Archivos maliciosos en WordPress
¿Archivos maliciosos en WordPress? Revisa tu instalación, por que a mi me ha pasado en un blog. Como todo webmaster que se precie, echando horas a mis páginas como si no hubiera un mañana, de vez en cuando entro en ellas a través de dispositivos móviles, ya sea mi móvil o mi tablet y cual no sería mi sorpresa cuando entrando en una de ellas me redirige a una página de contenido solo para adultos.
Mi sorpresa fue mayúscula por que a lo mejor hay webs en las que después de un tiempo sin tocarlas, o por estar poco actualizadas, te puede sorprender menos, pero es que era en uno de mis buques insignia, Evita la Crisis. Tras revisar por todos los lados no veía la solución, máxime cuando estaba fuera de casa. El problema es que al llegar a casa veo que todo va normal, por lo que pensé que posiblemente mi hosting hubiera detectado el problema y lo hubiera solucionado, pero no era así. Resulta que este archivo afectaba solo a mi web desde dispositivos móviles, como descubrí la siguiente vez que traté de acceder a dicha web por dichos medios, por lo que si eres webmaster y no accedes a tu/s web/s desde este tipo de dispositivos, puede que lo tengas y no lo sepas. Continua leyendo “Archivos maliciosos en WordPress” »
Jetpack 1.8.1 lanzado para corregir bugs
Han lanzado Jetpack 1.8.1 para corregir bugs. Ya os contaba hace un par de días que había salido la nueva versión 1.8 del mega plugin para WordPress Jetpack, con interesantes mejoras. Pues bien, como algunos usuarios experimentaron problemas y bugs con Jetpack 1.8, ha sido liberado Jetpack 1.8.1 para abordarlos. Continua leyendo “Jetpack 1.8.1 lanzado para corregir bugs” »
Magento: Fooman Speedster y los estilos
Una Extensión de las mas utilizadas en Magento es Fooman Speedster, que acelera tu tienda de Magento comprimiendo, combinando y “cacheando” el JavaScript y el CSS. Utiliza la biblioteca Minify desarrollado por Steve Clay y liberado bajo una licencia BSD.
Puedes ver una demo en Magento 1.7.0.2 con Fooman Speedster aquí. Puedes descargar la extensión aquí. Continua leyendo “Magento: Fooman Speedster y los estilos” »
Jetpack ahora también en los comentarios, doble actualización 1.4 y 1.4.1
La espera ha terminado. ¡Los Comentarios al estilo Jetpack han llegado! Quizá sea mejor decir al estilo WordPress.com, y es que en la última actualización del megaplugin Jetpack, aparte de un montón de soluciones a fallos como suele ser ya habitual, incorpora una nueva funcionalidad que va a gustar a muchos y que va a hacer que desaparezcan plugins de Comentarios, pues en el plugin que ya teníamos, ya viene incluido. Continua leyendo “Jetpack ahora también en los comentarios, doble actualización 1.4 y 1.4.1” »
Solución a NextGEN Gallery no genera miniaturas (Thumbnails)
En las últimas versiones de NextGEN Gallery se ha presentado un problema, no genera thumbnails o miniaturas… El problema es de memoria pero no del WordPress, sino del plugin en concreto. Buscando la solución he encontrado un mensaje que nos da la solución en Visser. Lo comparto con vosotros por lo sencillo y útil que me parece. Continua leyendo “Solución a NextGEN Gallery no genera miniaturas (Thumbnails)” »
“Exception printing is disabled by default for security reasons”
Cuando Magento 1.4.0.1 o superior presenta una condición de error es muy probable que veas el siguiente mensaje:
There has been an error processing your requestException printing is disabled by default for security reasonsError log record number: XXXXXXXXXXXXXXX
A diferencia de las versiones anteriores de Magento que mostraban directamente el informe de errores de manera que el que accediera a la tienda mientras estuviera el error podía verlo, en la 1.4.0.1 y las siguientes versiones mantienen los datos privados y accesibles sólo para los administradores y en su lugar nos muestra el conocido mensaje “Exception printing is disabled by default for security reasons”. Esto es porque hay información en los informes de error que los piratas informáticos o hackers pueden utilizar, así que es genial ver a la seguridad Magento mejorar. Este cambio entró con la versión 1.4.0.1 como se documenta en las notas de lanzamiento:
Continua leyendo ““Exception printing is disabled by default for security reasons”” »
Bug peligroso ante el atake de los hackers (noticia de la Web antigua)
catosino escribió “
En muchos sitios esta dando vuelta la noticia de una nueva falla en el PHP-Nuke, que permite tomar el control de todo el sistema.
Pero hay cosas que muchos no tiene claro todavía, por eso aquí las explico, y doy mas detalles sobre el tema…..
Te puede descargar los archivos ya modificados AQUÍ
Primero: La falla NO es en el archivo modules.php, sino
que esta presente en los módulos Downloads y Weblinks, entre otros. El archivo modules.php solo se encarga de incluir los archivos de cada modulo para que así la URL quede mas presentable.
Por eso el advisorie:
http://www.securityfocus.com/archive/1/340664
Esta mal desde un principio. Otra cosa para aclarar, que podriamos llamar:
Continua leyendo “Bug peligroso ante el atake de los hackers (noticia de la Web antigua)” »
Grave Vulneravilidad del PhP- Nuke (noticia de la Web antigua)
Ayer por la mañana, Desarrollonuke.org ha amanecido “hackeada”, el autor de la “gracia” dejó un mensaje de saludo y recomendándoles que mejoraran su seguridad.
El atacante con IP: 200.106.28.61, Internet Explorer 6.0 y Windows NT 5.1 accedía a las claves encriptadas de los administradores mediante SQL injection en el módulo Downloads, seguido a esto accedía a la administración del sitio usando una pasarela dbase64 para introducir valores numéricos en el admin, y así poder acceder con la contraseña en md5.
Esta grave vulnerabilidad viene acarreando el 70% de los ataques al sistema PHP-Nuke, lo más grave es que las páginas testeadas son vulnerables desde las versiones 5.6 hasta las últimas conocidas, en cambio las páginas oficial PhpNuke.org y Nukecops.org están misteriosamente parcheadas, ¿que pasa aquí?
Solución:
Para solucionar estos bugs hay que cambiar principalmente dos archivos, el primero es el index.php del módulo Downloads
se debe buscar la función viewdownload y colocar en la 1º línea lo siguiente:
$cid = $cid*1;
quedando de esta manera:
function viewdownload($cid, $min, $orderby, $show) {
$cid = $cid*1;
global $prefix, $dbi, $admin, $perpage, $module_name;
Y lo que sigue…
De esta manera el valor de cid será siempre numérico y no dejará acceder al atacante a los valores de md.
El 2º cambio hay que realizarlo en el mainfile.php del PhpNuke, aquí haremos que el admin.php no acepte un logueo de un presunto administrador sin coger la información directamente desde la cookie:
después, de por ejemplo la línea ob_start(“ob_gzhandler”); incluir seguidamente este código:
// Fix falso login del admin por Miguel de la Hoz
if (isset($_COOKIE['admin'])) {
$admin = $_COOKIE['admin'];
} else {
$admin = "";
}
Este bug ha sido encontrado y resuelto por el equipo de Desarrollonuke.org principalmente por Navegante – Miguel de la Hoz de Ibernuke.org y Spacebom – David Martín de Desarrollonuke.org
Comentarios recientes