Beiträge von Synonym

  • Blog oder doch was selber gemachtes

    Zitat von peterhobbert;28494

    Naja was heisst ob wp etwas hat was man unbedingt braucht. du hast halt ein geringen zeitaufwand im gegensatz zu etwas komplett selber machen. und es lässt sich leicht etwas einpflegen. und da es ja sowieso nichts großes sein soll ist das doch genau das richtige oder?


    Genau deshalb war es ja die Frage, ob WP was hat, was man unbedingt braucht ;) Ich habe hier 3 WP-Installationen laufen, da schreibe ich keine 10 Artikel im Jahr. Schreiben muss man es sowieso, also kann man die Zeit nicht rechnen. Einstellen geht schnell. 2 Min pro Artikel. Aber! Und genau das ist das Problem an der Sache: Für Updates, die ja alle Schiss lang kommen brauche ich immer mehrere Stunden, bis dann wieder alles läuft wie zuvor und das für jede der drei Installationen. Updates, die Funktionen bringen, die ich gar nicht brauche (99% sind ungenutzt) oder eben Updates gegen Sicherheitslücken, die nur deshalb so gefährlich sind, weil es ein bekanntes CMS ist bzw. weil es eben jeden "Mist" kann.

    Daher die Frage, ob WP was spezielles hat, das man braucht. Wenn nämlich nicht, dann kann ich mir den ganzen Update-Mist und Anfälligkeit von freien CMS-Systemen sparen. Hab ja schon mein System. Ist noch nicht fertig, aber es läuft. 4 Stunden Entwicklung. 2 Min. um einen Artikel einzustellen und KEINE Updates notwendig! In vier Stunden würde ich es aber gar nicht schaffen meine WP2.5 auf die 3.x upzudaten, das dauert wesentlich länger und neu einlernen muss ich mich dann auch wieder.

    Frank-L
    Genau das war der Grund, warum ich nicht 100% statisch wollte. Ich hab jetzt quasi mein eigenes CMS, bestehend aus Core mit genau den Funktionen die ich brauche und dem Template. Einlernen geht da auch in 12 Monaten wieder sehr schnell, denn das ist zu 99% reines HTML. Bei den WP-Templates ist da ja mehr PHP drinnen als HTML. Und, das ganze "System" besteht aus 7 Dateien. Allerdings muss ich die Artikel aktuell noch in die DB eintragen. Reicht mir aber auch, einen Adminbereich brauch ich nicht wirklich ;)

  • Mein Rechner spinnt

    Kommt drauf an, was das für ein Trojaner ist und was Du so alles gemacht / installiert hast. Rein theoretisch könntest Du auch einen Wiederherstellungspunkt von vorher setzen bzw. wiederherstellen. Bezüglich der Daten allerdings, mehr als scannen geht da wirklich nicht, wenn man kein Backup hat.

  • Mein Rechner spinnt

    Daten sichern ja, das ist eigentlich das Wichtigste und auch alles. Nur, Du musst halt auch sicherstellen, dass die Daten virenfrei sind, sonst sicherst Du den Trojaner ja mit ;) Also Daten in einem speziellen Ordner sollten eigentlich sauber sein, aber bei den Dingen aus dem persönlichen Profil ist das nicht unbedingt so.

  • Mail von Google

    Zitat

    Setzte mal ein guten link gehts 2 Plätze vor 3 Tage später biste wieder hinten. Sieht so als als ob der Gockel momentan alle links entwertet.


    Davon gehe ich ganz stark aus. Ist bei mir nämlich auch so, auch bei ganz einfachen Kombis. Links drauf und schon geht es vor von 20 auf 5 oder so. Wenige Tage später ist es wieder 20.

    Und meine beiden Seiten, bei denen ich nicht reagiert habe sind auch weiterhin im freien Fall. Links aufbauen / abbauen, nichts wirkt, die fallen weiter. Meine dritte Seite, mit gestelltem und abgelehntem Neuantrag ist zwar auch gefallen, aber dennoch stabil auf den hinteren Plätzen.

  • ganze Domain umleiten

    Ist nicht sonderlich schwer. Bei der Cond sonst sind ja die Zeichen ^ oder ! mit dabei. Also beginnt (^) oder beginnt nicht (!^) mit xyz. Die fehlen hier aber.

    Da muss man nur eine Besonderheit wissen, in der sich die Cond von einer Rule unterscheidet.

    Bei einer Rule muss "yxz" immer exakt matchen, also von Anfang bis Ende. Bei einer Cond nicht. Dort wertet der Apache es immer selbst als "*yxz*", wenn keine anderen Bedingungen wie "^!*+" etc da sind. Der String muss also nur enthalten sein. Genau genommen zählt also alles was darauf zutrifft "*alte-domain.de*". Hinter dem .de kann aber nichts mehr kommen, da nach der TLD schluss ist. Was anderes nimmt der Apache (vhost) ja gar nicht an. Davor können beliebige Zeichen kommen, müssen es aber nicht. Wichtig ist nur, dass "alte-domain.de" im Host vorkommt.

    Einschränken muss man das nur, wenn es eventuell andere Hosts auf dem System hibt, die da auch zutreffen würden. z.B. "alte-domain.de.domain2.com", also "alte-domain.de" als Name für eine Sub. Hier wurde die Cond auch matchen, da der String ja enthalten ist, wäre hier aber falsch, da nicht Hauptdomain, sondern Subdomain.

  • Alle wollen Geld von mir...

    Geht mir seit ca. 2 Wochen genauso. Das hat wieder extrem zugenommen. Bundesfinanzministerium, Visa, Master, PayPal, Post, diverse Banken etc... Mich regt das auch auf. Wirklich als Spam anlernen geht aber auch nicht, da ich bei vielen halt auch in Wirklichkeit bin und die hin und wieder mal Mails schicken :(

  • allow_url_fopen

    Die Option (egal wo eingestellt), zählt für alle, die auf diese php.ini zugreifen. Wenn das also 5 Hosts sind, die alle das gleiche PHP mit der gleichen .ini nutzen, dann zählt es auch für die 5. Wenn Du die Möglichkeit hast, einzelne .ini pro vhost zu haben, dann ist es auch nur einzeln.

    Was passieren kann: Eigentlich so gut wie alles, wenn die Scripte unsicher sind oder der Server kompromittiert wird. Wie oben schon mal kurz geschrieben kannst Du ja per file_get_contents() Inhalte aus einer anderen Datei einlesen und weiterverarbeiten. Wenn nun allow_url_fopen aus ist, dann funktionieren da nur lokale Dateipfade. Ist allow_url_fopen aber an, dann funktionieren da auch externe Pfade, URLs eben. Oder eben auch bei fopen und einige andere Funktionen, die intern Dateisystemoperationen durchführen können.

    Wenn Du so was also nutzt und eventuell ungeprüfte Usereingaben verarbeitest, dann kann der unter Umständen eben jede x-beliebige URL aufrufen und Dein Server verarbeitet die Daten dann.

    Hauptproblem war früher da vor allem, dass das auch für include() und require() funktionierte. Man konnte also direkt externen PHP-Code einschleusen (wenn das Script fehlerhaft ist)! Dem ist nun aber nicht mehr so. Wird allow_url_fopen aktiviert, dann ist allow_url_include noch immer aus - das muss man nun extra aktivieren.

    Auch schön hier nachzulesen:
    *** Link veraltet ***

    Im Grund bietet das allow_url_fopen also nur einen vorgetäuschten Schutz. Es kann zum einen nicht alle "Angriffe" unterbinden, erschwert aber gleichzeitig die Nutzung des eigenen Systems, wenn man auf externe Daten zugreifen muss. Es ist und bleibt eben eine Sache vom Scriptentwickler, die Scripte sicher zu machen und vom Hoster, den Server sicher zu halten. Aber eben nicht von PHP. Genau aus dem Grund ist die Option bei PHP auch per default aktiviert.

    Das steht z.B. auf einer Webseite:

    Zitat

    Setzen Sie diesen Wert nur auf on, wenn Sie diese Funktionalität unbedingt benötigen. Denn schon ein include($_GET["filename"]) stellt ein erstklassiges Sicherheitsrisiko dar. Hier sind allerdings auch die PHP-Programmierer gefragt. Denn solche Konstruktionen sind leichtsinnig.

    *** Link veraltet ***

    Das zählt aber eben nicht für PHP 5.2.x, denn da ist der Include() von http nicht möglich. Und grundsätzlich, da es damals ja funktionierte. Ein Programmierer, der so etwas macht, der sollte ganz schnell seinen Beruf wechseln. Es ist schließlich nicht die Aufgabe einer Scriptsprache, die Dummheit eines Programmierers zu beseitigen.

    Ansonsten sah man das ja durchaus öfter. Das waren dann so Seiten, wo in der URL ein ?modul=blablub.php stand. Da könnte man dann natürlich jede andere URL eintragen und das eigene Script würde das ausführen. Aber eben auch nur, wenn das Script nicht prüft.

    So, soviel dazu. Aber Alex muss ich soweit recht geben, dass cURL besser ist. Zum einen unterliegt es nicht den Speicher- und Laufzeitbeschänkungen von PHP, zum anderen kann es simultan nebenbei laufen. Aber gerade für sowas wie getimagesize() ist es ungeeignet. Um das zu lösen müsste man also mit cURL erst mal das ganze File laden um dann lokal getimagesize() zu verwenden.

  • allow_url_fopen

    Zitat

    Dann werd ich mal die php.ini suchen gehen.


    schau mal im Bereich
    /etc/php5/apache2 (wenn mod_php)
    oder bei
    /etc/php5/cgi (wenn FCGI)
    Kann aber auch bei Dir im Dir liegen, je nach Serverconfig.

    Alternativ, wohl schneller und genauer. In der phpinfo() oben die Zeilen 5, 6, 7 und 8 beachten. Da steht, wo die globale Ini liegt, welche verwendet wird und welche zusätzlichen auch eingebunden werden.

  • allow_url_fopen

    Dieses allow_url_fopen erlaubt es eben, dass an gewissen Stellen / bei gewissen Funktionen nicht nur eine lokale Datei eingebunden / aufgerufen werden kann, sondern eben auch eine externe (über den Wrapper). Natürlich hat das möglicherweise Konsequenzen in Sachen Sicherheit, das liegt aber weniger an der Funktion als solche, sondern viel mehr an den Scripten, die sie verwenden.

    Du versuchst da oben also per getimagesize() auf ein Bild zuzugreifen, das nicht lokal auf Deinem Server liegt. Dazu brauchst Du den http-Wrapper oder wie ich zur Datenübertragung den SSH-Wrapper. Also man muss da dann schon aufpassen, was die Systeme da so aufrufen, ob das feste Vorgaben sind oder eventuell von Usereingaben vorgegeben wird. ;)

    Ein echo file_get_contents(domain-mit-schadcode.net); wäre unter Umständen nicht sonderlich gut.

    Eingestellt wird es in der php.ini. Entweder in der globalen oder in einer eigenen, falls es sowas gibt - seit PHP 4.3.4. Bei Versionen davor geht es auch per ini_set() in der htaccess. Der Defaultwert von allow_url_fopen ist allerdings 1, eben weil es keine Sicherheitslücke öffnet, sondern 0 nur versucht eine mögliche im Script zu "schließen".

  • Google Panda 3.9 ist da ...

    Cura
    Das würde aber bedeuten, dass man einen Link zu sich nicht los werden kann, ohne dafür eventuell zahlen zu müssen. Genau hier gibt es aber schon 2 Fälle, wo das Gericht ganz anders entschieden hat. In beiden Fällen war zwar prinzipiell erlaubt, andere Seiten zu verlinken, aber es musste eben auch dem Wunsch auf Löschung nachgekommen werden.

    Zum anderen gibt es ja auch Seiten, die man eventuell nicht verlinkt haben möchte. Seiten, die vorher vielleicht einem anderen gehörten, AV-Einträge, die von Anderen (Agenturen) gemacht wurden etc. Also ist der Link ja noch nicht mal vom Seiteninhaber dort eingestellt worden. AVs, de den Besitzer gewechselt haben etc...

    P.S. Einen Fall gab es auch mal in RV. Da hatte einer ein PR-Portal und das war an diverse Submitter angeschlossen. So kamen dann zig Domänen bei dem rein. Und eine Löschung sollte 7,50 Eur kosten. Kosten, die vorher nicht da standen und für etwas, das man nicht selbst gemacht hat.

    Das kann ja wohl nicht Sinn der Sache sein !? Wenn dem so ist (was ich persönlich nicht glaube), dann hat man ganz schnell eine neue Einnahmequelle. Und, was mir dem auch widersprechen würde. Es gibt genug Presseportale, die im Grund ja auch nichts anderes als AVs sind, bei denen aber bei der Eintragung klar geregelt ist, dass eine Änderung / Löschung xx,- Eur kostet.

    Bei den AVs kommt ja eigentlich dazu, dass bei 99% eine Änderung über das Backend nicht mehr möglich ist. Dies selbst aber bei der Anmeldung gar nicht offengelegt wird. Da steht also auch nicht drinnen, "Trag Dich ein, aber für immer und ewig".

  • Google Panda 3.9 ist da ...

    Zitat

    dürfte es keine geben, es sei denn, beim Eintrag wurde dem rechtsgültig zugestimmt.


    Ha, Du bist der erste der mir da zustimmt / zustimmen würde. Eben wegen den nicht vorhandenen Bedingungen. Im anderen Teich sind alle vehement der Meinung, dass das in Ordnung wäre, denn es wäre ja eine "Dienstleistung".