Уязвимость timthumb.php

Проверьте свои WordPress блоги — в платных и бесплатных темах оформления часто используется скрипт для генерации картинок timthumb.php, в котором обнаружили уязвимость — злоумышленник может загрузить на сайт с дырявым скриптом все, что ему заблагорассудится.

Измененный timthumb.php можно скачать тут.

Можно ничего не скачивать, просто открыть файл и удалить переменную $allowedSites. Разумеется, если вы не пользуетесь удаленной загрузкой, в которой вся проблема и кроется.

Суть «дырки» в том, что скрипт позволяет скачивать файлы с удаленных серверов, белый список настраивается в параметрах, но проверяется по ходу выполнения неверно — если разрешено загружать картинки с flickr.com, то и webshell с какого-нибудь flickr.com.hackersplace.com тоже можно загрузить.

Подробно об уязвимости timthumb.php пишет в своем блоге Mark Maunder фром хиз харт ин инглиш.

HTML5 темы для WordPress

Просмотрел подборку «адптивных» тем для WordPress, которые пытаются хорошо выглядеть на экране компьютера и на мобильных устройствах, типа iPhone / iPad и на их жалких копиях 🙂

Буду позже разбираться предметно, пока просто списочек на память:

Lab.SixtyFive
http://www.labsixtyfive.com/responsive-web/
Blaskan
http://blaskan.net/demo/

Thematic 320 And Up
http://www.ejhansel.com/thematic320andup/sample-page/

Ari
http://ari.elmastudio.de/

Scherzo
http://leonpaternoster.com/scherzo/

Constellation
http://constellationtheme.com/demo/

Yoko
http://yoko.elmastudio.de/

Все темы простые и бесплатные, для WordPress 3.x, большинство появились в этом году. Ссылки ведут на странички с демо-сайтами.

Есть еще такая тема, тоже HTML5 — Bones, но там смотреть нечего — это тема исключительно для разработчиков.

Знамя Занами теперь dofollow блог!

SEO и продвижение — нормальная работа, если подходить к ней с умом и тактом. Осмысленные тематические комментарии на блоге приятны авторам, поэтому мы решили выказать ответное уважение посетителям и включить полноценные ссылки на сайты комментаторов.

dofollow блог

Авторы комментариев теперь могут получить вожделенную ссылку без nofollow с этого блога. Правда, с некоторыми оговорками:

— Комментарии должны быть осмысленными и по теме

— Комментариев у автора должно быть не менее 3х

Количество комментариев отслеживается автоматически при помощи плагина для WordPress под названием Link Love, а уместность комментария я определяю сам, на глаз.

Удачных комментариев!