Новая уязвимость в старых! версиях позволяет изувечить весь ваш блог. Методом MySQL-инъекции, можно поломать ЧПУ, сделав их совсем не рабочими, а еще злоумышленник получает доступ к администрированию блога!.

Атакованные блоги подвергаются хаку, который добавляет к пермалинку:

или

Те, кто понял, что угроза не шуточная, прочитайте вот эти два материала. Первый о том, что происходит, а второй – как защититься от проблемы. Не забывайте обновляться до последней версии!

• По теме подробнее у Дмитрия Донченко – http://blogproblog.com
• И лечение этого хака на Inforedesign.com (первоисточник)

Причина такой заторможенности как правило либо в плагинах, либо в теме, что встречается уже очень часто. Однажды была запись у меня о том, как можно оптимизировать тему WordPress, чтобы она заработала быстрее. Но это мелочи, которые лучше оставить на потом, на сладкое.

• Оптимизация начинается с базы данных. Нужно оптимизировать таблицы. Заходим в phpMyAdmin, выбираем нашу БД и далее:

Это поможет серверу БД более быстро работать с таблицами, что немного снизит нагрузку. В более ранних версиях phpMyAdmin может не быть пункта “Отметить требующие оптимизации”. Тогда просто выбираете все таблицы и делаете с отмеченными “Оптимизировать”.

• Избавляемся от всех не нужных плагинов и особенно от тех, которые не совместимы с данной версией CMS. Очень часто такие плагины не совсем корректно работают.
• Удаляем из темы 3 абсолютно не нужные вещи: версию движка и, если не планируете использовать Windows Live Writer, то и манифест. Добавляем 3 строчки кода в файл functions.php:

<?php remove_action(‘wp_head’, ‘wp_generator’); ?>
<?php remove_action(‘wp_head’, ‘wlwmanifest_link’); ?>
<?php remove_action(‘wp_head’, ‘rsd_link’); ?>

• Отключаем ревизии записей без плагина. Добавляем в файл wp-config.php следующую строку:

define('WP_POST_REVISIONS', false);

Для удаления существующих ревизий (если не умеете – лучше не лазить):
DELETE a,b,c
FROM wp_posts a
LEFT JOIN wp_term_relationships b ON (a.ID = b.object_id)
LEFT JOIN wp_postmeta c ON (a.ID = c.post_id)
WHERE a.post_type = ‘revision’

• Установите плагин WP Super Cache (или включите его, если он есть в вашей сборке правильного русского WordPress)
• В wp-config.php вместо define (‘WPLANG’, ‘ru_RU’); пропишите:

if (strpos($_SERVER['REQUEST_URI'], ‘wp-admin’))
define (‘WPLANG’, ‘ru_RU’);
else
define (‘WPLANG’, ‘ru_RU_lite’);

Об этом сказано в файле “ПРОЧИТАТЬ ОБЯЗАТЕЛЬНО ПЕРЕД УСТАНОВКОЙ.html” в дистрибутиве правильного русского WordPress.

• Тема. Проверьте ее на предмет использования плагинов типа Popular Posts, Similar Posts. От всего этого можно избавиться и написать свой код для обработки информации.

Например, добавив в файл темы sidebar.php следующий код, Вы избавитесь от плагина популярных записей:

<li><h3>Популярные записи</h3>
<ul>
  <?php
    $popular_posts = $wpdb->get_results("SELECT id,post_title
         FROM {$wpdb->prefix}posts ORDER BY comment_count DESC LIMIT 0,10");
    foreach($popular_posts as $post) {
	print "<li><a href='". get_permalink($post->id) ."'>".$post->post_title."</a></li>\n";
    }?>
</ul>
</li>

А для вывода похожих записей в single.php можно добавить:

<?php
$tags = wp_get_post_tags($post->ID);
if ($tags) {
	$tag_ids = array();
	foreach($tags as $individual_tag) $tag_ids[] = $individual_tag->term_id;

	$args=array(
		'tag__in' => $tag_ids,
		'post__not_in' => array($post->ID),
		'showposts'=>5, // Количество записей для вывода.
		'caller_get_posts'=>1
	);
	$my_query = new wp_query($args);
	if( $my_query->have_posts() ) {
		echo '<h3>Похожие публикации</h3><ul>';
		while ($my_query->have_posts()) {
			$my_query->the_post();
		?>
			<li><a href="<?php the_permalink() ?>" rel="bookmark" title="Постоянная ссылка на <?php the_title_attribute(); ?>"><?php the_title(); ?></a></li>
		<?php
		}
		echo '</ul>';
	}
}
?>

Может знаете еще какие-либо методы? Пишите, попробуем.

Я без редактора как без рук – он мне строить и жить помогает, а потому его пропажа меня сильно расстроила.  Пропажа связана с работой плагина с компрессией. Вариантов лечения может быть 2: изменение конфига редактора или добавление одного файла.

Вариант первый. Он мне не помог, но на всякий я его привожу:

Открываем файл tiny_mce_config.php по адресу: /wp-includes/js/tinymce/ и находим там строку

‘compress’ => true,

ее нужно поменять на:

‘compress’ => false,

Второй вариант 100% рабочий.

Нужно взять файл (скачать, если у вас его нет) wp-tinymce.js.gz и положить его в папку редактора: /wp-includes/js/tinymce/

А теперь о том, что нас ждет внутри:

• Добавлена функция загрузки тем с WordPress.org или вашего ПК. Я начал использовать функцию скачивания плагинов, это удобно, но вот менять темы как перчатки – думаю, не важное дополнение.
• Обновили процедуру установки плагинов.
• Контроль версий установленных тем – обновлять темы легко, а вот более старую версию нельзя установить не удалив новую.
• Обновлена работа с виджетами как визуально, так и в коде.
• Обновился визуальный редактор постов до версии 3.2.3. Я со стандартным редактором не работаю вообще, потому тут комментировать не могу, на сколько удобным он стал.
• Добавлена подсветка кода в редакторе плагинов и тем.
• Добавлено много новых функций(например, надпись о том, что у вас пароль случайный вам стоит его сменить или отказаться), исправлены старые.
• и еще целый список…

Кому хочется узнать, что там нового, но ставить лень, есть небольшое видео о том, какие преимущества в новой версии:

Русификация от прошлой версии на 99% подходит для новой. Скачать WordPress2.8
Ждем полной версии и тогда обновляемся. Это не страшно, все как обычно просто и необходимо

Ну да теперь к паре штучек для вашего блога:

1. Убираем ненужное (как и можно много еще чего из вашей темы)

Если Вы откроете исходный код страницы вашего блога, то увидите вот такие строки:

<link rel=”EditURI” type=”application/rsd+xml” title=”RSD” href=”http://имя_сайта/xmlrpc.php?rsd” />

<link rel=”wlwmanifest” type=”application/wlwmanifest+xml” href=”http://имя_сайта/wp-includes/wlwmanifest.xml” />

Эти строки нужны лишь в том случае, если Вы пишите записи с использованием сторонних утилит, типа Windows Live Writer. Если же не используете, то заходим в редактор темы вашей и в файл functions.php добавляем сей код:

<?php
add_action('init', 'remheadlink');
function remheadlink() {
remove_action('wp_head', 'rsd_link');
remove_action('wp_head', 'wlwmanifest_link');
}
?>

Ну и еще remove_action(‘wp_head’, ‘wp_generator’); , что позволит убрать версию CMS из кода. Но поверьте, это бесполезный шаг, узнать можно и другими способами =)

Следующая вещь почерпнута мной для того, чтобы повысить CTR рекламных объявлений, эксперимент очередной. Так ли оно помогает не скажу – не знаю , но вам может и пригодится.

2. Выводим посетителям блога, пришедших с ПС любую информацию: рекламу, сообщения и т.д.

В файл functions.php вашей темы добавляем такой вот код:

<?php
function showads_fromse(){
$ref = $_SERVER['HTTP_REFERER'];
$SE = array('/search?', 'images.google.', 'search.', 'yandsearch', '/search/', '.yahoo.'); //сюда можно вписать еще ПС, которые вас интересуют
foreach ($SE as $source) {
if (strpos($ref,$source)!==false) return true;
}
return false;
}
?>

и добавляем в любом удобном, по вашему мнению, месте, где будет выводиться сообщение, например, в single.php:

<?php if (function_exists('showads_fromse')) {
if (showads_fromse()) {?> ВАША_ИНФОРМАЦИЯ_ДЛЯ_ПРИШЕДШИХ <?php }}?>

П.С. Все это решается и плагинами, но иногда не стоит напрягать ими сервер. Можно повысить свой функционал просто добавив маленький код.

Очередная красивая версия WordPress – 2.7 (не удержался и скачал). На этапе разработки меня пугали всякие, имхо, не нужные  штучки типа древовидного комментирования и т.п. – все это делается плагинами и лишний код не стоит добавлять. Хотя я так говорю всегда и потом привыкаю к эдаким штукам или просто их выключаю разными способами. Но то, что они сделали с админкой – шикарно =)

Если Вы ее еще не видели – скачайте посмотрите, это элегантно и приятно. Жаль, что они не додумались вставить ее в 2.6.х

Доска объявлений

Поражает новый дизайн, как я и говорил выше – симпатично, а местами практично. Очень чисто и приятно выглядит.

Штуки, которые мне понравились в доске объявлений:

• навигация по меню слева: удобнее в разы нежели в версии 2.6.x без использования плагинов сторонних производителей.
• Quick Press: быстрая публикация без входа в режим редактирования записи – озаглавили, написали текст, прицепили теги – вперед к читателям.
• Right Now: статистика блога прямо у вас перед глазами.

Писать стало удобнее и в режиме написания записей. Нет больше этого невероятного списка закладок под рабочей областью – все разнесли и оптимизировали:

Еще, что новое:
1. плагины: их теперь можно искать прямо через админ-панель.
2. обновление версий: обновление версий осуществляется через пункт меню Tools->Update

Установка плагинов из админ-панели	Аватарки для пользователей

Настройки древовидных комментариев в разделе Settings->Disscussion:

Но чтобы все это счастье с комментариями работало нужно немного подготовиться как я писал ранее. Можно теперь закрывать, но это не правильно: всегда есть люди, которые что-то захотят сказать, а тут Вы их на корню обрубаете – нельзя.

Вывод: не буду говорить, что она тормознутая или еще чего. Это же всего лишь Beta 1. То, что красоту навели, добавили автообновление – это положительные моменты, а к остальному привыкнуть не сложно. Пока не найдется способов избавиться

П.С. Как только выйдет релиз – есть у меня блог, который всегда мужественно терпит первым на себе всякие чудачества, на нем проверим и вам расскажем о трудностях перехода.

Бонус
Не успел наиграться – оно сломалось (Проверяется на локальном компьютере!):

В момент публикации, если быстро кликать на Publish, проявляется сей эффект, а затем пропадает напрочь вся панель Quick Press

Методы, которые предлагают производители плагинов, блоггеры я постоянно испытываю на своем блоге. Идет битва за “чистые” комментарии, а я выигрываю ибо сейчас аффторов и всякой муры в комментариях стало гораздо меньше, практически совсем пропали. У себя в комментариях Maul высказал идею: в админку добавить функционал, позволяющий оборачивать г..нокаммент в <noindex> => он перестает индексироваться Яндексом => флуд не поимел результата: не, это не выход, не метод уничтожения этой заразы. Нужно научить их тому, что от их настойчивости только им же хуже будет.

Однако есть один нюанс в методе, который использую я – у меня блокируются не только комментаторы, которые не прошли по конкурсу для отображения ссылки, но и все обратные ссылки тоже. Не порядок. Зачем же тем, кто честно ссылается подкладывать свинью? Пусть и им будет трафик: надо бы отделить коментарии от обратки. А с фэйковыми пингами, ссылками в тексте комментария отлично справляется Spam Karma.

Есть такой хороший плагин Separate Comments & Pings Plugin (тем у кого нет Paged Comments – далее можно не читать), но опять нюанс (а Paged Comments – это удобно):

This plugin is not compatible with the Paged Comments Plugin – you will need to read …

Вот тут придется поработать руками для того, чтобы заработало все как надо

1. Открываем наш файл comments-paged.php и ищем в нем строку:

<!-- You can start editing here. -->

2. После нее вставляем вот такой код

<?php
$numTrackBacks = 0;
$numComments = 0;

foreach ($comments as $comment) {
$comment_type = get_comment_type();
if ($comment_type != 'comment') { $numTrackBacks++; }
else { $numComments++; }
}
?>

Он будет отвечать за подсчет обратных ссылок, определяя их по типу.
3. Далее находим строку:

<?php foreach ($comments as $comment) : ?>

и добавляем после нее:

<?php $comment_type = get_comment_type(); ?>
<?php if($comment_type == 'comment') { ?>

4. Ищем

<?php endforeach; /* end for each comment */ ?>

и заменяем на:

<?php } /* End of is_comment statement */ ?>
<?php endforeach; /* end for each comment */ ?>

5. Буквально сразу за этим кодом идет тег</ol> после которого нужно вставить вот такой код для вывода наших обратных ссылок:

<? if ($numTrackBacks != 0)  >
<br />
<h3>Обратные ссылки
(<? echo $numTrackBacks; ?>)</h3>
<? endif; ?>
<ol>
<?php foreach ($comments as $comment) : ?>
<?php $comment_type = get_comment_type(); ?>
<?php if($comment_type != 'comment') { ?>
<li><?php comment_author_link() ?></li>
<?php } ?>
<?php endforeach; ?>
</ol>

Собственно, вот и все. Взято из материалов сайта, а посмотреть “в живую” можете у меня. Ссылайтесь

П.С. Естественно, данный способ разделения применим и в обычном случае, без использования Paged Comments, но вдруг вам не интересно устанавливать новый плагин, а интереснее руками…

Многие блоггеры сталкиваются с этой напастью (Любимый блог о кофе – За…надоели,  а в блоге у Дика периодически бывают суперобзоры любителей пописать эдак изысканно). А я, как и писал когда-то, что расскажу – рассказываю свой путь по борьбе с этими нечестивцами. О практически идеальном оружии.

Итак, вариантов борьбы может быть несколько:

1. радикальные

   • закрыть комментарии совсем
   • оставить комментарии только для зарегистрированных пользователей
   • ввести премодерацию

2. простые и даже действенные

   • Пользуйтесь плагинами типа таких Две серебряные пули для спама
   • Акисмет – но это еще та штучка, может случится так, что много ваших порядочных комментаторов окажутся в черном списке и их сообщений Вы не увидете. Акисмет = зло.
   • SpamKarma2 – практически идеальное оружие. На 99% отсекает всех продавцов и подозрительные комментарии. Почему практически? Потому, что оно не умеет на 100% побеждать ответы типа “Пеши исчо”, “Никогда не думал, что это так философски звучит” в посте о новой теме для WordPress и т.д.
   • И тут есть маленький плагин, который дополняет SK2 – AntiSpam2. Он отображает ссылку только у тех, кто оставил несколько комментариев. Пострадают, конечно, слегка и хорошие, честные комментаторы, но нужно понимать – со спамом нужно бороться.
   • Можно еще делать блокировку по IP – но это не совсем удобно и нудно, честно говоря.

И Вы сможете смело сказать: дорогие мои, спаммеры, идите вы все на … с такими предложениями. Спам не пройдет. Welcome, читатели!

Итак, что и как…

У Lecactus’а есть вот такой мануал Как корректно обновиться с WordPress “расширенной версии” Максима (Maxsite.org), а также со старых “обычных версий” 2.0.*(2.1.*) до WordpRess 2.5(2.6) английской или русской “обычных версий”. То что нужно, но … слишком как-то сложно: апы нужно делать с версии на версию: сплошные бэкапы, копии, копирования – утомительно. Я пошел путем автоматического апгрейда с помощью плагина.

!Но я сделал полную копию сайта, т.е. в любой момент я мог смело переключить новую версию на рабочую старую. Не говоря о копии БД.

Апгрейд с 2.2 на 2.6 прошел мгновенно. Только язык русский прицепить оставалось. И началась суровая борьба с плагинами. 80% из них сразу же меня оповестила о том, что надо бы обновиться. Первая странность появилась уже здесь – после автоматического обновления некоторые плагины пропали напрочь, исчезли, хотя написано было, что все успешно: SubscribeToComments, AdvancedTinyMCE, Popularity Context и еще несколько, ушли. Почему? Не знаю, но это мелочи…

Потом борьба за метки. Был у меня Ultimate tag warrior, который с приходом 2.3 ушел в историю… Жаль, хороший плагин был. А вот таксономия эта мне совсем не нравится. У меня метки повторялись с директориями и были на русском – вот этот русский мне и важно было сохранить ибо страницы старые, ссылки на них есть. Жаль потерять было бы. Импорт прошел успешно. Только вот, когда я все плагины полечил, метки импортнул, заглянул я на сайт – жесть: вместо облака рубрик непонятные пустые квадратики. Я сразу и не понял, что это было. Оказалось очень просто – повторы меток и рубрик. Раньше они были разнесены по табличкам и не мешали друг друг, теперь лежат в куче…

Вот как выглядели мои рубрики. Симпатично, не правда ли?

Метки играют в матрицу

Пришлось руками исправлять имена и slug’и удаляя одноименные метки. Нужно еще вернуть описания . Вот тут потерял я штучек 6. Еще пришлось пожертвовать плагином RusToLat – он упорно хочет мне конверитировать метки в транслит, а мне этого не нужно.

После того, как все прошло и работает, надо все старое почистить – удалить уже не нужные плагины, старые таблички, подкорректировать конфиг и наслаждаться 2.6 версией

Собственно о 2.6

То, что пофиксили 194 бага из 2.5.1 – это клево, но ведь многих этих багов не было бы, если бы не придумали непонятный функционал для работы с графикой. Зачем нужен предпросмотр тем? Есть ведь хороший плагин или по принципу – пусть внутри движка будет все? Зачем нужно знать какие плагины были активны последнюю неделю? Обрастает какой-то не нужной функциональностью. Не приведи Господь, станет таким как Drupal или еще что…

П.С. метод автоматического апгрейда не подойдет тем, кто любит powerpack-сборку – версия WordPress берется прямо с официального сайта, но производители плагина, вроде, работают над тем, чтобы можно было брать свою версию для обновления.

П.С2 не забывайте предохраняться, делайте бэкапы

Стояла у меня версия 2.2 и почитав способы я пошел самым простым путем – через плагин автоматического обновления. Он себя зарекомендовал на отлично на других моих блогах, где стояли версии с 2.3 начиная. Прошло все практически без потерь, правда с некоторыми нюансами. Сегодня обкатка проходит в “боевом” режиме, а завтра я расскажу о том, что пришлось решить, с чем пришлось столкнуться.

П.С. Если Вы заметили какие-либо странности или ошибки – сообщите мне о них, пожалуйста.