WordPress 2.8.5: 安全性更新

翻译自原文:WordPress 2.8.5: Hardening Release

Peter Westwood所写。 归类于Releases, Security.

众所周知,过去的几个月我们致力于开发WordPress 2.9的新功能。同时我们也尽力使得WordPress更加安全。在这期间,我们发现了一些安全上的改进,我们认为非常值得让2.8也同样有这些改进并使你的站点更加安全。

如下是在这个版本中的主要改进:

  • 修复了一个目前发现的Trackback拒绝服务攻击 。
  • 清楚代码内有php代码中测试的变量。
  • 将所有用户包括管理员调整到文件上传白名单内。
  • 放弃两个老的Tag导入插件。

为了保证你们有目前最佳的保护,我们推荐所有的站点都升级到最新的WordPress。

如果你认为你的站点或许被某个最近发现的漏洞所攻击并且你想保证你已经清楚了所有的可被利用的漏洞,那我们推荐你尝试下WordPress Exploit Scanner。这个插件会查找你网站上的文件还有你数据库里日志和评论这两张表来检测是否有任何可疑之处。另外它也会检查目前激活的插件,看是否有不正常的文件名。关于这个插件更多的信息可以看这里:“WordPress Exploit Scanner”。

——————————–

这篇文章发布很久了,一直“没时间”去翻译&更新,写完,也刚把AaronMix升级到2.8.5……

明儿

对于学校里新造的宿舍、建筑,总有人喜欢一边大骂“这他妈的都是我的重修费啊!”,一边还喜欢屁颠屁颠地跟人说“漂亮伐?这是我们学校的XXX,OOO和OOXX!”。

如题,同样的道理。

还是好好休息。这几天项目尾声阶段,有时要在会议室写代码写到23点才好回去。前天都有种突然要晕过去的感觉了,只觉得天旋地转的。

怎样保证WordPress的安全

翻译自原文:How to Keep WordPress Secure

Matt所写。 归档于 开发, 安全.。

小洞不补大洞吃苦。对于bloggers来说这是永恒的真理,仅仅花一点时间在马上就升级上省下了很多之后修复一些问题的工作。

现在,旧版本WordPress并且也没打补丁的正遭受一种蠕虫病毒的攻击。这种特别的蠕虫病毒(跟以前的差不多)的攻击方法很聪明:先注册一个用户,利用一个安全漏洞(在今年早些时候已经修复)使攻击代码通过永久链接来执行就可以使得这个用户获得管理员权限,接着当你查看当前用户页面的时候使用JavaScript脚本来隐藏自己,接下去把自己清理干净。所以当它在你的旧文章里插入垃圾广告和恶意软件时你永远也不会发现。

尽管技巧非常的新颖,但对策仍十分古老。当这个蠕虫病毒正在“清理”阶段时:它并没有很好地隐藏掉,然后博主会注意到博客里的所有链接都已失效,这样便会使他深入探究并且意识到了危害的广度。以前的蠕虫病毒会做一些傻X的事情比如破坏你的站点,但这种新的却是安静且无法察觉,所以你唯一会注意到它的破坏的时候是他们已经破坏了你的博客(就比如先前提到的那个)或者你的网站已经被google移除搜索结果因为你的站点上有垃圾广告和恶意软件。

我在这里说这个并不是吓唬你,而是提醒你这是过去已经发生过的并且将更有可能再次发生。

还是那句话,小洞不补大洞吃苦。升级的确是一项工作量挺大的活儿WordPress社区也已经花了巨大的精力使现在升级只需一键升级。修复一个被黑掉的博客,从另一方面来说,也是非常辛苦的。打个比方来说,升级只是投入一些精力;而修复被黑掉则是心脏直视手术。(对于所需的花费来说,也是一样的。)

2.8.4,目前WordPress最新的版本,对于先前提到的那个蠕虫病毒是免疫的。(2.8.4之前的一个版本也是对此蠕虫免疫。)如果你已经在计划要升级但还没正式行动,现在就开始做吧!如果你已经升级了你的博客,或许督促、检查下你朋友的或者你阅读的那些博客,看看他们是不是需要帮助。还是那句话,小洞不补大洞吃苦。

不管蠕虫病毒什么时候登门拜访,每个人都可以使用如下三种技巧中的一种:1.阴险的小技巧;2.Club方案;3.真正的解决方案;来成为安全专家。第一种阴险的小技巧是你马上现在就可以使用的就是隐藏WordPress版本号,然后就没事儿了。额。。。不过,蠕虫的作者也会考虑这个。他们的1.0版本的蠕虫也许检查的版本号,但2.0只是测试性能,版本号根本没用。

第二种方法是Club 方案。为了阐述这个方法,我引用下Mark Pilgrim7年前一篇非常好的对付spam的文章(那是比WordPress年龄还久远的年代啊)

真正有意思的关于这些方法的,从博弈论的角度来看,是他们都是Club 方案,而不是Lojack方案。有两种基本的方法来防止你的车被盗:The Club(或者The Shield,或者汽车防盗情报,又或是其他类似的东西),以及Lojack。Club方案对于一个坚定地想要偷你车的贼来说并不怎么起作用(钻锁孔、拆掉方向盘并且关掉Club都是非常简单的)。但是对于某个只是想偷车(并非一定是你的车)的贼还是非常有效的,因为贼通常是非常慌忙的而且是找最容易下手的目标(打个比方,就像是低垂的果实)。只要不是每个人都装Club或者每个人都装了Club,对于贼来说就会花费等同的时间在任何一辆车上,于是他们的选择就会给予其他因素,那么你车的被盗可能性就跟其他车一样了。Club并不会使小偷不偷你的车,只是让他换个目标。(Aaron注:其实Club就是防君子不防小人的意思)。

Club式的博客安全方案可以是非常简单的(就比如一个.htaccess文件)也可以是非常复杂的(就像双因素验证),然后他们就可以工作了,特别是针对已知的漏洞利用。Club方案可以非常有用,就好像使用一个足够强、复杂的密码——没有人会不推荐这么做。(另外一个Club方案是换一个更少人用的软件,基于这样一个架设又也许更像是该软件声称:这是完美而且更加安全。这是为什么BeOS比Linux更加安全。)

在汽车的领域里,如果某些人发明如何将整辆车传送至“赃车店”,Club或许就不再那么有用了。不过对于Club的制造商幸运的是,这还未发生。但在网络和软件的世界里,相同的事情几乎每天发生。这里也只有一个真正的实际方案。如今以及将来我唯一能保证你的博客安全的事情就是不断地升级。

WordPress是一个由上百人组成的社区,每天都在阅读代码、审查、升级,并且在保证博客的安全性上花费了足够大的精力。我不是千里眼我也不可能预测那些写垃圾广告的、黑客、破坏者、骗子们将来会想出什么办法来损坏你的博客,但是目前我只知道只要WordPress还在我们将会尽一切力量确保软件是安全的。我们已经把升级核心组件和插件做成了一键升级。如果我们找到某些有问题的地方,我们将会发布一个修复补丁。请升级,这是唯一我们能互相帮助的。

今天杂事

今天下午跟PP2一道去邮局领了WordCamp 2009 @ Shanghai的TEE。

Image_00083

面料蛮舒服的,我的是墨绿色XL号的,稍微大了一点点,大家拿到的是什么颜色的呢?

还有个消息是TM 2009 beta发布了(只有中文版)。貌似之前的TM 2008 beta了一年多了吧,怎么这次正式版还没出,2009就已经beta了,非常囧。。。2009的体验稍后奉上。

WordPress 2.8 RC!

今天WordPress 2.8 RC1发布了!详情请见这里开发日志上就几行文字,没什么好翻译的,就不翻译了。2.8到RC1的变化戳这里。而2.8的正式版应该可能在6月10号发布

博客程序也升级到2.8 RC1了。

今天也是个好日子,twitter等相继解封了,不知youtube会怎样。

关于WordCamp China 2009 还是应该说点什么的

WordCamp China 2009已经过去20多天了,我的懒惰使得这篇日志迟发了20多天了:P

照片部分,就不发上来了额。先前已经有很多童鞋们上传过照片了,比如左拉拍的(基本上就是艹你马),fisio的,新浪也有专题,当然也有我在flickr上的。现在来谈点别的。

这次参会,给我印象最深刻的莫过于每个参会者乐于分享的心态。这次WordCamp来了很多“牛人”,比如daxakcomeliumaoisaac maozuola等等,并没有一般人眼里的“牛人”所理应具有的不把你放眼里的“牛”气质。当然也有很多早已认识的好友们:mcgeekpicturepan2neolee等等。要是没有这群人的一些推荐、介绍,或许我会晚得多地用上那么多那么酷的东西:WordPressGoogle ReaderTwitter等等。每个人都可以把自己觉得有意思、有用的、酷的东西通过各种渠道介绍给周围的人,自己的博客,twitter,哪怕是QQ、校内上的一条签名。我们生来的嘴和手做更多的应该是分享,可悲的是很多人却用来恭维和BJ。所以我也更坚定地继续坚持着AaronMix

目前AaronMix的文章大多数都是关于WordPress文章的翻译,没有什么太大的技术含量。翻译的目的是为了让更多的人能够脱离语言本身的束缚来了解WordPress。在自己读懂原文的情况下,多花点时间,翻译出来,其实也只是举手之劳的事情。虽然我承认认真地翻译一篇文章还是非常需要点时间去琢磨的,嘿。在这其中,虽然没通过Blog赚过什么钱,每天也才一百多访问量,PR么和博主都很2,但是也被鼓励的时候,比如某条在cnbeta上的“看了翻译才看懂(原文)写了什么”的评论:)

上述这段话,也算献给我这个快2岁的博客吧,哈。

PS:Matt见到我的时候来了句”I remember you!”,着实令我开心了一把,哈哈。

一套很不错的《LOST》壁纸

身边很多朋友都知道我非常喜欢《LOST》,以至于都不看其他的美剧了,比如最近很多人推荐的《Lie to Me》。好吧,《LOST》第5季结束后,我一定会去看的!

昨晚临睡前找到了一套非常不错的LOST的壁纸,现在电脑桌面已经换成了Charlie的那张。拿出来给大家分享,希望有同样喜欢《LOST》的同学能一起交流交流。这套壁纸应该是iPod跟《LOST》剧组合作的。

地址在这里,都是1920×1200的。

先“剧透”几张,嘿嘿。

我最喜欢的人物之一:Charlie。

iPod Desktop-Charlie

我最喜欢的人物之二:Desmond。

iPod Desktop-Desmond

那只叫Vincent的狗。

iPod Desktop-Vincent

神秘的黑烟。

iPod Desktop-SecSys

我们来开红色推土机[转]

公益活动,出处不详。

09年,民谣歌手周云蓬发起了一个帮助贫困盲童的计划。目的是为那些家境贫困的失明孩子,购买他们需要的乐器、mp3播放器、读书机。

p230603785 为了让更多的人知道这个计划,周云蓬邀请众多民谣歌手无偿录制了一个童谣专辑,每个歌手或翻唱、或原创一首童谣歌曲,一共25首儿歌收录在两张 CD中,专辑名字为《红色推土机》。这张专辑把当下“新民谣”阵营里的歌手一网打尽,称得上是民谣歌手的一张全家福。而这些创作音乐人,在这一次的专辑里,也从往日的角色中越轨而出,放下沉重,低吟浅唱,唱给暂时的黑暗和永远的孩子。

  4月10日、11日,参与专辑的民谣歌手将在北京星光现场,举行一场“假如给你三天黑暗•帮助贫困盲童《红色推土机》专辑首发演唱会”。参加演出的有很多在北京不常看到的民谣艺人,李志从南京、陆晨及顶楼马戏团自上海,以及在遥远丽江的张佺都将专程赶来,一次民谣歌手的全国大串联,千里迢迢只为唱首儿歌,帮助盲童更幸福些。其中,由于李志只身来京,他将与博尔赫斯乐队漂亮的女手风琴手合作,演绎一首《妈妈》。隐居在丽江的张佺,这次也将唱出新歌。而当年中国最好的地下摇滚乐队“舌头”的铁血主唱吴吞,这次也将一反常态,单身上台,唱一首里面有雨水、小燕子的“时候到溜”,表现了这个杀手不太冷的另一面。

我们曾经前卫,常常反叛,但那天,新民谣,将跟随着母亲和孩子们返璞归真。

演出阵容:4月10日20:30:周云蓬、王娟、张佺、李志、钟立风与博尔赫斯乐队;4月11日20:30:刘东明、冬子、小娟、吴吞、苏阳、顶楼马戏团。
演出现场所卖专辑收入,将用于此计划的启动基金。本计划资金管理人:罗永浩、张晓舟、苏阳、钭江明、周云蓬。

“我无法承诺为某个盲童带来一生的幸福,这个计划只是一声遥远的召唤,就像你不能送一个迷路的盲人回家,但可以找一根干净光滑的盲杖,交到他手中,路边的树、垃圾箱、风吹的方向、狗叫声、晚炊的香气,会引导他一路找回家门。”

关于这个计划,周云蓬的这段话也许可以代表每个参与者的心声。

豆瓣活动链接:帮助贫困盲童——《红色推土机》唱片首发演唱会

教程:为你的WordPress博客建立IE 8 Web Slices

翻译自原文:Tutorial: How to Write an IE8 Web Slice for WordPress Blogs

Web Slices或许是IE8最酷的功能之一了。一些朋友可能会发觉实际上这和Firefox的Live Bookmarks比较相似,不过,IE8 Web Slices可以做的更多而不仅仅只是订阅RSS源。

容我解释一下。打个比方,你对eBay上的某个物品感兴趣并且想尽快得到这个物品的更新通知,比如谁谁谁出了个新价或者卖家修改了产品的描述又或者是运费。要做点这点,可以在你的浏览器里不断刷新这件物品的页面,而更简单的方法则是增加eBay slice功能。

然后现在无论这次拍卖发生了任何的变化,它会即时地反应在你IE8浏览器的收藏夹工具条上。点击这个书签(或者web slice)来获取哪些地方发生了变化。

其实IE8的web slice就是一个内嵌在你浏览器内的迷你页面,也不管你现在是在上哪个网站。而且不像Firefox的Live Bookmarks那样只是一个下拉式菜单显示网站的头条消息。在IE8的中的wen slices你拥有的是对样式的完全控制权使它能多种多样丰富起来。

如何建立IE 8 Web Slice

网站主有这个责任为他/她的网站开发web slices功能。你首先需要决定哪些内容会被呈现在web slice上,更新的频率是多少以及这个web slice的样式如何。

这里(MSDN 库)提供了一些文档来教你如何上手开发web slices,包括了一个样式指南来确保你的web slice在浏览器内看起来不错并且有较强的可读性。

你可能会发觉这个文档本质上太技术化了点,但是千万不要灰心,下面是一些非常简单的例子告诉你如何去为任何使用WordPress的博客(自己独立架设的)定制一个web slice。

1: <html><head>
2: <title>Page Title</title>
3: </head><body>
4: <div class="hslice" id="techologynews">
5:  <h2 class="entry-title">IE 8 web slice</h2>
6:   <div class="entry-content">
7:    <p><a href='#'>Link 1</a></p>
8:    <p><a href='#'>Link 2</a></p>
9:    <p><a href='#'>Link 3</a></p>
10: </div></div>
11: </body></html>

一个IE8 Web slice只是一个简单的HTML页面,结构如上。你只需指定web slice的标题(这是显示在浏览器收藏夹工具条上的),然后在“ entery-content ” 类(第7-9行)中替换成你自己的内容即可。

你也可以自己定义CSS样式,比如这个实例 – 在IE8内打开这个链接来看浏览器是如何自动侦测到页面上的这个web slice(绿色的slice图标会闪)。

如果你还没装IE8或者在你电脑上获取web slice有任何困难,这里有一个高清视频demo(译者注:原文没有这个视频的任何链接,可能作者失误了)。

Web Slices in Internet Explorer 8 – Demo

如果你有一个WordPress(自己独立架设的)博客,下面教你如何创建一个IE8用户可以加到他们菜单栏上的web slice。

在你的WordPress安装目录下创建一个新的文件(比如 webslice.php),然后复制粘贴如何代码到这个php文件下。

<html><head>
 <title>Page Title</title>
</head><body>
<div class="hslice" id="1">
 <h2 class="entry-title">Your Site Name</h2>
 <div class="entry-content"><ol>
<?php
  require_once('wp-load.php');
  $results = $wpdb->get_results("SELECT post_title, guid
          FROM $wpdb->posts where post_status = 'publish'
     ORDER BY ID DESC LIMIT 5");
  foreach($results as $row) {
   echo "<li><a href='".$row->guid . "'>"
     . $row->post_title ."</a></li> n";
  }
?>
</ol></div></div>
</body></html>

代码非常简单。实质是创建一个到你WordPress数据库的连接并且创建了一个将会显示到wen slice上的最近发布博客文章的列表,如果有人在IE8内订阅你的站点的话。

如何在IE8里安装 Web Slices

至此你的web slice功能已经就绪,现在可以把这个slice发布到你的网站上让使用IE8的访问者可以把这个slice加入到他们的收藏夹工具条上。

接下去,我们会创建一个简单的HTML按钮使得点击它会自动把这个web slice加入到IE8中。

<input type="button" value="Add [site name] Web Slice"
     onclick='window.external.AddToFavoritesBar("http://web-slice-url",
	"Your Website Name", "slice");' />

如上的Web Slices教程是特别为WordPress博客写的。如果你是在其他平台上建立自己的博客的,参考这篇文章:turn the RSS feed into a Web Slice