<\/p>\n<\/p>\n
Egal ob die Verwendung eines freien, kommerziellen oder selbst erstellten Themes in deinem Weblog zur Verwendung kommt, man kann mittels PHP viele sch\u00f6ne und n\u00fctzliche Funktionen einbauen. Aber durch diese M\u00e4chtigkeit kann man ebenso einfach und unbewusst Sicherheitsl\u00fccken in das System holen.<\/p>\n
Damit soll keine Angst vor dem Erstellen und \u00c4ndern von Themes und Templates gesch\u00fcrt werden, sondern Bewusstsein und Verantwortung f\u00fcr das Verwenden von Themes und Templates erzogen werden.<\/p>\n
Daher in wenigen Punkten, einige Tipps und Tricks, die es gilt zu beachten bzw. zu pr\u00fcfen.
\n<\/p>\n
echo $_SERVER<\/code> pr\u00fcfen<\/h3>\nDie direkte Ausgabe von Variablen, welche durch ungepr\u00fcfte Eingabe\/ \u00dcbergabe gef\u00fcllt werden, is t nicht mit den PHP-Sicherheitsregeln in Einklang zu bringen.<\/p>\n
Eine ganze Reihe von Themes nutzen den folgenden Syntax:<\/p>\n
\n<?php echo $_SERVER['REQUEST_URI']; ?>\n<\/pre>\nBeispielsweise in der searchform.php<\/code><\/p>\n\n<form method="get" id="searchform" action="<?php echo $_SERVER['REQUEST_URI']; ?>">\n<\/code><\/pre>\nDiese Ausgabe geh\u00f6rt da nicht hin, die \u00dcbergabe geh\u00f6rt gefiltert. Daher ist folgender Syntax zu nutzen.<\/p>\n
\n<form method="get" id="searchform" action="<?php bloginfo('url'); ?>\/">\n<\/code><\/pre>\nMuss unbedingt mir $_SERVER<\/code> gearbeitet werden, dann ist die Filterung der Daten anzuraten.<\/p>\n\n<form method="get" id="searchform" action="<?php echo htmlspecialchars($_SERVER['REQUEST_URI']); ?>">\n<\/code><\/pre>\n<\/li>\n- \n
echo $s<\/code> pr\u00fcfen<\/h3>\n\u00c4hnlich verh\u00e4lt es sich mit der Ausgabe des Suchsyntax. Dabei handelt es sich um eine \u00dcbergabe von Nutzerwerten, die schnell zu einer XSS<\/a>-L\u00fccke werden. Daher gilt auch hier das Filtern der Eingabe.<\/p>\nVielfach in der searchform.php<\/code> einiger Themes zu finden.<\/p>\n\n<input type="text" value="<?php echo $s; ?>" name="s" id="s" \/>\n<\/code><\/pre>\nDie L\u00f6sung k\u00f6nnte, mit Sicherheitsm\u00f6glichkeiten von WordPress genutzt, wie folgt aussehen.<\/p>\n
\n<input type="text" value="<?php echo attribute_escape($s, 1); ?>" name="s" id="s" \/>\n<\/code><\/pre>\nAlternativ kann auch die Verwendung der Funktion the_search_query()<\/code> genutzt werden.<\/p>\n\n<?php the_search_query(); ?>\n<\/code><\/pre>\n<\/li>\n- \n
Konstanten nutzen<\/h3>\n
Es empfiehlt sich die Nutzung von Konstanten und nicht die \u00dcbergabe einer Variable als Pfadangabe. WordPress stellt daf\u00fcr im Standard eine ganze Reihe von M\u00f6glichkeiten zur Verf\u00fcgung.<\/p>\n
\nTEMPLATEPATH<\/code>
\nOrdner des aktiv genutzten Theme<\/li>\nSTYLESHEETPATH<\/code>
\nOrdner des Stylesheets des aktiv genutzten Themes<\/li>\nABSPATH<\/code>
\nOrder der WP-Installation, dort, wo die wp-config.php<\/code> liegt<\/li>\nWPINC<\/code>
\nOrdner wp-includes<\/code><\/li>\nPLUGINDIR<\/code>
\nOrdner wp-content\/plugins<\/code><\/li>\n<\/ul>\n<\/li>\n- \n
Pr\u00fcfen<\/h3>\n
Der WP-Scanner<\/a> von BlogSecurity pr\u00fcft die genannte Sicherheitsl\u00fccke aus Punkt 1. Es empfiehlt sich diesen Scanner zu nutzen.<\/p>\nUm das eigene Blog zu scannen, muss lediglich ein Kommentar in der header.php<\/em> bzw. index.php<\/em>, falls es keine header.php<\/em> gibt, hinterlegt werden.
\n<!-- wpscanner --><\/code><\/p>\n<\/li>\n<\/ol>\nWeitere Artikel und Referenzen<\/h3>\n\n- BlogSecurity: Common WP Theme Vulnerabilities<\/a><\/li>\n
- WordPress Installation und Betrieb sicherer machen<\/a><\/li>\n
- WordPress Sicherheitsm\u00f6glichkeiten und PHP<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"
Egal ob die Verwendung eines freien, kommerziellen oder selbst erstellten Themes in deinem Weblog zur Verwendung kommt, man kann mittels PHP viele sch\u00f6ne und n\u00fctzliche Funktionen einbauen. Aber durch diese M\u00e4chtigkeit kann man ebenso einfach und unbewusst Sicherheitsl\u00fccken in das System holen. Damit soll keine Angst vor dem Erstellen und \u00c4ndern von Themes und Templates… WordPress Templates sicherer machen<\/span> weiterlesen<\/a><\/p>\n","protected":false},"author":813,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[17],"class_list":["post-115","post","type-post","status-publish","format-standard","hentry","category-mehrwert","tag-sicherheit","entry"],"_links":{"self":[{"href":"https:\/\/bueltge.de\/wordpress-buch\/wp-json\/wp\/v2\/posts\/115","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/bueltge.de\/wordpress-buch\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/bueltge.de\/wordpress-buch\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/bueltge.de\/wordpress-buch\/wp-json\/wp\/v2\/users\/813"}],"replies":[{"embeddable":true,"href":"https:\/\/bueltge.de\/wordpress-buch\/wp-json\/wp\/v2\/comments?post=115"}],"version-history":[{"count":0,"href":"https:\/\/bueltge.de\/wordpress-buch\/wp-json\/wp\/v2\/posts\/115\/revisions"}],"wp:attachment":[{"href":"https:\/\/bueltge.de\/wordpress-buch\/wp-json\/wp\/v2\/media?parent=115"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/bueltge.de\/wordpress-buch\/wp-json\/wp\/v2\/categories?post=115"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/bueltge.de\/wordpress-buch\/wp-json\/wp\/v2\/tags?post=115"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}