдоров похож - в код встраивается адрес, с которого, при определённых сочетаниях юзерагента и url сайта, отдаётся код, выполняющийся на сайте жертвы. При этом, каждый новый посетитель, зарегистрированный пользователь, администратор или поисковый бот могут получить совершенно разный код, выполняющий разные действия. На данный момент, известно о случаях простановки скрытых ссылок на сайтах и сборе статистики на них.

Занятно в данном случае то, что все три плагина были куплены, и только после покупки, с очередным обновлением получили вредоносный код. Исследование показало, что "виновник торжества", во всех этих случаях скорее всего один и тот же - платежи при покупке плагинов были сделаны с иденичных реквизитов, соединения бекдорами выполняются на один и тот же сервер, во всех случаях, в ситуации принимает участие некая компания Orb Online.

Плагины, там где они ещё используются, рекомендуется удалить, из репозитория Wordpress они так же были удалены. Подробнее о том, какой код встраивается, к какому IP идут соединения, что grep'ать для того что бы увидеть, заражён ли сайт вашего клиента, можно прочитать по ссылке ниже:

https://goo.gl/cJXZ7o

#wordpress #security

❗️ Уязвимость в Wordpress.

Камрады, тут в Wordpress обнаружилась очередная проблема, которая вполне сойдёт за уязвимость, позволяющую парализовать работу сайта, а в нужных руках натворить куда больше проблем.

Если кратко - то к скрипту wp-admin/load-scripts.php можно сформировать специальный запрос, который вернёт ответом большое количество данных. Можно взять какой-нибудь doser.py скрипт и сгенерировать большое количество обращений им, и этого уже будет достаточно что бы положить ресурс на лопатки, если на сервере не настроены лимиты. А можно пойти чуть дальше и начать подменять IP...

Подробности о произошедшем можно прочитать здесь:
https://goo.gl/epYnMj

Разработчики WP на данный момент не сочли проблему серьёзной, судя по всему, так что нашедший уязвимость Barak Tawily сделал форк WP, где поправил проблему так, как счёл правильным, плюс, подготовил BASH скрипт, который патчит текущую установку CMS. Спешить ставить этот патч не стоит, возможно таки разработчики отреагируют на проблему, но о его существовании будьте в курсе:

https://github.com/Quitten/WordPress/blob/master/wp-dos-patch.sh

#wordpress #security #dos

🔏 ModSecurity и CVE-2018-6389.

Не так давно писал об очередной проблеме в Wordpress, эксплуатируя которую, злоумышленники могут нарушить работу ресурса. Помимо патча от нашедшего уязвимость, теперь доступно и решение для ModSecurity, которое позволяет использование уязвимости ограничить. Описание того как это сделать и все сопутствующие ссылки доступны в заметке.

📗 Открыть на сайте

#security #wordpress #modsecurity

Семь убийц производительности WordPress от Константина Ковшенина.

Без лишней воды, всё по делу. Если планируете работать с WP, обязательно посмотрите.

#видео #wordpress

📺 Wordpress тюнинг.

Недавно выложенное видео оказалось размером в 1Гб, я понадеялся что Telegram ужмёт его, но нет.

Нашёл таки и это видео в сети, и ещё одно занятное, так что прикладываю ссылками:

🔨 Константин Ковшенин: 7 убийц производительности WordPress.

🔧 Геннадий Ковшенин: Профилирование кода в WordPress.

Ну и в принципе, все интересующиеся Wordpress'ом, могут ресурс wordpress.tv полистать, возможно найдёте что-то ещё интересное.

#видео #wordpress

📊 WordPress Google Site Kit.

Владельцев сайтов на Wordpress (да, я использую WP в работе, ага), Google приглашает на бета-тест нового плагина, который будет показывать статистику как для всего сайта целиком, так и для отдельных страниц по четырём службам: Search Console, PageSpeed Insights, Analytics, AdSense.

ℹ️ Подробнее здесь: https://sitekit.withgoogle.com/

Попроситься на beta-тест можно по ссылке:

https://docs.google.com/forms/d/e/1FAIpQLScuPDz9VlslHwFfeV-PrmWJoRy6ia9eXWtoar2fTHyMJEEwbQ/viewform

#wordpress #google

🕹 WordPress 5.0.0 RCE.

У кого тут ещё не обновлённые WP остались? Обновитесь обязательно. Ну и между делом посмотрите на разбор одной RCE уязвимости в движке:

https://blog.ripstech.com/2019/wordpress-image-remote-code-execution/

#wordpress #напочитать

📊 WordPress Google Site Kit - плагин вышел и доступен для установки. https://wordpress.org/plugins/google-site-kit/ Владельцам сайтов на WP рекомендуется к ознакомлению.

#wordpress #google

🔩 How to move WordPress into a Linux container - запаковываем наш любимый Wordpress в наш любимый Podman контейнер и запускаем его с помощью systemd.

#wordpress #podman #напочитать

🆖 Nginx Unit и запуск Wordpress на нём: https://unit.nginx.org/howto/wordpress/ Там же по ссылке несколько других примеров.

#nginx #wordpress #напочитать