Beiträge von mastermind

Ist das übergeordnete Verzeichnis durch den Server beschreibbar?

Was steht denn in Deinen Permalink-Einstellungen?

Immerhin gibt es bei Drupal ein Security-Portal, und es werden offizielle Patches neben den Upgrades angeboten.

Zitat von Sedaris

Kann mir jemand einen professionellen WP-Spezialisten in der Schweiz oder in Deutschlabnd empfehlen, der mir meine Seite designen und aufschalten würde.

You've got mail (PN). :-)

Vielleicht hilft das Related-Posts-Plugin.

Zitat von jottlieb

Damit das nich verloren geht, könnte ich einen FAQ-Artikel draus machen.
Wärest du damit einverstanden?

Aber klar doch.

Zitat von Morris

Das Script ist klasse, schade nur, dass ich einen Haufen Windows Server verwalte ;).

Mein Beileid. ;-)
Aber kannst ja versuchen, das Script als BAT-Datei zu reimplementieren. :mrgreen:
Aber mal im Ernst: Es gibt SFU und Cygwin; vielleicht kannst Du das Script (mit einigen Anpassungen) ja damit nutzen...

Wenn man einen virtuellen oder dedizierten Root-Server hat, kann man ein kleines Bash-Script benutzen, um mehrere WordPress-Installationen automatisch zu aktualisieren. Das ganze passiert natürlich auf der Kommandozeile (bash).

Ich wollte das die ganze Zeit schon gemacht haben, aber jetzt hab ich mich doch mal hingesetzt. (Danke, Morris. ;-))

Ich weiß nicht, wie viele Leute mit mehreren WP-Installationen unterwegs sind, die zwar über eine Shell, jedoch nicht über Root-Zugang verfügen. Bei Bedarf kann ich das Script aber für den Gebrauch als eingeschränkter Benutzer anpassen.

#!/bin/bash


# Copyright (c) 2007 Alex Guensche
#
# Permission is hereby granted, free of charge, to any person
# obtaining a copy of this software and associated documentation
# files (the "Software"), to deal in the Software without
# restriction, including without limitation the rights to use,
# copy, modify, merge, publish, distribute, sublicense, and/or sell
# copies of the Software, and to permit persons to whom the
# Software is furnished to do so, subject to the following
# conditions:
#
# The above copyright notice and this permission notice shall be
# included in all copies or substantial portions of the Software.
#
# THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND,
# EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES
# OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND
# NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT
# HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY,
# WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING
# FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR
# OTHER DEALINGS IN THE SOFTWARE.


# where are working data stored
WORKDIR="/root/wpupgrade/"


# a file with the absolute path to the WordPress installation and the URL
# to the website, both separated only by an equation mark, no other characters
# example lines in that file:
# /var/www/example.org/htdocs/blog/=http://example.org/blog/
# /var/www/localhost/htdocs/=http://127.0.0.1/
WPDIRS_FILE="${WORKDIR}installations"


# derive the affected WP installations from that file
WPDIRS=$(cat ${WPDIRS_FILE})


# WordPress website
WORDPRESS="http://www.wordpress.org/"


# path to latest version
LATEST="latest.tar.gz"


# script to call in order to finish the upgrade
UPGRADESCRIPT="wp-admin/upgrade.php?step=1"




# get it on
cd ${WORKDIR}


# remove old versions
[ -e "wordpress" ] && rm -r wordpress
[ -e "latest.tar.gz" ] && rm latest.tar.gz


# get latest version, unpack and prepare
wget ${WORDPRESS}${LATEST}
tar -xzf $LATEST
rm -r wordpress/wp-content
rm -r wordpress/wp-config-sample.php
[ -d "languages" ] && cp -r languages wordpress/wp-includes


# upgrade each webhost
for i in ${WPDIRS}; do


        DIR=$(echo $i | cut -f 1 -d "=")
        WEBSITE=$(echo $i | cut -f 2 -d "=")
        USER=$(ls -l ${DIR}/wp-config.php | cut -f 3 -d ' ')
        GROUP=$(ls -l ${DIR}/wp-config.php | cut -f 4 -d ' ')


        echo "Upgrading WP installation in ${DIR} for host ${WEBSITE}..."
        echo -n "Do you have backups and want to continue? [y/N] "
        read DOITBABY
        [ "${DOITBABY}" == "y" ] || exit


        cd $DIR;
        echo "Upgrading..." >> index.html
        mv wp-content wordpress_content
        mv wp-config.php wordpress_config.php
        rm -r wp-* xmlrpc.php index.php


        cp -r ${WORKDIR}/wordpress/* .
        mv wordpress_content wp-content
        mv wordpress_config.php wp-config.php


        wget "${WEBSITE}${UPGRADESCRIPT}" -O -
        chown -R ${USER}:${GROUP} ${DIR}
        rm index.html


        echo "Upgrade for ${DIR} finished."
done

Benutzung:

1. Als Root anmelden und nach /root/ wechseln
2. Ein Verzeichnis namens wpupgrade anlegen
3. In das Verzeichnis wpupgrade wechseln und das obige Script dort speichern
4. Das Script mit chmod +x ausführbar machen
5. Empfohlen: Ein Verzeichnis languages mit allen benötigten Sprachdateien anlegen
6. Eine Datei installations anlegen, in das zeilenweise der absolute Verzeichnispfad sowie die Web-URL getrennt durch ein Gleichheitszeichen eingegeben werden (keine Leer- oder sonstige Zeichen!). Bspw.:
   
   Code

   /var/www/example.org/htdocs/blog/=http://example.org/blog/
   /var/www/localhost/htdocs/=http://127.0.0.1/

Wenn man dann das obige Script ausführt, werden alle in installations aufgeführten Dateien automatisch aktualisiert. :-)

Achtung: Keine Gewähr für gar nix! Vorher Backups machen!

Sehr schön. :-)

Zitat von SuMu

updates sind ja schön, wenn dadurch neue Funktionen kommen, aber immer nur Sicherheitslöcher stopfen, finde ich nicht so prickelnd8)...

Findet keiner prickelnd. Aber sei doch froh, dass es so schnell geht.
Kann auch anders laufen.

WordPress ist eben mittlerweile eine sehr komplexe Anwendung und es hat mittlerweile einen Verbreitungsgrad erreicht, bei dem es auch von Sicherheitsdienstleistern und Hackern (im positiven wie negativen Sinn) viel Aufmerksamkeit bekommt. Wenn ich mir anschaue, wie das bei Joomla und phpbb war und ist, denke ich, dass wir WordPress-Anwender noch gut bedient sind.

Ich war eigentlich gerade dabei, den Exploit so umzustricken, dass man ihn auch übers Web starten kann (zumindest die ersten paar Stellen des Passwort-Hashs).

Aber es scheint, dass wir doch recht zügig ein neues Update bekommen: 2.0.7 steht vor der Tür und soll primär diese Sicherheitslücke schließen.
http://comox.textdrive.com/pipermail/wp-t…ary/003644.html

Hm, das ist nicht gut.

Schick bitte mal eine Mail an die wp-hackers-Mailingliste, dort wird der Exploit auch schon diskutiert; aber bislang konnte es keiner mit 2.0.6 reproduzieren.

Auf welche Weise soll der Besucher die Mail denn schreiben? Wenn sich ein E-Mail-Programm öffnen soll, muss die Adresse im Klartext vorhanden sein. Das lässt sich mit the_author_email() realisieren, aber das ist nicht empfehlenswert, da das eine Steilvorlage für Spammer ist. Eine Alternative wäre, dass man den Besucher auf ein Kontaktformular umleitet, wo er eine Mail an einen bestimmten Autor schreiben kann. Doch dafür gibt es meines Wissens keine fertige Lösung.

Hm, dann würde der Exploit womöglich doch auf 2.0.6 zu passen.
http://forum.wordpress-deutschland.org/showthread.php?t=16028

Woher stammt denn die Info, dass die schon auf 2.0.6 waren?

Du musst auch bei siteurl die neue Adresse eintragen. Ansonsten: Seite neu laden, Cache leeren etc.

Was genau meinst Du mit "wird nicht mehr angezeigt"?

Kommt die Fehlermeldung immer noch beim Aktivieren?
Vielleicht ein Cache-Problem. Probier es bitte mal in einem anderen Browser. Ansonsten: Vermutlich ist es nicht schlimm, wenn es nur beim Aktivieren kommt. Einfach mal beobachten. Ich hab's zwar getestet, aber natürlich nicht im Dauerbetrieb. Kannst ja bei Gelegenheiten Deine/Eure Erfahrungen posten.

Einen String an eine Variable anhängen:

$bla = "foo";
$bla .= "bar";


// $bla == "foobar"

Einen Zeilenumbruch einfügen:

$bla = "String
mit
Zeilenumbruch";
$bla = "String\nmit\nZeilenumbruch"; // doppelte Anführungszeichen!

Was passiert, wenn Du alle Plugins deaktivierst?

Ok, ich hab mich nochmal schlau gemacht. Normalerweise sollte es auch mit älteren Versionen funktionieren, denn die "pluggable functions" sind eben so gestaltet, dass sie durch Plugins ersetzt werden können. (Das Upgrade war trotzdem nicht umsonst. ;-))

Aber mal was anderes: Kannst Du bitte die Leerzeilen und -zeichen am Ende der Datei custommail.php entfernen? Das schließende PHP-Tag muss das letzte Zeichen in der Datei sein. Probier es bitte dann nochmal.

Zitat von milko

Hallo Mastermind,
ich komme auf b) weil ich das irgendwo hier schon einmal gelesen habe. Ich such nochmal den Link. Edit: Hier ist er

Nun, das ist ein individueller Hack; an den Kerndateien rumzufummeln ist generell keine gute Idee. Ich dachte, Du sprichst von einer integrierten Möglichkeit.

Zitat von milko

jedoch ist meine Zielvorstellung, dass die Person, die sich registrieren möchte die Registrierung mit einem Aktivierungslink bestätigt. Da - wie ich bereits geschreiben habe - das ein Standard im Web ist, müsste das doch auch leicht für Wordpress anwendbar sein.

Verstehst Du jetzt besser, was ich bezwecken möchte, oder soll ich noch weiter ausholen ;).

Ich verstehe schon, was Du meinst. Nur: welchen Vorteil versprichst Du Dir von der Aktivierungslink-Methode? Ich könnte mir zwar einige vorstellen, aber ich denke nicht, dass die ein Patchen der Kerndateien rechtfertigen würden.

Hast Du mal versucht, die Plugins alle zu deaktivieren? Wenn es dann läuft, kannst Du die Plugins Stück für Stück wieder aktivieren und nochmal testen.