wordpress补丁 wordpressorg

wordpress 漏洞修补除了升级还有其他办法么

目前应该没有其它更好的办法了,除非你可以对照WordPress的升级补丁,自行修复漏洞,如果不然建议还是直接升级吧!

成都创新互联公司专注为客户提供全方位的互联网综合服务,包含不限于成都网站设计、成都网站建设、赤峰林西网络推广、微信小程序定制开发、赤峰林西网络营销、赤峰林西企业策划、赤峰林西品牌公关、搜索引擎seo、人物专访、企业宣传片、企业代运营等,从售前售中售后,我们都将竭诚为您服务,您的肯定,是我们最大的嘉奖;成都创新互联公司为所有大学生创业者提供赤峰林西建站搭建服务,24小时服务热线:18980820575,官方网址:www.cdcxhl.com

如何为Wordpress做安全防护

【平时就应该保护好我们的电脑,给一些建议】

1、安装杀毒软件还是必要的,要及时更新病毒库,还要装防火墙(防木马、黑客攻击等),定期杀毒,维护好电脑运行安全;

推荐楼主可以安装腾讯电脑管家,它是免费专业安全软件,杀毒管理二合一(只需要下载一份),占内存小,杀毒好,防护好,无误报误杀。拥有云查杀引擎、反病毒引擎、金山云查杀引擎、AVIRA查杀引擎、小红伞和查杀修复引擎等世界一流杀毒软件内嵌杀毒引擎!

其中软件升级、漏洞修复、垃圾清理,都有自动和定期设置,懒人必备

2、修复漏洞和补丁;打开腾讯电脑管家——工具箱——漏洞修复

3、平时不要上一些不明网站,不要随便下载东西;

4、还要提防随身移动存储设备(如U盘等,最近U盘病毒挺猖獗的);

5、不进不明不网站,不收奇怪邮件。下载完压缩包文件后先进行病毒扫描

6、关闭不必要的端口

7、要是有时间和精力的话,学一些电脑的常用技巧和知识;

最后,我要说的是,你要是平常的确是很小心,但还是中毒的话,那也是没办法的!(用Ghost备份系统是个不错的选择)

如何提高Wordpress的安全性

为了不让你的博客哪天被人挂了个木马链接,适当的防范工作还是要做的。这里,我列举了几个常用的防范措施。 隐藏Wordpress的版本号 虽然Wordpress本身的安全性已经很好了,但多少还是会有些Bug(不然就不会有那么多的补丁发布了),一不小心就可能会被黑客利用。除了经常更新Wordpress之外,最好还是将Wordpress的版本号隐藏掉。 很多Wordpress主题,包括Wordpress默认的主题,都会把Wordpress的版本号加在网站的头部。在模板文件夹的header.php文件里你经常会看到这样一句话: meta name="genrator" content="WordPress php bloginfo('version'); ? / 这样就直接泄露了你的Wordpress版本号,于是可能导致在你没有来的及更新Wordpress时,被黑客利用旧版本中的Bug攻击你的博客。 禁止用户浏览目录 有些主机默认会允许用户访问目录列表,你可以尝试在浏览器中访问“/wp-includes”目录,看文件是否有被列出来。 Options All -Indexes 更多关于.htaccess的使用技巧可以参考我的另一篇文章: 《Wordpress中.htaccess的使用技巧》。 另外在Wordpress中,有很多不必要的路径是不需要被搜索引擎抓取到的。比方以wp-开头的管理面板。这个你可以在.htaccess中修改(方法见上面给出的那篇文章),也可以完全不管。因为如今的搜索已经足够只能,可以分析出网站所用的框架,并自动过滤掉那边不必要的文件了。 修改admin管理员名 Wordpress默认会用admin做为管理员的名称。这样使得黑客可以暴力破解你的网站。所以你可以把管理员改为自己的用户名。Wordpress 3.0以上的版本已经原生支持修改管理员的功能了。另外,一个好的密码也是很重要的,最好的密码是大小写混杂数字,并毫无意义,当然,前提是你也要记得住才行哦~ 其实,我更建议你在管理员之外,再创建一个用户,只赋予编辑权限,专门用来发布、修改文章。只有在必要的时候(比方添加删除插件),再登陆管理员账号。 文件夹权限登陆Wordpress后台后,Wordpress经常会提醒你,你的XXX目录权限过低。很多时候,这条警告都会被用户忽略掉,但其实文件的权限设置非常重要,过低的权限可以会导致黑客以一个其它用户登陆系统,修改你的wordpress文件。 对于文件夹,一般755的权限就足够了。 修改表的前缀 Wordpress默认会经wp_做为数据库中表的前缀,笔者建议把它修改成一个随即的值。这个在你安装的时候可以选择。对于已经安装好的博客,如果你不想手动修改表和配置文件,可以用插件来帮你完成这项工作:Change DB Prefix。 利用插件提高安全性 Exploit Scanner: 扫描网站的中恶意代码。 WordFence Security或WordPress Sentinel: 检测Wordpress原文件是否被修改。 VIP Scanner:检测被插入到你模板中的广告信息。 最后,希望每个Wordpress站长都能拥有一个安全的博客。引用朋友的一句话做结束语:做站长,开心最重要。^_^

如何修复wordpress4.0跨站脚本执行漏洞

WordPress是著名的开源CMS(内容管理)系统。近日,在4.0版本以下的Wordpress被发现存在跨站脚本漏洞(XSS),新版本的Wordpress已经修复了这些问题。为了安全起见,建议站长们尽早更新到WP新版本。 该漏洞是由芬兰IT公司Klikki Oy的CEO Jouko Pynnonen发现的,只存在于Wordpress4.0以下的版本中。据调查得知全球有86%的Wordpress网站都感染了这一漏洞,也就意味着全球数百万的网站都存在着潜在的危险。一些知名网站也使用了Wordpress软件,如Time、UPS、NBC Sports、CNN、Techcrunch 和FreeBuf:) 漏洞概述 WordPress中存在一系列的跨站脚本漏洞,攻击者利用跨站脚本伪造请求以欺骗用户更改登录密码,或者盗取管理员权限。 如Jouko Pynnonen解释道: 当博客管理员查看评论时,评论中的漏洞代码会自动在其Web浏览器上运行。然后恶意代码会偷偷接管管理员账户,从而执行管理员操作。 为了证明他们的观点,研究人员创建了一个漏洞利用程序(exploits)。利用这个exploits,他们创建了一个新的WordPress管理员账户,改变了当前管理员密码,并在服务器上执行了攻击PHP代码。 漏洞分析 问题出在wordpress的留言处,通常情况下留言是允许一些html标签的,比如、、等等,然而标签中有一些属性是在白名单里的,比如标签允许href属性,但是onmouseover属性是不允许的。 但是在一个字符串格式化函数wptexturize()上出现了问题,这个函数会在每一个留言上执行,函数的功能是把当前的字符转义成html实体,比如把“”转义为“”。为了防止干扰html格式,wptexturize()首先会以html标签为标准把文本分成若干段,除了html标签,还有方括号标签比如[code]。分割的功能是由下列正则表达式完成的。 在wp-includes/formatting.php代码的第156行: $textarr = preg_split(‘/(.*|\[.*\])/Us’, $text, -1, PREG_SPLIT_DELIM_CAPTURE); 但是如果文章中混合着尖括号和方括号[]会造成转义混淆,导致部分代码没有转义。 攻击者可以通过这个漏洞在允许的HTML标签中注入样式参数形成XSS攻击,比如通过建立一个透明的标签覆盖窗口,捕捉onmouseover事件。 漏洞利用测试 以下代码可以用于测试 [[” NOT VULNERABLE] 修复建议 这一漏洞很容易被攻击者利用,WordPress官方建议用户尽快更新补丁,而在新版WordPress 4.0.1已经修复了所有的漏洞。 WordPress官方于11月20日发布了官方补丁,目前大多数的WordPress网站上都会收到补丁更新提醒通知;如果有一些其他原因使得你无法更新补丁,Klikki Oy公司还提供了另外一个解决方案(workaround)可以修复该漏洞。 wptexturize可以通过在wp-includes/formatting.php开头增加一个返回参数避免这个问题: function wptexturize($text) { return $text; // ADD THIS LINE global $wp_cockneyreplace; 额外提醒 如果你使用的是WP-Statistics WordPress插件,你也应该更新补丁。因为这些插件上也存在跨站脚本漏洞,攻击者同样可以实施攻击。


当前文章:wordpress补丁 wordpressorg
浏览地址:http://myzitong.com/article/ddcddjh.html