Новая уязвимость WordPress. SEO и безопасность.

Сегодняшний пост будет посвящен вопросам безопасности, которым , мы, как правило, не уделяем должного внимания. А зря. И опять SEO пример из личной жизни. Наверно Вы уже слышали, а если - нет, то обязательно примите к сведению, что совсем недавно, одним из блоггеров, была обнаружена очередная уязвимость во всеми нами горячо любимом WordPress, включая версию 2.8.3.

Суть сей дыры заключается в том, что в метод по переустановке пароля администратора в качестве ключа активации передается массив, с которым код не умеет(умел) справиться. Таким образом, при помощи банального HTTP запроса можно одним движением мышки сбросить код администратора абсолютно любого блога на платформе WordPress. Разумеется, данный запрос, по этическим соображениям, я демонстрировать не буду.

Именно такой бесхитростной атаке подвергся один из моих буржуйских блогов, у которого и без этого полным полно недоброжелателей. Но суть не в этом, а в нашем обычном русском “авосе”. Про этот баг я слышала еще неделю назад, но вот до устранения онного все никак не доходили руки. За что я и поплатилась.

Сразу же хочется всех успокоить и сказать, что даже, если Вы и подвергнитесь данного рода злой шутки со стороны Ваших “друзей”, то в любом случае никому, кроме Вас узнать пароль не удастся. Ведь новый пароль высылается на e-mail администратора. Но вот, для людей, которые этого не знают, этот может здорово потрепать нервишки.

Кстати, буквально вчера вышел релиз WordPress 2.8.4, который устраняет эту уязвимость WordPress.
Для тех же, кто по каким-то причинам не хочет или не может в данный момент установить новую версию WordPress, я продемонстрирую, как за 6.5 секунд можно самостоятельно устранить данную неполадку, которая сэкономит Вам массу времени, а главное - нервов.

Итак, первым делом Вам необходимо получить доступ к файлу wp-login.php, который находится в корневой директории Вашего блога. Теперь, все, что Вам требуется, это открыть этот файл(предварительно сохранив старую версию, где-то в стороне, на всякий случай) любым текстовым редактором(хоть при помощи notepad) и найти а этом файле строчку:

if ( empty( $key ) )

(у меня это было на 191 строчке). Теперь Вы попросту меняете всю данную строчку на эту:

if ( empty( $key ) || is_array( $key ) )

Усе готово, враг не прорвется (до следующего бага)

Теперь Вы поняли, что всего-навсего одна маленькая строчка, может стать источником серьезных проблем? Лично я для себя из этого инцидента вынесла одно простое правило: “Безопасность превыше всего!”, а все остальное может подождать.

Надеюсь Вы не будете повторять моих ошибок, ибо тогда зачем я это писала

И помните, что говорят умные люди: “осведомлен - значит защищен”!

(автор: r a z n o b l o g . c o m)