Кратка ретроспекция за WordPress ядрото през 2022 г.

Blinky

Blinky

Administrator
Екип
make.wordpress.org

A Year in Core – 2022

Happy new year everyone! Here’s some aggregate data for 2022 about WordPress Core contribution on Trac. Please note: these data only include code contributions to WordPress codebase, and it does no…
make.wordpress.org make.wordpress.org

Факт е, че WordPress и тази година бележи ръстове измежду CMS-ите и дори каквито и да е бизнеси, избирайки я за нуждите на бизнеса си. Лично аз очаквам 2023-та дори да е по-силна. Имам преки наблюдения върху това и мога да потвърдя. Дори дигитални агенции, бизнеси и фрилансъри изцяло разчитат на тази система за изграждане на уеб-базираните приложения на своите клиенти - магазини, фирмени сайтове, портали, и др.
 
Лошото е на cms-те, че ако някой ти разбере паролата и не си защитил входа към админ панела/или пък си качил някой плъгин с дупка - гориш..

След входа в админ панела, качваш плъгин тип файлов мениджър, през него качваш шел (в някоя директория) и от там гори всичко.

Със шела имаш достъп и до задни директории.. Горят и емейлите и прочие..

Вече има шелове и само в 1 файл и всичко гори за няколко минути.

Искам да кажа, че дори е добре да смените линка дори към страницата за вход към админ панела или да ограничите достъпа само до няколко айпита. (с Htaccess)

При custom проекти е по-трудно!

Подбирайте плъгините, обновявайте и си защитавайте логин страниците към админ панела...

Иначе и лапе ще ви пробие... (вече изтичат доста датабази, а и се продават такива)

Само съвет!
 
Pok4 каза:
Лошото е на cms-те, че ако някой ти разбере паролата и не си защитил входа към админ панела/или пък си качил някой плъгин с дупка - гориш..

След входа в админ панела, качваш плъгин тип файлов мениджър, през него качваш шел (в някоя директория) и от там гори всичко.

Със шела имаш достъп и до задни директории.. Горят и емейлите и прочие..

Вече има шелове и само в 1 файл и всичко гори за няколко минути.

Искам да кажа, че дори е добре да смените линка дори към страницата за вход към админ панела или да ограничите достъпа само до няколко айпита. (с Htaccess)

При custom проекти е по-трудно!

Подбирайте плъгините, обновявайте и си защитавайте логин страниците към админ панела...

Иначе и лапе ще ви пробие... (вече изтичат доста датабази, а и се продават такива)

Само съвет!
Увеличете...
Това е масово при всички системи, не важи само за WP. Няма още някаква мега сигурната на 100% защита от хакове.

Но има начин да се ограничи или в някакъв % минимизира:

WordPress pricing - miniOrange

Start your FREE Trial (on our cloud instance)No sign-up fees. No credit card required. No long-term commitment.Need an on-prem instance? We offer extra large plans for companies with even more user support.
www.miniorange.com www.miniorange.com
 
Съгласен съм, че е за всички, но при cms-те е по-лесно. Всичко е в нета и през wp, може да си импортнеш (качиш) плъгин през админ панела. Конкретно файловия мениджър за който споменах.
Ако влезеш в админ панел на custom проект, ще е идея по-трудно.. (тъй като някои опции няма да ги има)
 
Последно редактирано:
wordpress.org

File Manager

file manager provides you ability to edit, delete, upload, download, copy and paste files and folders.
wordpress.org wordpress.org
Или
wordpress.org

Bit File Manager – 100% free file manager for WordPress

Upload, delete, copy, move, rename, edit, compress, extract files. You don't need to worry about ftp anymore. It is really simple and easy to use …
wordpress.org wordpress.org

Или още, още и т.н

Ето и едно шелче - https://github.com/matmund/bajax-php-shell
Дървено, но много функционално, вече съм го ползвал...
 
Това дори не знаех, че е приложимо в нещо. Явно за директна редакция през админа. Но това не е ли малко нож с две остриета? Аз лично не бих го сложил на нито един WP, като знам, че след мен може да влезе някой с доста оскъдни знания и направо го обричаш сайта.
 
Pok4 каза:
Съгласен съм, че е за всички, но при cms-те е по-лесно. Всичко е в нета и през wp, може да си импортнеш (качиш) плъгин през админ панела. Конкретно файловия мениджър за който споменах.
Ако влезеш в админ панел на custom проект, ще е идея по-трудно.. (тъй като някои опции няма да ги има)
Увеличете...
Сега ми се налага да помагам за минаване на къстам система към опен сорс, с премиум пакет. Вече всяка голяма CMS система предлагат (от тяхната общност или официални разработчици на премиум версията) миграция. Като пак лидер си е WP, там има толкова много тулове, услуги и хора, предлагащи тези миграции, че дори не е вече и драма да се мине към нещо популярно.
 
Аз съм свалял сайтове така... Логвам се, качвам файловия мениджър, качвам шел и root-вам всичко... Дата бази, емейли, че дори мога да имам достъп и до други сайтове и машини (зависи до какво се докопам)
 
Pok4 каза:
Аз съм свалял сайтове така... Логвам се, качвам файловия мениджър, качвам шел и root-вам всичко... Дата бази, емейли, че дори мога да имам достъп и до други сайтове и машини (зависи до какво се докопам)
Увеличете...
Да, за този момент се притеснявах, с повече права и свобода извън инсталационната директория на WP. То по какво се различава от обикновения File Manager в контрол панела? Може би удобството да влизаш от едно място, но за сметка на сигурността, според мен не си заслужава.
 
Различава се, тъй като го качваш където ти решиш и името му остава същото, а и все пак е php (default-ния) по-спомен не позволява php разширение да се качва. Сега, ако има промени и позволява - още по-лесно...
Направо качвам шела...
 
В същия ред на мисли е добре да подбирате с кого работите по даден проект, тъй като може да направи мизерии.. Ще качи шела и ще изтрие плъгина... Гледайте си логовете (тези на ftp също) ...
Утре става скандал и след 1 седмица - you have been hacked... 1337 baby
Тези файлови мениджъри ги има за всички по-известни cms (e107, joomla, drupal, typo3) и т.н Някои си ги имат и вградени...
Тези функции може да се изолират и само админи с повече права да имат достъп.. Понякога може и да е късно..
 
Последно редактирано:
Дори да не се качва шел, ще се има достъп пак до sensitive инфо. (конфигурационния файл, други файлове и т.н)
Дори може да се инжектира код в някой файл...(като се редактира самия той)

Горният шел, може и да не тръгне под php 7/8,но в нета е пълно и с други.
Последния път като яздих един, тъкмо 5 сайта още паднаха...
На vps/dedicated е най-лошо, ако се пробие.. На споделен хостинг повечето пъти си ограничен до някаква директория... (jail-нат)

Само като инфо...
1. Защита на логин страницата за админи (с htaccess или php)

2.Ъпдейти на системата и плъгините

3.Сваляне на плъгини/темплейти само от официалния сайт

4.Изолация на други админи до страницата за ъплоуд на плъгини и страницата за мета таговете... (а и други чувствителни..)

5.Редовно следене на логове в системата

6.Добри настройки и ограничени права за юзъра, който държи уеб сървъра (само за vps/dedicated сървъри и подобни)

7.На емейлите си не съхранявайте никаква информация свързана с пароли и акаунти!

Файлови мениджъри има и за много форум системи и мизерии също могат да стават и там!

Ако някой е пуснал всичко под root има вероятност при следващ рестарт дори os да не зареди!
Някои шелове имат терминали!
 
Последно редактирано:
Трябва да си влезнал или регистриран, за да отговориш тук.

Back
Горе