Hast Du mal testweise einen Trackback an SuMu geschickt?
Das Erreichen eines Pingservices und ein Trackback haben nur bedingt miteinander zu tun.
Beiträge von mastermind
-
-
Könntest du mir bitte einen Link zu Deiner Seite geben (ggf. per PN)?
Und: Wie hast Du das Update durchgeführt? (Bitte detailiert beschreiben.)
-
Im Exploit steht, dass WordPress <= 2.0.6 betroffen sind. Allerdings konnte es noch niemand mit 2.0.6 reproduzieren.
Aber es wäre in der Tat nett, wenn Du den Titel etwas entschärfen könntest.
-
Möglicherweise sind auf Deinem Server einige Funktionen deaktiviert, die für den Zugriff auf externe Seiten benötigt werden.
-
Ich habe es selbst gerade nochmal mit der neusten Version 2.0.6 probiert; weder mit register_globals=On noch mit register_globals=Off funktioniert der Exploit.
Es darf also davon ausgegangen werden, dass 2.0.6 sicher ist und dass vorhergehende Versionen verwundbar sind, zumindest wenn register_globals=On ist.
Zum Hintergrund: Wie funktioniert der Exploit?
In der PHP-Datei wp-trackback.php wird die externe Dateneingabe nicht korrekt gefiltert, so das eine SQL-Injektion möglich ist. Was heißt das?Wenn ein Zugriff auf die Datenbank stattfindet, so werden alle Eingaben durch Anführungszeichen abgegrenzt. Enthält die Anfrage ein Anführungszeichen zuviel oder zuwenig, so wird der weitere Text als SQL-Befehl interpretiert. Bei der SQL-Injektion wird das gezielt ausgenutzt, indem Anführungszeichen von außen eingegeben werden. Wenn diese vor dem Datenbankzugriff von der jeweiligen Anwendung nicht ausgefiltert oder maskiert werden, so kann man von außen SQL-Befehle in die Datenbank einfügen.
Der der derzeit kursierende Exploit ist relativ harmlos: Er liest nur die Benutzertabelle aus und verrät das gehashte Admin-Passwort. Damit beweist der Autor, dass (und wie) die Lücke ausnutzbar ist, ohne direkten Schaden anzurichten. Doch natürlich lässt sich der Exploit mit ein bissel Knoffhoff und wenig Aufwand so umstricken, dass er in die Datenbank schreibt, nämlich etwa einen neuen Benutzer mit Adminrechten.
Ergo: Updaten, wer es noch nicht getan hat!!!
-
als ich gestern abend in mein adminbereich eingelogt habe, da sah ich dass da 600 gäste online sind. da wusste ich dass da was nicht stimmt. meine seite wurde dann für paar stunden unerreichbar. später gings dann wieder.
Das wird derzeit auch auf der Mailingliste diskutiert; der momentane Tenor ist aber, dass eben nicht die neuste Version betroffen ist. Zumindest konnten es einige Leute noch nicht reproduzieren.
Hattest Du denn schon auf WP 2.0.6 aktualisiert?
Was auf jeden Fall helfen sollte, ist die register_globals zu deaktivieren (ggf. an den Hoster wenden), denn laut Kommentar im Exploit muss diese Option aktiviert sein, damit es funktioniert.
Man kann kann die register_globals für jeden vHost einzeln deaktivieren, indem man in die vHost-Konfiguration die folgende Zeile einfügt (Apache httpd):
Codephp_admin_value register_globals OffDanach muss natürlich der Apache neu gestartet/geladen werden.
-
Jaja, immer diese Sicherheit-auf-Knopfdruck-Produkte. :roll:
-
Ist ja interessant, was man als 12jährige(r) heute so in der Schule macht. Auch dass Linux Lehrern ein Begriff und gar Lehrgegenstand ist, lässt hoffen. :-)
Zu Deinen Fragen: Soweit ich das sehe, sind alle Deine Anforderungen erfüllbar, notfalls eben durch Plugins. (WordPress ist von Haus aus eher schlank, bietet aber umfangreiche und durchdachte Schnittstellen für eine Vielzahl an Plugins)
Den grafischen Editor gibt es auch, musst Du Dir einfach mal anschauen. Eine Testversion von WordPress ist schnell installiert, z.B. auf dem Heimrechner mit XAMPP. Da kannst Du alles mal testen und Dir einen Überblick verschaffen.
-
Wie lautet denn die Fehlermeldung?
-
Angeblich soll das Release ja so zum 22. geplant sein. Finde ich ziemlich kurz, wenn jetzt gerade mal Beta 1 draußen ist. Passt ja garnicht zum Tempo, welches sonst so vorgelegt wird.
Ich denke, die Beta 1 ist doch schon seit einigen Tagen draußen. Außerdem war vorher gar nicht so klar, ob und in welchem Rahmen es überhaupt betas geben soll.
Na jedenfalls... lange Rede, kurzer Sinn -- es gibt eine Beta 2:
http://wordpress.org/beta/wordpress-2.1-beta2.zip -
Mal direkt gefragt: Würde ein Update einfach so funzen wie bisher oder wäre da Handarbeit angesagt. Dabei meine ich jetzt nicht die MySQL-Version, da gehe ich einfach mal davon aus, dass die Hoster schon auf dem neuesten Stand sind.
Naja, die Hoster sind eben leider nicht immer auf dem neusten Stand. Manchmal patchen sie aus Kompatibilitätsgründen eben jahrelang alte Versionen, anstatt auf neuere zu aktualisieren. In Bezug auf Sicherheit mag das ok sein, aber die neusten Features bekommt man so nicht.
Ich würde das schon gerne mal ausprobieren, es kann auf meinem Testserver auch wirklich nix passieren (also an "Live-Seiten"). Auch eine komplette Neuinstallation wäre machbar. Aber das Update ist ja das, was das Gewohnheitstier interessiert ;-).
Ich habe zunächst eine bestehende Version (Dateien sowie Datenbank) der alten Version in die Testumgebung gespielt und dann das Upgrade durchgeführt (s.o., dritter Post). Die alten Dateien sollte man schon löschen, sonst gibt das nur Verwirrung. Vor allem in wp-includes/ hat sich so einiges getan. Das ist wohl die bevorzugte Methode; und ich würde nicht raten, die alte DB einfach in eine neuere Installation einzuspielen.
-
Die optischen Änderungen sind in der Tat nicht so radikal wie beim Wechsel von 1.5 auf 2.0, aber man wird schon die eine oder andere Änderung schnell erkennen (z.B. auf der Admin-Startseite in den Planet-Feeds). Die gravierendste Änderung an der Oberfläche ist wohl die neue Linkverwaltung -- davon weiß etwa Monika das eine oder andere Lied zu singen.
Unter der Haube hat sich aber so einiges geändert: So sind die ganzen $table-Variablen weggefallen, was das eine oder andere Plugin aus der Bahn werfen wird. Mit der Änderung an der Pluginverwaltung geht auch eine Änderung an der Datenbank einher: Es gibt prinzipiell keine Linkkategorien mehr, sondern nur noch Standard-Kategorien, die auch mit Links gefüllt werden können. Das wiederum beeinflusst Datenbank-Abfragen, die mit der Kategorientabelle arbeiten, denn die wird nun ein paar Einträge mehr haben. Außerdem wird die Mindestversion von MySQL von 3.23.23 auf 4.0 hochgesetzt, da neuere Datenbank-Funktionalitäten genutzt werden.
Es sieht so aus, als müsse man nicht unbedingt sofort auf 2.1 aktualisieren; es wird auf den Mailinglisten auch von einer parallelen/späteren 2.0.7 gemunkelt. Aber wer aktualisieren will, sollte auf Komplikationen vorbereitet sein -- vor allem bei unternehmenskritischen Anwendungen.
-
Keine Ahnung. Aber möglicherweise hast Du vergessen, nach irgendeiner Aktualisierung das Upgrade-Script laufen zu lassen?
-
naja das seh ich ein wenig anders ... was bringt es, gleich immer mit einer Neuinstall zu kommen ... mich interessiert eher wo das Problem liegt, wie es entstanden ist usw.
und du musst das Problem ja nur einmal bekämpfen und hast dann mit der Zeit für viele Probleme eine Lösung parat ... das nenne ich lösungsorientiert ...
Ok ok, Du hast ja recht. Im Prinzip sehe ich das genau so. Nur im hiesigen Fall hatte/habe ich das Gefühl, dass es eins von diesen "unerklärlichen" Problemen ist, wo ein winziges Detail kaum ergründbare Probleme bereitet und das Ziel der Übung mit einer Neuinstallation schneller erreicht werden kann.
Stollentroll: Es ist keine gute Idee, die Versionen zu mischen. Wenn Du auf 2.0.6 aktualisierst, dann komplett. Wie das schnell und einfach geht, ist ja in diesen Foren in den letzten Tagen oft genug diskutiert worden.
-
Ich meine ich hätte mal gelesen, dass es einige nachteile hätte von 4auf5 zu gehen:|Das halte ich für ein Gerücht. Wahr ist allerdings, dass schlecht programmierte Anwendungen Probleme beim Upgrade bereiten können.
Allerdings brauchst Du genau so nötig wie PHP5 auch die XML-Erweiterung auf dem Server. Ohne die geht es auch nicht.
-
-
Hm im Grunde eine gute Idee... würde nur leider an der Umsetzung scheitern fürchte ich. Und man kann ja schlecht den Menschen die dafür schlicht und einfach keine Zeit haben verbieten, ins Internet zu gehen.
Nicht? Schade.
:mrgreen:
Naja, war eh nicht ganz ernst gemeint, das mit dem Internet-Führerschein. Ich könnte mich ja auch noch über Betriebssysteme mokieren, wo jeder Benutzer standardmäßig Administrator ist... aber lassen wir das. ;-)
Letzten Endes hast Du recht: Ein vernünftiger Mensch nutzt seine Kenntnisse nicht, um anderen zu schaden. Und wer es doch tut, der muss auf die Finger geklopft bekommen. Meine obige Reaktion war ein wenig angefeuert von der hirnrissigen Debatte um das Verbot von "Hackertools", daher bitte ich um Entschuldigung, falls Du Dich persönlich angegriffen fühlen solltest (was Du aber offenbar zum Glück nicht tust).
-
Du erstellst zunächst eine neue Template-Seite bzw. kopierst eine bestehende. Dann setzt Du an Stelle des Content-Bereiches einen Aufruf von wp_list_cats() mit gewünschten Parametern.
-
Wieso, nimm doch ein DB-Backup.
-
Du musst einen neuen Ordner anlegen und dort ein frisches WordPress reinpacken. Für eine Subdomain musst Du zusätzlich in Deiner Serverkonfiguration den betreffenden Ordner als DocumentRoot für die Subdomain einrichten. Danach ganz normal installieren.
