Mein Standpunkt wird sicher sehr WordPress getrieben sein, da ich mich sehr stark in diesem Umfeld bewege und man verzeihe mir die Einschränkung. Aber so spreche ich sicher einen Großteil der Leser meines Blogs an und kann eventuell ein Nachdenke oder gar Umdenken erreichen. Insbesondere ziele ich auf die Anwender ab, die meinen, dass wenn Sie sämtliche Funktionen irgendwo unüberlegt kopieren und in die functions.php des WordPress Themes ziehen, dass Sie eine besonderes tolle Lösung haben. Ein Schnipsel, ein Snippet ist mehr als die Lösung zum Verwenden, es ist die Basis um eine Ziel schneller zu erreichen – es ist nicht die fertige Lösung für die jeweilige Anforderung.

Jeder der viel zeit mit Code verbringt und Lösungen erstellt, insbesondere wenn er dass mehr oder weniger allein tun, schmort im eigenen Saft, eignet sich Eigenarten an und wiederholt Fehler und Denkweisen. Die alltägliche Arbeit kann durch die Nutzung von Schnipseln erleichtern werden - führen sie doch oft zu der gesuchten Lösung und können entweder das Endergebnis sein oder ein Teil eines entstehenden Etwas. Dabei geht vermutlich jeder Entwickler etwas anders vor. Während dem einen die Variante des Schnipsels genügt und er via Copy/Paste die Lösung übernimmt, überdenkt der Andere die Lösung, lernt daraus, verbessert sie oder kommt damit zu einer Lösung im Sinne seiner Anforderung.

Gerade letzteres ist meine Grundidee beim Bereitstellen von Snippets - ich löse diverse Probleme wöchentlich und mehr, trotz der bisher noch immer nebenberuflichen Tätigkeit im Webumfeld. Die Freunde müssen dabei fast täglich ran und eine Lösung finden. Die bereitgestellten Lösungen sollen zum Nachdenken anregen und zur Lösungsfindung beitragen. Je besser man das eigene System kennt, je besser kann man die Anforderungen im Hinblick auf eine gesamtheitliche Lösung für das Basissystem und das Ziel umsetzen. Das pure Copy/Paste-Verhalten sorgt meines Erachtens für Stillstand und unüberlegtes Handeln. Ohne eine Überlegung dazu wird die vorgestellte Lösung implementiert. Insofern versuche ich auch jedes Snippet mit etwas Erläuterung anzureichern und für Verständnis zu sorgen: Warum habe ich so gehandelt? Warum diese Lösung? Man soll sich selbst zum Lernen und dem Verständnis zwingen und so den eigenen Horizont erweitern.

Dabei ist mir ein Austausch sehr wichtig, darum auch öffentlich. Mir ist klar, dass meine Lösung nur im Rahmen meiner Möglichkeiten entstehen kann. Ich bin im Hinblick auf das Web, WordPress und das Programmieren ein Autodidakt, habe nie eine Unterrichtsstunde zu diesen Themen besucht, es sei denn als Unterrichtender. Das Lernen kam immer aus eigenem Antrieb und der Kritik und dem Austausch mit Freunden und Lesern. Das Blog ist sicher eine wunderbare Quelle für den nachweis meines Lernens und gerade meine Plugins für WordPress spiegeln dies wieder; würde ich viele Sachen heute nicht mehr so schreiben, wie noch in den ersten Plugins. Die Lernkurve ist hoffentlich ersichtlich und gerade die vielen Eindrücke, Erfahrungen und Diskussionen machen meine Idee, so glaube ich, im Kundenumfeld so gefragt. Die Erfahrung macht am Ende einen Großteil der Lösung aus.

Code-Schnipsel sind in vielen Blogs zu diversen Themen abgelegt, immer im Hinblick auf den aktuellen Wissenstand und die Zielsetzung des Autors. Darum gehören sie überdacht und auf Gültigkeit geprüft. Sei es um dem eigenen Codingstandard recht zu werden, das explizite Ziel der Anforderung zu erreichen oder eine bessere Lösung zu erstellen.
Ich will Snippets nicht verteufeln, ganz im Gegenteil - teilt eure Ideen und Lösungen, diskutiert sie und seit offen für Verbesserungen! Nur so kann man aus meiner Sicht und Erfahrung zu besseren Lösungen kommen. Fehler sind menschlich - sie sind Teil von uns und wer keine Fehler macht, dem sind einfach die Aufgaben zu gering und die Herausforderung fehlt.

Ich möchte die Leser anregen über das pure Copy/Paste-Verhalten nachzudenken, eventuell umzudenken und beim Veröffentlichen von Schnipseln hier und da einige Worte dazu hinterlegen, so dass der Leser eine Möglichkeit hat, die Lösung zu verstehen und aktiv zu nutzen. Die ständige Verwendung von Schnipseln ohne den geist zerstören die Qualität der Lösung, sorgen für Unsicherheit -, stören die Stabilität im System und machen das Finden von Fehlern schwer.

Im Hinblick auf WordPress und dessen Plugin-API gibt es hier weit mehr auszuholen, aber dann wird es viel und liest das noch jemand? Überdenke gerade im Hinblick auf WordPress die Copy/Paste-Kultur von Snippets, trenne sauber zwischen den Funktionen für das Theme und als Erweiterung für das Gesamtsystem mittels eines Plugins. Thomas hat dazu gerade ein wenig ausgeholt und die Zahl der Plugins in einer WordPress Installation ist keine Aussage zur Qualität! Die Performance des Blogs hängt nicht von der Anzahl der Plugins ab, da gehört weit mehr dazu. Insbesondere die Fehlersuche kann mit Plugins vereinfacht werden, da man über die Oberfläche oder via FTP recht einfach deaktivieren kann - insofern man die einzelnen Funktionen sauber trennt.

Also - auf eine neues im Denken zu Snippets und dessen Verwendung im täglichen Arbeiten im Web oder auch nur im Hobby. Gerade die Applikation und die Arbeit damit wird es danken, der Kunde ebenso.
Bildquelle: Puzzle im Kopf

Hinweis Session zum WordCamp Schweiz

Philip Hetjens wird zu diesem Thema die Session Ein Rant über Snippets auf dem WordCamp am 7. Mai 2011 in der Schweiz halten. Sicher ein schönes Thema zum Diskutieren und Einsichten gewinnen.

© Frank Bültge, All rights reserved / Alle Rechte vorbehalten. (ID: 6e8b33de4342c4f2ca76b245199aeee8)

Danke für das Abonnieren meines Feed! Inhalt gefällt? Danke sagen · Kommentieren

Auf die harte Tour

Im ersten Codeschnippsel möchte ich meine eigene Lösung vorstellen, auf die man als erstes trifft, wenn man nach einer Lösung für diese Anforderung im Core sucht. WordPress gibt die Möglichkeit, einige Funktion direkt zu ersetzen, also ohne Plugin-Schnittstelle via Hooks. Alle Funktionen in diesem Zusammenhang findet man in wp-includes/pluggable.php. Dort findet man seit Version 2.5 von WordPress die Funktion wp_validate_auth_cookie(). Diese kümmert sich um die Prüfung des Login und diese ersetze ich in meiner lokalen Entwicklungsumgebung, die von Außen aus dem Netz nicht erreichbar ist! Die Funktion gibt bei korrektem Login die ID des Users zurück und genau das tue ich - die ID 1 für den Admin, sollte es geben, wenn dieser nach der Installation nicht verändert wurde.
Diese folgende kleine Funktion habe ich in der wp-config.php abgelegt.

/**
 * Set authentication cookie.
 *
 * @param string $cookie Optional. If used, will validate contents instead of cookie's
 * @param string $scheme Optional. The cookie scheme to use: auth, secure_auth, or logged_in
 * @return bool|int False if invalid cookie, User ID if valid.
 */
//*
function wp_validate_auth_cookie( $cookie = '', $scheme = '' ) {
	$user_ID = (int) 1; // admin user id
	return $user_ID;
}
//*/

Der Block-Kommentar-Trick

Nun braucht man unter bestimmten Bedingungen das Login für verschieden Tests oder Anforderungen und dann muss die Funktion auskommentiert werden. In diesem Zusammenhang erkläre ich kurz die Kommentar-Zeichen in diesem Code, die vielleicht dem einen oder anderen auffallen und nichts sagen.

Es geht um folgende Zeichen:

//*
function ...
//*/

Dabei muss ich lediglich die führenden Slashs ändern in /* und der Inhalt ist auskommentiert, mehr nicht. Dieser Tipp stammt von Aleem Bawany; in seinem Artikel erklärt er es genau.

Alternativ kann man sicher auch eine Option erstellen und viele andere Wege gehen - dies ist mein Weg und der ist einfach und kontrollierbar.

Die Zeit des Cookie erweitern

Nun ist mir auf StackExchange eine weitere Lösung aufgefallen, die wesentlich sicherer ist und eventuell auch in Live-Sites einsetzbar ist. Dazu wird die Zeit des Cookie angesprochen und via Hook verändert. Im Standard von WordPress ist die „Erinnere dich an mich“-Checkbox auf 14 Tage gesetzt und die folgende Funktion ändert diesen Zeitrahmen auf ein Jahr. Der eigentliche Login bleibt also, nur die Zeit, wie lange das Login gültig ist, ändert sich.

function keep_me_logged_in_for_1_year( $expirein ) {
    return 31556926; // 1 year in seconds
}
add_filter( 'auth_cookie_expiration', 'keep_me_logged_in_for_1_year' );

Diese Lösung wurde von Alex (Viper007Bond) veröffentlicht und es lohnt die Kommentare im Thread zu lesen, insbesondere zu create_function innerhalb des Filter-Hook.
Diese Funktion gehört in ein Plugin oder die functions.php des Themes als Not-Alternativ.

Zwei Lösungen mit sehr unterschiedlichen Ansätzen und Einsetzungsscenarios. Hier ist Verantwortung wichtig beim Einsatz. Vielleicht gibt es andere Lösungen, Hinweise wie immer gern in den Kommentaren.

© Frank Bültge, All rights reserved / Alle Rechte vorbehalten. (ID: 6e8b33de4342c4f2ca76b245199aeee8)

Danke für das Abonnieren meines Feed! Inhalt gefällt? Danke sagen · Kommentieren

Wobei es hier keine Diskussion werden soll, ob WordPress mehr als andere Applikation betroffen ist oder anfälliger ist. Die Unterschiede sind weitreichend - Schwachstellen gehören zur Software und die meisten Standard-Tools sind nur für das Gewissen oder den Geldbeutel.

Es gibt verschiedene Erkennungsmerkmale, einige sollen helfen:

• Ein Problem nennt man Code Injection, Base 64 codierte Inhalte, meist PHP, in deine Dateien.
• Popups, Bilder, Frames, Links im Frontend
• Unbekannte Links im Source des Frontend
• HTML Code in den Tabelle options von WordPress
• Rechte größer 644 sind ein Risiko und meist wollen viele Plugins 755

Folgende Links können helfen:

• WordPress sicher machen
• Sicherheit/WordPress absichern
• WordPress Templates sicherer machen
• WordPress Plugins für mehr Sicherheit
• sseq-lib (PHP security)
• 10 Schritte zum Schutz des Admin-Bereichs
• Schütze deine wp-config.php
• WordPress mit wenigen Kniffen vor Angriffen schützen
• Website gehackt – und nun?

Folgende Schritte sind anzuwenden, wenn das Blog gehackt wurde und man nur rudimentäre Kenntnisse in WordPress, PHP und mySQL hat. Alle mit dem nötigen Wissen werden gezielter vorgehen.

• Nutze die Export-Funktion von WordPress und sichere deine Inhalte damit
• Export der Datenbank-Inhalte und sichern
• Sichere die wp-config.php
• Sicherung des Ordners wp-content mit allen Inhalten
• Prüfe die wp-config.php auf korrekten Inhalt und die Rechte auf dem Webspace, 644 reicht aus
• Prüfe die Inhalte des Ordners wp-content - plugins, themes, uploads - auf richtige Inhalte
• Ändere alle Passwörter: WP Backend (besser neuen User anlegen und Inhalte übernehmen, so ändert sich die ID), FTP Zugang (Achte auf starke Passwörter)
• Ist die Datenbank das Problem, dann gilt es jede Tabelle zu überprüfen, insbesondere die Tabelle options, beschränke dich vorerst auf die WP Standard-Tabellen
• Installiere WordPress neu, mit einer neuen Datenbank
• Kopiere die Sicherung des gesäuberten Ordners wp-content auf die Neuinstallation
• Importiere die Inhalte des bereinigten, falls nötig, WordPress Export-Files und hole so die Inhalte wieder rein (macht das Probleme, dann muss dies via dem SQL Export geschehen, welches du aber ohne die Tabelle options importieren solltest und bereinige auch dieses File
• Überprüfe das Blog mit diversen Tools, nutze die Möglichkeiten, die die obige Artikel aufzeigen und nutze die Macht der .htaccess und der Rechtevergabe

  Beispiele der Sicherung in der .htaccess

  
  # PROTECT wp-config.php
  <files wp-config.php>
   Order deny,allow
   deny from all
  </files>
  
  # PROTECT wp-login.php with password on .htpasswd
  <files wp-login.php>
   AuthName "Admin-Bereich"
   AuthType Basic
   AuthUserFile /www/htdocs/w0123123/.htpasswd
   require valid-user
  </files>
  
  # PROTECT readme.html
  <Files readme.html>
   Order Allow,Deny
   Deny from all
   Satisfy all
  </Files>
  
  # PROTECT liesmich.html für DE Edition
  <Files liesmich.html>
   Order Allow,Deny
   Deny from all
   Satisfy all
  </Files>
  
  # PROTECT install.php
  <Files install.php>
   Order Allow,Deny
   Deny from all
   Satisfy all
  </Files>
  

  Beispiel .htaccess in WP Basis

© Frank Bültge, All rights reserved / Alle Rechte vorbehalten. (ID: 6e8b33de4342c4f2ca76b245199aeee8)

Danke für das Abonnieren meines Feed! Inhalt gefällt? Danke sagen · Kommentieren

Mit Benutzerdefinierten Feldern

Mit Hilfe der Benutzerdefinierten Feldern wird ein neues Feld private gepflegt; wenn man den Post sehen darf, dann ist dieses Feld mit dem Wert true zu pflegen. Dieses Feld fragen wir dann in der Loop bei der Ausgabe im Frontend ab.

if ( have_posts() ) :
	while ( have_posts() ) : the_post();
	// the loop
	$private = get_post_custom_values('private'); // read custom field
	if ( isset($private[0]) && $private == 'true' ) {
		if ( is_user_logged_in() ) {
			// display private post, only logged users
		}
	} else {
		// display public post, for every visitors
	}

	endwhile;
endif;

Mit Berechtigungsobjekt

Eine andere Methode ist es via Funktion das Berechtigungsobjekt der entsprechenden Rolle zu geben. Dies kann man mit Hilfe eines Plugins tun, zum Beispiel Members, oder einfach mit einem kleinen Codeschnipsel in functions.php des Themes. Der jeweilige Schnipsel muss nur einmal aufgerufen werden, danach kann er entfernt bwz. auskommentiert werden, da das Berechtigungsobjekt in der Datenbank abgespeichert wird.

Das Hinzufügen des Berechtigungsobjektes zum Lesen privater Beiträge read_private_posts zur Role des Autors author.

function fb_add_cap2role() {
	global $wp_roles;

	$wp_roles->add_cap('author', 'read_private_posts');
}
add_action( 'init', 'fb_add_cap2role' );

Ebenso können die Rechte natürlich wieder entfernt werden, dies geht beispielsweise mit der folgenden kleinen Lösung.

function fb_remove_cap2role() {
	global $wp_roles;

	$wp_roles->remove_cap('author', 'read_private_posts');
}
add_action( 'init', 'fb_remove_cap2role' );

© Frank Bültge, All rights reserved / Alle Rechte vorbehalten. (ID: 6e8b33de4342c4f2ca76b245199aeee8)

Danke für das Abonnieren meines Feed! Inhalt gefällt? Danke sagen · Kommentieren

Zu finden ist die Klasse in /wp-includes/wp-db.php, wo auch die einzelnen Methoden dokumentiert sind. Dort sind weitere Methoden zu finden, allerdings sind die wichtigsten oft in Gebrauch und daher sind diese nur ein Teil der Klasse.

Ich zeige mal die wichtigsten und lege kleine Beispiele ab, zum Teil in unterschiedlichen Schreibweisen, um die Möglichkeiten aufzuzeigen. Es ist von größer Bedeutung mit diesen Möglichkeiten zu arbeiten und so die Sicherheit von Plugins zu gewährleisten. Sie geben ausreichend Möglichkeiten in die Hand, schaffen Sicherheit und man nutzt die Standards von WordPress, muss sich also nicht um Abhängigkeiten kümmern.

Zu folgenden vier Methoden sind im Anschluss Syntaxbeispiele hinterlegt.

• insert($table, $data, $format) — insert a row into a table via arrays.
• update($table, $data, $where, $format, $where_format) — update a row in a table via arrays.
• get_var($query, $x, $y) — retrieve a single variable from the database.
• query($query) — perform a MySQL database query with current connection
• get_results($query, $output) — retrieve SQL result set from database… one or more rows.
• escape($data) — Escapes content for insertion into the database using addslashes(), for security

Ebenso sind die kommenden Methoden interessant.

• set_prefix($prefix) — used to set table prefix for WordPress tables, can be used to override prefix at any time
• prepare($query) — safely prepares an SQL query for execution with sprintf()-like syntax.
• get_row($query, $output, $y) — retrieve a single row from the database.
• get_col($query, $x) — retrieve a single column from the database in array format.

/**
 * insert
 */
$wpdb->insert( $wpdb->posts, array( 'post_title' => $mytitle ) );

$wpdb->insert( $wpdb->options, array(
			'option_name',
			'new_option_key',
			'option_value' => 'New Option Value',
			'autoload' => 'yes' )
			);

/**
 * update
 */
$wpdb->update( $wpdb->posts, array( 'post_title' => $mytitle ),
			array( 'ID' => $myid )
			);

$wpdb->update( $wpdb->options,
			array( 'option_value' => 'New Option Value' ),
			array( 'option_name' => 'new_option_value' )
			);

/**
 * get_var
 */
$post_id = $wpdb->get_var(
			$wpdb->prepare( "SELECT post_id FROM
					$wpdb->postmeta WHERE
					post_id = %d AND
					meta_key = 'enclosure' AND
					meta_value LIKE (%s)", $post_ID, $url . '&' )
			);

$content = $wpdb->get_var(
			$wpdb->prepare("SELECT post_content FROM " .
					"$wpdb->posts WHERE " .
					"post_title = %s AND " .
					"ID = %d", $title, $id )
		);

/**
 * query
 */
$wpdb->query( "DELETE FROM $wpdb->options WHERE option_name = '$name'" );

$wpdb->query( "UPDATE $wpdb->posts SET post_title = '$mytitle' WHERE ID = $myid" );

/**
 * query and escape
 */
$mytitle = $wpdb->escape( $mytitle );
$myid    = absint( $myid );
$wpdb->query( "UPDATE $wpdb->posts SET post_title = '$mytitle' WHERE ID = $myid" );

/**
 * get_results
 */
$type = $wpdb->get_results( "SELECT post_type FROM " .
				"$wpdb->posts WHERE ID=$id" );

© Frank Bültge, All rights reserved / Alle Rechte vorbehalten. (ID: 6e8b33de4342c4f2ca76b245199aeee8)

Danke für das Abonnieren meines Feed! Inhalt gefällt? Danke sagen · Kommentieren

Zum Hintergrund: sseq-lib ist eine mächtige PHP-Security Bibliothek
Security-Themen, die sseq-lib behandelt:

• XSS (Cross Site Scripting)
• SQL-Injection
• CSRF (Cross Site Request Forgery)
• Session-Fixation
• Mail-Header-Injection
• File-Injection
• HTTP-Header-Manipulation
• Response-Splitting
• Informative error messages

Viele Informationen stehen im Projektverzeichnis bereit und ebenfalls auf das Blog von Erich Kachel.

© Frank Bültge, All rights reserved / Alle Rechte vorbehalten. (ID: 6e8b33de4342c4f2ca76b245199aeee8)

Danke für das Abonnieren meines Feed! Inhalt gefällt? Danke sagen · Kommentieren

Wer aber im Vorfeld schon diverse Projekte mit WordPress umgesetzt hat und das Problem hatte, dass User nicht über die Rechte zum Upload eines bestimmten Formates besaßen, der musste sich auch da was einfallen lassen.

In vielen Fällen wurde dazu via Plugin Role Manager der Upload aller Mime Typen erlaubt. Aus meiner Sicht nicht der richtige Weg und daher im folgenden ein kleiner Code-Schnipsel, der das Anpassen an die jeweilige Anforderung übernimmt.

Alle erlaubten Typen findet man in der Whitelist-Funktion wp_check_filetype(), in wp-includes/functions.php.
Diese Funktion besitzt einen Filter upload_mimes, den man erweitern kann. Und dort setzen wir an und geben die Mime Typen mit, die wir benötigen. Im folgenden Beispiel erlaube ich dabei php-, xhtml- und htaccess-Files. Die Möglichkeiten werden in einem Array übergeben und die Zuordnung ist wichtig, damit WordPress auch ein Icon zuordnen kann, siehe Screenshot.

function my_upload_mimes() {
	$mime_types = array(
		'php|phps'   => 'text/php',
		'xhtm|xhtml' => 'text/html',
		'htaccess'    => 'text/plain'
	);

	return $mime_types;
}

add_filter( 'upload_mimes', 'my_upload_mimes' );

Mime Typen

Um eine Übersicht aller Mime-Typen zu erhalten, kann gern die folgenden Liste genutzt werden. Die Übergabe an WordPress sollte aber nur die enthalten, die man auch explizit braucht, ansonsten kann die obige Konstante genutzt geben.

$mime_types = array(
'323'     => 'text/h323',
'acx'     => 'application/internet-property-stream',
'ai'      => 'application/postscript',
'aif'     => 'audio/x-aiff',
'aifc'    => 'audio/x-aiff',
'aiff'    => 'audio/x-aiff',
'asf'     => 'video/x-ms-asf',
'asr'     => 'video/x-ms-asf',
'asx'     => 'video/x-ms-asf',
'au'      => 'audio/basic',
'avi'     => 'video/x-msvideo',
'axs'     => 'application/olescript',
'bas'     => 'text/plain',
'bcpio'   => 'application/x-bcpio',
'bin'     => 'application/octet-stream',
'bmp'     => 'image/bmp',
'c'       => 'text/plain',
'cat'     => 'application/vnd.ms-pkiseccat',
'cdf'     => 'application/x-cdf',
'cer'     => 'application/x-x509-ca-cert',
'class'   => 'application/octet-stream',
'clp'     => 'application/x-msclip',
'cmx'     => 'image/x-cmx',
'cod'     => 'image/cis-cod',
'cpio'    => 'application/x-cpio',
'crd'     => 'application/x-mscardfile',
'crl'     => 'application/pkix-crl',
'crt'     => 'application/x-x509-ca-cert',
'csh'     => 'application/x-csh',
'css'     => 'text/css',
'dcr'     => 'application/x-director',
'der'     => 'application/x-x509-ca-cert',
'dir'     => 'application/x-director',
'dll'     => 'application/x-msdownload',
'dms'     => 'application/octet-stream',
'doc'     => 'application/msword',
'dot'     => 'application/msword',
'dvi'     => 'application/x-dvi',
'dxr'     => 'application/x-director',
'eps'     => 'application/postscript',
'etx'     => 'text/x-setext',
'evy'     => 'application/envoy',
'exe'     => 'application/octet-stream',
'fif'     => 'application/fractals',
'flr'     => 'x-world/x-vrml',
'gif'     => 'image/gif',
'gtar'    => 'application/x-gtar',
'gz'      => 'application/x-gzip',
'h'       => 'text/plain',
'hdf'     => 'application/x-hdf',
'hlp'     => 'application/winhlp',
'hqx'     => 'application/mac-binhex40',
'hta'     => 'application/hta',
'htc'     => 'text/x-component',
'htm'     => 'text/html',
'html'    => 'text/html',
'htt'     => 'text/webviewhtml',
'ico'     => 'image/x-icon',
'ief'     => 'image/ief',
'iii'     => 'application/x-iphone',
'ins'     => 'application/x-internet-signup',
'isp'     => 'application/x-internet-signup',
'jfif'    => 'image/pipeg',
'jpe'     => 'image/jpeg',
'jpeg'    => 'image/jpeg',
'jpg'     => 'image/jpeg',
'js'      => 'application/x-javascript',
'latex'   => 'application/x-latex',
'lha'     => 'application/octet-stream',
'lsf'     => 'video/x-la-asf',
'lsx'     => 'video/x-la-asf',
'lzh'     => 'application/octet-stream',
'm13'     => 'application/x-msmediaview',
'm14'     => 'application/x-msmediaview',
'm3u'     => 'audio/x-mpegurl',
'man'     => 'application/x-troff-man',
'mdb'     => 'application/x-msaccess',
'me'      => 'application/x-troff-me',
'mht'     => 'message/rfc822',
'mhtml'   => 'message/rfc822',
'mid'     => 'audio/mid',
'mny'     => 'application/x-msmoney',
'mov'     => 'video/quicktime',
'movie'   => 'video/x-sgi-movie',
'mp2'     => 'video/mpeg',
'mp3'     => 'audio/mpeg',
'mpa'     => 'video/mpeg',
'mpe'     => 'video/mpeg',
'mpeg'    => 'video/mpeg',
'mpg'     => 'video/mpeg',
'mpp'     => 'application/vnd.ms-project',
'mpv2'    => 'video/mpeg',
'ms'      => 'application/x-troff-ms',
'mvb'     => 'application/x-msmediaview',
'nws'     => 'message/rfc822',
'oda'     => 'application/oda',
'p10'     => 'application/pkcs10',
'p12'     => 'application/x-pkcs12',
'p7b'     => 'application/x-pkcs7-certificates',
'p7c'     => 'application/x-pkcs7-mime',
'p7m'     => 'application/x-pkcs7-mime',
'p7r'     => 'application/x-pkcs7-certreqresp',
'p7s'     => 'application/x-pkcs7-signature',
'pbm'     => 'image/x-portable-bitmap',
'pdf'     => 'application/pdf',
'pfx'     => 'application/x-pkcs12',
'pgm'     => 'image/x-portable-graymap',
'pko'     => 'application/ynd.ms-pkipko',
'pma'     => 'application/x-perfmon',
'pmc'     => 'application/x-perfmon',
'pml'     => 'application/x-perfmon',
'pmr'     => 'application/x-perfmon',
'pmw'     => 'application/x-perfmon',
'pnm'     => 'image/x-portable-anymap',
'pot'     => 'application/vnd.ms-powerpoint',
'ppm'     => 'image/x-portable-pixmap',
'pps'     => 'application/vnd.ms-powerpoint',
'ppt'     => 'application/vnd.ms-powerpoint',
'prf'     => 'application/pics-rules',
'ps'      => 'application/postscript',
'pub'     => 'application/x-mspublisher',
'qt'      => 'video/quicktime',
'ra'      => 'audio/x-pn-realaudio',
'ram'     => 'audio/x-pn-realaudio',
'ras'     => 'image/x-cmu-raster',
'rgb'     => 'image/x-rgb',
'rmi'     => 'audio/mid',
'roff'    => 'application/x-troff',
'rtf'     => 'application/rtf',
'rtx'     => 'text/richtext',
'scd'     => 'application/x-msschedule',
'sct'     => 'text/scriptlet',
'setpay'  => 'application/set-payment-initiation',
'setreg'  => 'application/set-registration-initiation',
'sh'      => 'application/x-sh',
'shar'    => 'application/x-shar',
'sit'     => 'application/x-stuffit',
'snd'     => 'audio/basic',
'spc'     => 'application/x-pkcs7-certificates',
'spl'     => 'application/futuresplash',
'src'     => 'application/x-wais-source',
'sst'     => 'application/vnd.ms-pkicertstore',
'stl'     => 'application/vnd.ms-pkistl',
'stm'     => 'text/html',
'svg'     => 'image/svg+xml',
'sv4cpio' => 'application/x-sv4cpio',
'sv4crc'  => 'application/x-sv4crc',
't'       => 'application/x-troff',
'tar'     => 'application/x-tar',
'tcl'     => 'application/x-tcl',
'tex'     => 'application/x-tex',
'texi'    => 'application/x-texinfo',
'texinfo' => 'application/x-texinfo',
'tgz'     => 'application/x-compressed',
'tif'     => 'image/tiff',
'tiff'    => 'image/tiff',
'tr'      => 'application/x-troff',
'trm'     => 'application/x-msterminal',
'tsv'     => 'text/tab-separated-values',
'txt'     => 'text/plain',
'uls'     => 'text/iuls',
'ustar'   => 'application/x-ustar',
'vcf'     => 'text/x-vcard',
'vrml'    => 'x-world/x-vrml',
'wav'     => 'audio/x-wav',
'wcm'     => 'application/vnd.ms-works',
'wdb'     => 'application/vnd.ms-works',
'wks'     => 'application/vnd.ms-works',
'wmf'     => 'application/x-msmetafile',
'wps'     => 'application/vnd.ms-works',
'wri'     => 'application/x-mswrite',
'wrl'     => 'x-world/x-vrml',
'wrz'     => 'x-world/x-vrml',
'xaf'     => 'x-world/x-vrml',
'xbm'     => 'image/x-xbitmap',
'xla'     => 'application/vnd.ms-excel',
'xlc'     => 'application/vnd.ms-excel',
'xlm'     => 'application/vnd.ms-excel',
'xls'     => 'application/vnd.ms-excel',
'xlt'     => 'application/vnd.ms-excel',
'xlw'     => 'application/vnd.ms-excel',
'xof'     => 'x-world/x-vrml',
'xpm'     => 'image/x-xpixmap',
'xwd'     => 'image/x-xwindowdump',
'z'       => 'application/x-compress',
'zip'     => 'application/zip'
);

© Frank Bültge, All rights reserved / Alle Rechte vorbehalten. (ID: 6e8b33de4342c4f2ca76b245199aeee8)

Danke für das Abonnieren meines Feed! Inhalt gefällt? Danke sagen · Kommentieren

Im Entwicklungsprozess kann so schnell, einfach und unkompliziert die Sicherheit erhöht werden. Das Tool ist schnell als Lesezeichen im Browser abgelegt und scannt Links und Pfade. Alternativ kann man neue Angriffsvektoren hinzufügen. Definitiv ein Bookmark wert. Download und Anwendung finden sich auf der Webseite zum Tool XSS Rays.

© Frank Bültge, All rights reserved / Alle Rechte vorbehalten. (ID: 6e8b33de4342c4f2ca76b245199aeee8)

Danke für das Abonnieren meines Feed! Inhalt gefällt? Danke sagen · Kommentieren

Nicht jeder will die Form der Funktionalitäten in ein Theme integrieren, wo sie sicher auch nicht unbedingt perfekt aufgehoben sind. Alternativ werde ich diese Lösung im Plugin „Secure WordPress“ integriert, so dass man sie dort über eine Auswahlseite aktivieren kann.

/**
 * remove core-Update-Information
 * @rights: http://codex.wordpress.org/Roles_and_Capabilities
 */
if ( !current_user_can( 'edit_plugins' ) ) {
	// core update
	add_action( 'init', create_function( '$a', "remove_action( 'init', 'wp_version_check' );" ) );
	add_filter( 'pre_option_update_core', create_function( '$a', "return null;" ) );
	// plugin update
	add_action( 'admin_menu', create_function( '$a', "remove_action( 'load-plugins.php', 'wp_update_plugins' );" ) );
	add_action( 'admin_init', create_function( '$a', "remove_action( 'admin_init', 'wp_update_plugins' );" ), 2 );
	add_action( 'init', create_function( '$a', "remove_action( 'init', 'wp_update_plugins' );" ), 2 );
	add_filter( 'pre_option_update_plugins', create_function( '$a', "return null;" ) );
}

Wer also den obigen Codeschnippsel nicht nutzen möchte und eine komfortable Verwaltung sucht, der wartet bitte ein wenig - die aktuelle Version kommt sicher in den nächsten Tagen der nutzt das Plugin Secure WordPress, in dem ich die Erweiterung nun drin habe.

© Frank Bültge, All rights reserved / Alle Rechte vorbehalten. (ID: 6e8b33de4342c4f2ca76b245199aeee8)

Danke für das Abonnieren meines Feed! Inhalt gefällt? Danke sagen · Kommentieren

Und auch beim Internet Explorer 8 führt Microsoft wieder Neuerungen ein, die der Webwelt vorerst in zwei Lager spalten. In diesem Artikel will ich mich daher nicht über Webstandards und Microsoft auslassen, sondern über die neuen Funktionen gegen das Ausspähen von Nutzern.

Den Schwenk von proprietärem Standard, hin zu offenen Webstandards und Vorgaben des W3C sorgen bei einigen Unternehmen schon jetzt für Unbehagen. Noch können Sie sich eine Weile gegen den neuen Browsers wehren, aber ewig werden sie das Lager des IE 6 doch nicht halten können und müssen auch dem Druck der Anwender im Unternehmen nachgeben. Der eingeführte Meta-Tag, der den IE 8 mit der Darstellungsfunktion des IE 7 fahren lässt, wird uns wohl noch geraume Zeit begleiten.

Seit der Beta 2 des IE 8 ist nun aber ein zweiter Punkt im Browser, der nicht nur die Unternehmen für die Verwendung des Browsers intern verärgert, sondern auch für die Funktion vieler Webservices und Websiten kann mit der neuen Funktion InPrivate viel Unbehagen gestreut werden.

InPrivat

In einigen Medien auch als Porno-Modus bekannt, soll die InPrivate-Funktion dem Nutzer mehr Sicherheit geben. Die Privatsphäre des Nutzers wird gewahrt. Wissbegierige Anbieter werden ausgesperrt. Die neue Funktion sammelt eine ganze Reihe von Funktionen, die man auch aus anderen Browsern kennt, die aber im IE 8 gebündelt werden und der Unternehmensführung das Leben sehr erschweren können. Eine einfache Funktion ist dabei beispielsweise, dass man via Klick die Spuren des Surfverhaltens löschen kann. Dies ist aber so nicht immer erwünscht, denn dabei können auch für den Nutzer wichtige Informationen verloren gehen. Im IE 8 öffnet der InPrivate Modus ein neues Fenster und wendet in diesem Browser alle Mechanismen an, die die Privatsphäre schützen. Alle Informationen, die im Vorfeld im „normalen“ Modus gespeichert wurden, bleiben dabei aber erhalten. Alle Daten werden also nur temporär bis zum Ende dieser Sitzung gespeichert. Cookies und Cache-Dateien, Suchanfragen, Formulare und Passwörter werden damit nicht gespeichert, ebenso die Historie der URLs.

Auswirkungen

Um das Surfverhalten eines Nutzers zu erhalten, nutzen eine ganze Reihe von Firmen die Cookies; bekanntestes Beispiel ist wohl Google, die mit einer vielen Services unter diesem Modus leiden werden. Die Werbung, die Google finanziert und auf den Nutzer abstimmt, wäre dann nicht mehr so lukrativ und Google hat mit Sicherheit einen geringeren Interessenkreis von Werbenden, wenn sie diese Funktion nicht umgehen können.
Wie bei so vielen Sicherheitsthemen sind die Lösungen/Alternativen nicht weit und auch in diesem Bereich gibt es Möglichkeiten, die schon jetzt Anwendung finden - die Adobe Flash Cookies. Diese Form der Cookies lassen sich nicht über die Konfiguration des Browsers auslesen oder löschen. Eine anderen Lösung ist die Zuordnung eines „Fingerprint“, der ebenfalls schon jetzt von diversen Anwendungen genutzt wird. Mit der Veröffentlichung des IE 8 wird dieser Trend sicher enorm an Potenzial gewinnen.

Eine weitere Funktion des IE 8 wird aber sicher viele Anbieter im Web vor eine Veränderung stellen bzw. zum Umdenken bewegen, die Funktion „Blocking“. Auch diese Funktion wird mit dem InPrivate-Modus aktiviert. Sie richtet sich in erster Linie gegen die Angebote Dritter in Websites. Dem Anwender ist aktuell nicht bewusst, wo die Daten herkommen. Im einfachsten Fall geht der Nutzer davon aus, dass die alle Inhalte von der Website kommen, dessen URL in der Adresszeile steht. Vielen Websiten und Services nutzen aber die Möglichkeit Inhalte von anderen Seiten bereit zu stellen, ohne die angesurfte Website zu verlassen. Auf dem Blog von Microsoft zum IE wird dieser Modus diskutiert und im Sinne des Web ist die Zusammenführung von Inhalten legitim. Für die Privatsphäre des Nutzers ist das aber eine Verletzung, so Dean Hachamovitch, Gerneral Manager des IE. Denken wir an Analysetools und Anzeigenvermarktung, dann ist diese Technik nicht weg zu denken. Im Zeitalter des Web 2.0 ist diese Technologie richtig populär geworden. Websites sind keine abgeschlossenen Container, viele Schnittstellen wie z.B. XML machen die Integration externer Services einfach. Auch hier trifft es den Riesen Google besonders, denke ich nur an Google Maps. Viel genutzt um Informationen auf der Website zu bereichern, ist es doch ein Dienst außerhalb der eigentlichen Website. Ebenfalls trifft dieser Modus viele Services des Web 2.0 und Unternehmen, die ihre Website mit externen Daten füttern, um die Inhalte attraktiver zu gestalten.
Diese Funktion erhält seitens Microsoft sogar noch einen Bonus, denn die Suchmuster des Browsers können gesammelt und importiert werden. Damit kann jeder Nutzer des IE seine eigene Liste erstellen und diese zum Download anbieten. Ähnlich kennt man das vom Add on Adblock Plus im Firefox. Dabei handelt es sich aber um eine Erweiterung, was die Nutzerzahl reduziert; der Laie nutzt den Browser in seiner reinsten Form und kennt oft diverse und Möglichkeiten nicht.

Fazit

Microsoft bringt einen neuen Browser und zum ersten mal macht man den Webentwicklern wohl eine Freude damit, dass man offene Standards unterstützt. Im gleichen Atemzug werden aber diverse Entwicklungen erschwert, da Microsoft dem Nutzer mit InPrivate einen neuen Service bietet. Die berechtigte Sorge vieler Nutzer, dass ihre Gewohnheiten und Interessen durch kommerzielle Websites ausgespäht werden, kann damit genommen werden und jeder Nutzer kann selbst entscheiden, was er frei geben will. Ein zweischneidiges Schwert - einerseits genießen Nutzer die zugeschnittenen Angebote oder bessere Suchergebnisse, andererseits wollen sie ihre Privatsphäre behalten. Mit diesem neuen Modus im IE 8 bündelt Microsoft viele bisher verstreute Funktionen und macht die Nutzung einfach, auch für wenige versierte Anwender. In Private sorgt nicht nur dafür, dass Inhalte aus dem WWW lokal gespeichert werden, sondern hält Drittinhalte außen vor. Mit der letzteren Funktion werden sicher viele Anbieter im Web ein Problem haben und Auswirkungen lassen sich heute noch nicht absehen. Wird also der IE 8 nur annähernd so viele Nutzer wie der viel verhasste IE 6 haben, dann setzt Microsoft die Webanbieter unter Zugzwang. Google muss also mehr als eine Alternative im Browsermarkt bieten, denn nur sehr wenige Unternehmen werden von der Hauptstraße Microsoft abbiegen und einen alternativen Browser nutzen. Alternativ können die Anbieter hoffen, dass die Nutzung Angebote Dritter schon so weit fortgeschritten ist, dass die Nutzer diesen Service nicht mehr wissen wollen und diesen Modus im IE 8 keine Chance geben.

Mal wieder zeigt Microsoft, dass sie ein berechtigtes Mitspracherecht auch über und im Web haben. Mit der Veröffentlichung der Beta 2 des IE 8 ist das Interesse nicht nur seitens der Webentwickler da, denn InPrivate betrifft viel größere Kreise und könnte den aktuellen Trend zu Integration immer mehr Mashups ändern.

© Frank Bültge, All rights reserved / Alle Rechte vorbehalten. (ID: 6e8b33de4342c4f2ca76b245199aeee8)

Danke für das Abonnieren meines Feed! Inhalt gefällt? Danke sagen · Kommentieren

Aktiv oder nicht, dass wird im übrigen ab 2.6 schon in der Installation abgefragt, so dass Neuinstallationen direkt darauf gestoßen werden.

© Frank Bültge, All rights reserved / Alle Rechte vorbehalten. (ID: 6e8b33de4342c4f2ca76b245199aeee8)

Danke für das Abonnieren meines Feed! Inhalt gefällt? Danke sagen · Kommentieren

Für dieses Plugin gibt es keinen Support mehr von mir, die Version wurde komplett übernommen und wird von Site Security Monitor betreut. Bitte nutzt diese Version und meldet euch über die Plugin-Seite mit Fehlern, Wünschen und Hinweisen.

I don't provide support anymore for this plugin. This version has been completely taken over and will be maintained by Site Security Monitor. Please use this version and send emails via the plugin page about errors, wishes and tips.

WordPress gibt dem Anwender Information in die Hand, wenn er/sie sich falsch versucht hat einzuloggen. Die Ausgabe der Informationen sind recht vielschichtig und stellen ein Sicherheitsrisiko dar, denn mit diesen Informationen kann ein potenzieller Eindringling seinen Algorithmus beeinflussen.

Im Bereich Usability ist das auch ein feiner Zug und viele „normale Anwender“ sind für diese Information sicher dankbar. Im Bereich eines Privatblogs oder mit Nutzern die mit der Umgebung vertraut sind sind diese Informationen nicht sonderlich relevant. Darum deaktiviere ich sie und mache so ein weiteres Hilfsmittel für potentielle Eindringlinge dicht. Das geht recht einfach, denn WordPress benutzt auch hier einen Filter-Hook und somit kann man diesen Filter recht einfach deaktivieren.

Je nach Kenntnisstand kann man das auf zwei verschiedene Varianten tun. Entweder der folgende Code kommt in die functions.php des Themes oder man aktiviert einfach das nachstehend angebotene Plugin.

Das Plugin werde ich nach und nach mit weiteren Lösungen ausbauen, je nach Zeit und Kenntnisstand. Aktuell habe ich viele Lösungen auf unterschiedlichem Wege realisiert und will diese in diesem Plugin ablegen. Mit wenig Aufwand soll man so die gängigen Probleme lösen können. Ich werde aber sicher keinen Optionsbereich einbauen, denn zusätzliche Daten in der Datenbank für derartige Lösungen halte ich für überflüssig. Alles weitere dokumentiere ich dann hier im Beitrag und im Quellcode.

/**
 * remove Error-information
 */
add_filter( 'login_errors', create_function( '$a', "return null;" ) );

Was macht das Plugin ?

1. Error Informationen aus dem Login-Bereich entfernen
2. WordPress Version aus allen Bereich, außer Backend, entfernen; auch im Feed (weitere Info's)
3. Versionsinformation für Nicht-Admins auch im Backend nicht ersichtlich.
4. erstellt eine virtuelle index.html im Plugin-Verzeichnis und eventuell das Listen des Inhaltes zu verhindern.
5. Entfernt Link für Windows Live Writer
6. Entfernt Link zum Really Simple Discovery Service
7. Entfernt die Update-Info zur WordPress Version für Nicht-Admins
8. Entfernt die Update-Info zu Plugin Updates für Nicht-Admins
9. Ergänzt um den String um den WP Scanner zu nutzen
10. WordPress gegen bösartige URL-Anforderungen schützen

Anforderungen

Secure WordPress arbeitet ab WP 2.6 und wurde getestet bis Version 2.9-rare.

Installation

• Die gepackte Datei downloaden und lokal entpacken
• Die Datei in dein Plugin-Verzeichnis kopieren (/wp-content/plugins/)
• Aktivieren des Plugins im Adminbereich deines WP

Download:

Der Download ist auf der zugehörigen Plugin-Seite zu finden; dort steht die jeweils letzte Version zur Verfügung.

Historie

• 0.1 - Idee und Umsetzung
• 0.2 - Hinzugekommen: Entfernt WP-Version in allen Bereichen, außer Admin; fügt die index.html zum Plugin-Verzeichnis hinzu (damit kann das Plugin Replace WP-Version entfallen)
• 0.3 - WP 2.7 ready, alle Funktionen optional, Optionsbereich, ital. Sprachfile, etc.
• 0.3.1/2 - fix für WP <2.7; neue Funktion RSD und WLW
• 0.3.3 - Bugfix für WLW
• 0.3.4 - Erweiterung um zwei neue Option, Code verfeinert, mehr Möglichkeiten aus dem Core genutzt; optimiert für >=2.7; CSS ergänzt um auch das Markup der Error-Meldung zu entfernen
• 0.3.5 - Korrigieren Rechtschreibung in der dt. Sprachdatei; eine Abfrage hinzugefügt, die sicher stellt, dass diverse Hooks nur genutzt werden, wenn die Seite auch aktiv ist
• 0.3.6 - Erweiterung um WP Scanner, Bugfix für Mehrsprachigkeit (08/05/2009)
• 0.3.7 - Erweiterung für WP 2.8; Meta Links der Plugin-Seite (10/06/2009)
• 0.3.8 - add function to remove theme-update information for non-admins, rescan language file; edit de_DE (22/06/2009)
• Bitte nutzt das Changelog zum Plugin, welches aktuell immer gepflegt wird.

© Frank Bültge, All rights reserved / Alle Rechte vorbehalten. (ID: 6e8b33de4342c4f2ca76b245199aeee8)

Danke für das Abonnieren meines Feed! Inhalt gefällt? Danke sagen · Kommentieren

In den letzten Tagen und Wochen wurden vermehrt Weblogs gehackt, die mit WordPress betrieben werden. Die Ursachen können sehr unterschiedlich sein, einer der letzten Punkte waren angreifbare freie Themes.

Ich wünsche, dass die Nutzer durch solche Themen sensibler werden und nicht blind jedes Plugin oder Theme in ihr Live-System kopieren und nutzen.

Ein ganz anderer Punkt ist die Sicherheit zu erhöhen, dass kann man mit einigen Punkte in der Installation, die ich hinreichend in den Artikeln „WordPress sicherer machen“ und „WordPress Templates sicherer machen“ erläutere.

Im weiteren haben sich aber auch eine ganze Reihe an Plugin-Autoren um die Sicherheit bemüht und entsprechende Plugins veröffentlicht.

1. WordPress Database Backup
2. Semisecure Login
3. AskApache Password Protect
4. Force SSL
5. WP Security Scan
6. Secure Files
7. BackUpWordPress
8. Anonymous WordPress Plugin Updates
9. Replace WP-Version

Eine ausführliche Liste mit Hintergründen zu den Plugins hat speckyboy.com veröffentlicht. In jeden Fall eine Lese-Empfehlung.

Update: Weitere Plugins

1. WP-Adminprotection
2. Login LockDown
3. DigoWatchWP
4. Hash Checker
5. Postlogger
6. Secure WordPress - im laufe dieser Aktionen entstanden und erschwert es unerlaubten Personen Informationen zu erhalten
7. WordPress Exploit Scanner Scannt die Datenbank oder die Dateien nach klassischen Hack-Eingriffen, zum Beispiel Spamlinks im Theme.

© Frank Bültge, All rights reserved / Alle Rechte vorbehalten. (ID: 6e8b33de4342c4f2ca76b245199aeee8)

Danke für das Abonnieren meines Feed! Inhalt gefällt? Danke sagen · Kommentieren

In der Präsentation sind eine ganze Reihe von Möglichkeiten hinterlegt, vor allem zum Thema Verantwortung und Bewusstsein im Bezug auf den PHP- und WordPress-Coding-Standard, die man immer beherzigen sollte.

Die einzelnen Punkte der Präsentation spreche ich hier nicht mehr an, gebe aber nochmal Infos zu Möglichkeiten und Referenzen.

PHP Möglichkeiten

PHP bietet eine ganze Reihe von Funktionen, die das Validieren und Filtern von Daten erlaubt. Einige Beispiele die im täglichen Umfeld sehr nützlich sind.

• htmlspecialchars()
• strip_tags()
• urlencode()
• intval()
• addslashes()
• mysql_escape_string()

Als Lektüre dient der PHP.net Security Guide und PHP Security Guide (PDF, 311kByte) mit 12 wichtigen Punkten.

WordPress Möglichkeiten, Konstanten

Aber auch WordPress bringt einige Möglichkeiten mit, dabei sind zwei Funktionen besonders nützlich und hilfreich: attribute_escape() und wp_nonce().

Unerwähnt sollen aber nicht die Konstanten bleiben, die es bereits in den Core-Files von WP gibt und die gerade zur Anwendung prädestiniert sind.

• TEMPLATEPATH
• STYLESHEETPATH
• ABSPATH
• WPINC
• PLUGINDIR
• COOKIEPATH, COOKIEHASH, USER_COOKIE, PASS_COOKIE, AUTH_COOKIE und weitere Cookie-Konstanten

Einer Konstante kommt dabei eine Sonderrolle zu: WP_DEBUG.
Diese Konstante muss in der wp-config.php auf TRUE gesetzt werden und schon ist WordPress im Debug-Modus (error_reporting(E_ALL)) und gibt alle Informationen nach außen.

define('WP_DEBUG', true);

/*
Plugin Name: Security Example
Plugin URI: http://bueltge.de/
Description: fbSecurity Example
Author: Frank Bueltge
Version: 0.1
Author URI: http://bueltge.de/
*/

/**
  * Function definieren
  * fbexample_ ersetzen
  *
  */
if ( !function_exists('wp_nonce_field') ) {
	function fbexample_nonce_field($action = -1) {
		return;
	}
	$fbexample_nonce = -1;
} else {
	function fbexample_nonce_field($action = -1) {
		return wp_nonce_field($action);
	}
	$fbexample_nonce = 'fbexample_update_key';
}

/**
  * POST Uebergabe, Admin-Page
  * fbexample_ ersetzen
  *
  */
function fbexample_page() {
	global $fbexample_nonce, $fbexample_key;

	if ($_POST['action'] == 'submit') {

		if ( function_exists('current_user_can') && current_user_can('edit_plugins') ) {
			check_admin_referer($fbexample_nonce);

			$fbexample1 = $_POST['fbexample1'];
			. . .

		} else {
			wp_die('

'.__('You do not have sufficient permissions to edit plugins for this blog.').'

');
		}
	}
?>

<?php _e('FB Example', 'fbexample') ?>

		<?php fbexample_nonce_field($fbexample_nonce) ?>

		. . .


	


<?php
}

/**
  * Installation von options-Feldern
  * fbexample* ersetzen
  *
  */
function fbexample_install(){
	global $wpdb;

	add_option('fbexample1', 'fbexample1_wert');
}

/**
  * Admin-Page hinzufuegen
  * fbexample* ersetzen
  *
  */
function fbexample_menu() {
	add_submenu_page('plugins.php', 'FB Example', 'FB Example Title', 10, __FILE__, 'fbexample_page');
	add_options_page('FB Example', 'FB Example Title', 8, basename(__FILE__), 'fbexample_page');
}

/**
  * Hooks nutzen und Admin-Page aktivieren
  * fbexample* ersetzen
  *
  */
if (function_exists('add_action')) {
	if (isset($_GET['activate']) && $_GET['activate'] == 'true') {
		add_action('init', 'fbexample_install');
	}
	add_action('admin_menu', 'fbexample_menu');
}
?>