Привет, дорогие читатели! Уже второй день я катаюсь на сноуборде в Хибинах, тут снежно, солнечно и очень здорово! В конце отчета читайте подробности.

Если вы решили создать свой блог на WordPress и подыскиваете подходящую тему, то мой сегодняшний пост для вас. Но и тем, кто уже знаком с Вордпрессом, будет полезно ознакомиться с информацией этого обзора. Речь пойдет про плагин TAC (Theme Authenticity Checker). Он обеспечивает проверку шаблона на ссылки, которые могут быть встроены в скачанную вами тему.

Для чего нужен TAC?

С такой проблемой могут столкнуться те, кто скачал тему не с официального сайта WordPress — wordpress.org/themes, а с других сторонних источников. В такие шаблоны могут внедрять скрытые для вас, но открытые для индексации поисковиков ссылки. А лишние ссылки, т.е. не просто те, которые ведут на сайт разработчиков, а спамные, которые захламляют ваш сайт, никому не нужны. Здесь-то нам на помощь и приходит плагин TAC для WordPress.

Он очень простой в использовании и единственная его функция – отыскать в теме закодированные, либо обычные статические ссылки. Обычно их располагают в футере или в сайдбаре.

Работа с плагином TAC: удаление статических ссылок

Скачать Theme Authenticity Checker можно с официального сайта — wordpress.org/plugins/tac , либо найдите его в поиске раздела установки плагинов.

После установки активируем его и находим в админ-панели (Внешний вид – TAC). Он автоматически определяет все ли в порядке с вашей темой. На рисунке ниже приведен один из примеров того, что может показывать плагин TAC для WordPress-темы.

В данном случае мы видим, что он определил, что с темой все ОК. Однако есть 3 статические ссылки, просмотреть которые можно, нажав «Details».

Как видим, TAC определил, в какой части шаблона находятся ссылки – в footer.php. Оттуда нам предстоит их удалить.

Перед тем, как приступить к удалению, обязательно сделайте .

После того, как вы сделали бэкап, заходите в файл footer.php, находите все перечисленные выше ссылки и убирайте их от a> до .

Затем проверяете, как работает сайт. Если вдруг вы не можете зайти в админку, это значит, что в файле functions.php введены ограничения на удаление данных ссылок. В этом случае, замените измененные файлы шаблона на те, которые вы ранее сохранили. Зайдите в файл functions.php и найдите там такую строку: vs (fgecbf ($p,$y)==0 . В ней нужно заменить 0 на 1. После этого вновь удалите ссылки.

Как избавиться от зашифрованного кода?

Второй вид сообщения, которое может показать ТАС – это «». Вот пример:

В данном случае, кроме статической ссылки, есть также зашифрованный код методом base64. На картинке видно, что находится он в сайдбаре. Line 89 – указывает номер строки, где размещен код. Но для того, чтоб его удалить, для начала нужно его расшифровать. Вы можете попробовать сразу удалить его, но он может содержать и нужные элементы.

Находите по номеру строчки код в файле sidebar.php (в вашем случае он может также находиться в footer.php). Выглядеть он может примерно так:

Копируйте весь этот набор букв и цифр. Для его расшифровки понадобиться специальный сервис. Вот один из них: base64-encoder-online.waraxe.us

Вставляйте код в пустое поле и нажмите «Decode data»:

Сервис преобразует зашифрованный код в привычный нам. В нем нужно найти те части, которые отвечают за вывод ссылки (a href). Теперь мы видим обычный статический код, который находим в файле сайдбара и, по аналогии с вышеописанным способом, удаляем.

После этого еще раз проверьте тему с помощью плагина ТАС. В идеале он должен показать «Theme OK!» и отсутствие статических ссылок.

На этом работа с данным плагином окончена, и его нужно деактивировать, а лучше удалить, чтобы не хранить лишний мусор.

Смотрим видео о плагине, если остались вопросы:

Второй способ проверки шаблона на ссылки

Бывает, что плагин не находит всех ссылок. Поэтому рекомендую еще раз просмотреть код глазами. В браузере щелкните правой кнопкой мыши по рабочей области и выберите «Исходных код» (в разных браузерах название может отличаться). Глазами просмотрите html-код вашего сайта на наличие внешних ссылок. Можно воспользоваться поиском (Ctrl+F), введя в поле <а и просмотрев все найденные ссылки.

P.S. В этом году нас собралось шестеро для катания в Хибинах. Снимаем трехкомнатную квартиру за 400р. в сутки с человека недалеко от городского склона. Целыми днями катаемся по разным трассам, а вечерами развлекаемся дома. Сегодня я решила временно поменять сноуборд на лыжи, взяла их у подруги и начала учиться. Зацените фотки:

Так будку на вершине горы ветер облепил снегом:

С каталки прихожу обессиленная, поэтому разбираться с вопросами в комментариях пока времени не найду. Желаю и вам снежных зим, пока!

Доброго времени суток, посетители сайт! Сегодня я хочу рассмотреть следующий вопрос: защита блога на WordPress.
Это один из важных вопросов, о решении которого нужно позаботиться сразу же после создания блога на WordPress. Я постараюсь перечислить основные способы защиты блога на WordPress.

Защищаем вход в панель администратора

1. Данные для доступа в админку . Придумайте сложный пароль для доступа в админку, а также смените стандартное имя админ, на любое другое свое. Для этого создайте нового пользователя с новым именем и установите ему права доступа администратора. После этого выйдите из админки и зайдите под новыми данными. После этого удалите учетную запись админа. Сделав это Вы обезопасите блог от взлома.
2. Пароли . Не храните пароли от админ панели в браузере. Если Вы используете Total Commander для FTP-доступа к сайту, то тоже не рекомендуется хранить там пароль. позаботьтесь о защите своего компьютера - установите хороший антивирус и файерволл.
3. Ограничение на количество попыток входа в админку . Установите плагин Login LockDown, который автоматически настроен на ограничение неудачных попыток входа в админку. Дается 3 попытки для ввода данных, после этого доступ к странице будет заблокирован на час. Подробнее о защите админки
4. Последняя версия WordPress . Используйте последнюю версию движка WordPress, а также не забывайте обновлять плагины до последних версий. Как обновить движок WordPress написано .

Скрываем версию WordPress

Установите плагин, который скрывает версию WordPress при просмотре кода страницы. Этот плагин называется Replace WP-Version. Если не хотите создавать дополнительную нагрузку плагином, то тогда Вам нужно в файле header.php удалить следующую строчку кода:” />.

Как посмотреть версию движка, который установлен на Вашем сайте. Зайдите в админку и в самом верху перейдите в пункт меню Консоль - Главная. Если Вам предлагают обновиться до новой версии, то не игнорируйте это предложение и уделите пару минут обновлению.

А как узнать какая версия WordPress у любого другого блога? Нужно открыть исходный код страницы анализируемого сайта, нажав комбинацию клавиш CTRL+U и в самом верху найти мета тэг:

;

Есть два способа скрыть версию движка WordPress.

1. Установите плагин Replace WP-Version. Все что нужно - установить и активировать его. И он сам скроет информацию о версии вордпресс.
2. Добавить в файл functions.php небольшой код: remove_action("wp_head", "wp_generator");

Проверяем шаблон блога на уязвимости

На безопасность Вашего блога может повлиять тема, которую Вы скачали из интернета и в которой содержится зашифрованный код. Поэтому следует проверить установленную тему на наличие скрытых кодов плагином TAC.

В админке блога находим раздел Плагины - нажимаем Добавить новый - и в открывшемся окне вводим в строку поиска его название: TAC.

Устанавливаем плагин TAC и активируем его. Для открытия страницы плагина, найдите в разделе Внешний вид - нажмите TAC. Откроется страница на которой будут представлены результаты поиска закодированных ссылок по всем установленным темам на сайте. Вот пример темы, в которой найден зашифрованный код "base64_decode" в файле сайдбара.

Зашифровали эту ссылку для того, чтобы вы не смогли ее сразу удалить. Расчет идет на то, что вы как новичок, смиритесь с ее наличием. Предлагаю вам самостоятельно разобраться тем, как удалять подобные ссылки. Вопросу посвящена отдельная статья, прочтите ее.

Защита файлов сайта

1. WP-Security Scan . Данный плагин подскажет, какие уязвимости есть на Вашем блоге и что нужно исправить. Подробнее о плагине WP-Security Scan я напишу в отдельной статье. К примеру, он показывает какие права сейчас стоят на папках и какие должны быть, чтобы обеспечить защиту блога на WordPress.
2. Доступ к папкам . Введите в адресную строку по очереди эти адреса
   http://ваш домен/wp-content/
   http://ваш домен/wp-content/plugins/
   По каждой из ссылок должна открыться чистая страница. Если же открывается список фалов или что-то другое, то Вам нужно поменять права доступа к папкам.
3. Хостинг . Какое отношение к безопасности блога имеет хостинг - скажете Вы. Да самое прямое. На форумах иногда можно встретить темы, в которых люди пишут, что их блог погиб из-за некачественного хостинга, который взломали. Выбирайте для своего сайта сразу , который обезопасит Ваш блог от подобных проблем в будущем.

Делайте бэкапы

Не поленитесь и установите плагин WordPress Database Backup, который автоматически делает резервные копии базы данных и отправляет на указанный имейл. Также, если Вы решили доработать стандартный шаблон и сделали кое-какие правки в файлах темы, то потратьте в минуты и скачайте на компьютер папку с обновленным шаблоном. В случае чего, у Вас будет под рукой и архив базы данных и темы, что позволит восстановить блог за пару минут.

Скачайте последнюю версию плагина WordPress Database Backup с сайта wordpress.org . Или через поиск плагинов найдите WP-DB-Backup.

После успешной установки и активации, зайдите в раздел Инструменты – Резервное копирование :

На странице настроек плагина WordPress Database Backup можно указать дополнительно какие таблицы базы данных сохранять, кроме основных. Сделать резервную копию базы данных и сохранить ее на компьютер или отправить на имейл. А также задать расписание автоматического создания резервной копии базы данных и отправки ее на имейл:

На установку и настройку плагина WordPress Database Backup у Вас уйдет пару минут, но зато в будущем в случае чего это сохранит Вам кучу нервов и времени.

Надеюсь эти советы помогут Вам сделать свой блог более безопасным. Защита блога на WordPress важна, если Вы не хотите в один день потерять результаты работы и начинать все с чистого листа.

Если Вам известны другие методы защиты блога на WordPress, которых нет в списке, то пишите их в комментариях.

Начнем с небольшого отступления.

Не секрет что большинство разработчиков шаблонов для WordPress встраивают в свое детище ссылки на свой сайт. Это можно сказать плата за использование бесплатного шаблона – и вам хорошо и ему.

Однако иногда недобросовестные создатели шаблонов (а зачастую переводчики или даже просто не имеющие отношение к созданию шаблона редиски, выложившие шаблон на скачивание 🙂) встраивают свои рекламные ссылки в большом количестве, что никак не может радовать.

В моем шаблоне, к примеру, таких ссылок было 6! При этом стояла защита от удаления этих ссылок и даже редактирования. В противном случае шаблон просто переставал работать, так что мне пришлось изрядно попотеть, что бы решить эту проблему) Но это уже другая тема.

Так же в такие шаблоны могут прописать вредоносный код , что тоже не есть хорошо.

В общем, думаю, вы поняли, что не все йогурты шаблоны одинаково полезны 🙂

Так вот нам на помощь спешит плагин .

Что делает плагин Theme Authenticity Checker (TAC) ?

Он проверяет темы оформления на наличие вредоносного кода, ссылок, а так же зашифрованного кода.

После установки плагина у вас в разделе Дизайн появляется кнопка TAC.

Жмите ее и открывается экран с результатами проверки ваших тем оформления.

У меня темы были без шифрованых кодов поэтому я прикрепляю скрин с оф. сайта вордпресса

Если вы у себя увидите в темах красную надпись, что обнаружен зашифрованный код, или же количество ссылок будет слишком большим, то лучше не связывайтесь с ней, а поищите какую-то другую. Или же скачайте шаблон с официального сайта и проверьте его – как правило, там не должно быть неприятных сюрпризов, однако в таком случае придется уже переводить самому.

Scan all of your theme files for potentially malicious or unwanted code.

What TAC Does

TAC stands for Theme Authenticity Checker. TAC searches the source files of every installed theme for signs of malicious code. If such code is found, TAC displays the path to the theme file, the line number, and a small snippet of the suspect code. As of v1.3 TAC also searches for and displays static links.

Then what do you do? Just because the code is there doesn’t mean it’s not supposed to be or even qualifies as a threat, but most theme authors don’t include code outside of the WordPress scope and have no reason to obfuscate the code they make freely available to the web. We recommend contacting the theme author with the code that the script finds, as well as where you downloaded the theme.
The real value of this plugin is that you can quickly determine where code cleanup is needed in order to safely enjoy your theme.

TAC got its start when we repeatedly found obfuscated malicious code in free WordPress themes available throughout the web. A quick way to scan a theme for undesirable code was needed, so we put together this plugin.

After Googling and exploring on our own we came upon the article by Derek from 5thiryOne regarding this very subject. The deal is that many 3rd party websites are providing free WordPress themes with encoded script slipped in – some even going as far as to claim that decoding the gibberish constitutes breaking copyright law. The encoded script may contain a variety of undesirable payloads, such as promoting third party sites or even hijack attempts.

Screenshots

Installation

1. Go to Appearance -> TAC in the WordPress Admin

FAQ

Installation Instructions

After downloading and extracting the latest version of TAC:

1. Upload tac.php to the /wp-content/plugins/ directory
2. Activate the plugin through the ‘Plugins’ menu in WordPress
3. Go to Appearance -> TAC in the WordPress Admin
4. The results of the scan will be displayed for each theme with the filename and line number of any threats.
5. You can click on the path to the theme file to edit in the WordPress Theme Editor

What if I find something?

Contact the theme’s original author to double check if that section of code is supposed to be in the theme in the first place – chances are it shouldn’t as there isn’t a logical reason have obfuscated code in a theme.

If something is malicious or simply unwanted, TAC tells you what file to edit, you can even just click on the file path to be taken straight to the WordPress Theme Editor.

Why does TAC list static links?

First of all, static links aren’t necessarily bad, TAC just lists them so you can quickly see where your theme is linking to.

What about future vulnerabilities?

As we find them we will add them to TAC . If you find one, PLEASE let us know:
Contact builtBackwards or post in the

Changelog

Version 1.5.2
* Compatible with WP 3.9.3

Version 1.5.1
* Compatible with 3.8

Version 1.5

• Compatible with 3.4
• Updated deprecated function calls to current
• Updated visible display names for sanity
• Capitalized all ‘P’s in WordPress 🙂
• Fixed PHP warning messages from uninitiated variables

Version 1.4.1

• Compatible with WordPress 2.9
• Added alt tags to theme screenshots

Version 1.4

• Compatible with WordPress 2.8!
• Tested in Firefox 3.0.11 and Internet Explorer 8
• JavaScript hiding/showing of theme details

Version 1.3 (Fixes + New Feature)

• Changed title to “Theme Authenticity Checker”, same acronym, makes more sense
• Compatible with WordPress 2.2 – 2.6.1
• NEW! Checks for embedded Static Links
• NEW! Direct links for editing suspicious files in the WordPress Theme Editor
• Improved the CSS
• Uses its own function to get theme file paths

Version 1.2 (Fixes)

• Band-aid fixes to theme file paths that were altered by the update to get_themes() in WordPress 2.6
• This release is only compatible with WordPress 2.6

Version 1.1 (Fixes)

• Style sheet doesn’t explode any more when certain threats are detected
• Modified code snippet output to prevent interfering with page structure
• Improved styling for slightly more appealing output

Version 1.0 (First Release)

• This is the initial release of TAC.

Плагин Theme Authenticity Checker (TAC) помогает найти и удалить внешние ссылки и вредоносные коды в теме WordPress. Перед установкой новой темы всегда нужно проводить такую проверку. Сейчас мы ее с вами попробуем осуществить.

Работа с плагином Theme Authenticity Checker (TAC)

Скачать TAC (Theme Authenticity Checker ) можно бесплатно в официальном каталоге WordPress. После активации заходим в меню «Внешний ви д» —> «TAC ».

Здесь выдается вся информация об установленных тем оформления. Чтобы посмотреть предупреждения безопасности, нажмите на кнопку «Details ». Она будет находиться возле нужной вам темы.

У меня для примера установлено несколько тем. Сейчас мы их рассмотрим.

Безопасные темы

Темы с зеленым квадратиком обозначаются как безопасные. То есть в них не обнаружено никакого вредоносного кода или внешних ссылок.

К сожалению, таких полностью безопасных тем вы не найдете. Если только кроме стандартной темы WordPress.

Так что, если не хотите тратить время, то можете установить стандартный вариант. Он по умолчанию установлен в саму CMS.

Стоит сказать, что плагин TAC не самое подходящее решение для поиска вредоносного кода на сайте. Мало того, что он только темы сканирует, так и не все уязвимости может найти. Находит только самые распространенные.

Поэтому его если и использовать, то только в качестве предварительной быстрой проверки. Все же, для тщательного анализа нужны более продвинутые сканеры вредоносного кода.

Темы с внешними ссылками

Могут попадаться темы одновременно с зеленым квадратиком «Theme Ok! » (1) и с белым квадратиком «Statik Link(s) Found…» (2) . Таким действием, плагин TAC говорит, что данная тема безопасна для нас. Но в ней обнаружено несколько внешних ссылок.

Плагин Theme Authenticity Checker показывает внешние ссылки в теме

В качестве примера мы рассмотрим стандартную классическую тему WordPress с названием «Default ».

Итак, плагин у меня нашел в ней несколько внешних ссылок (4) .

Посмотрите внимательно!

Плагин нам выдает те строчки (3) , которые нужно удалить. В моем случае — это от открывающего тега и закрывающего тега .

С правой стороны (5) мы можем узнать, в каких файлах эти строчки прописаны. В моем случае, это файл footer.php и sidebar.php .

Теперь мне нужно зайти в редактор и найти свою тему. Зайти в нужный файл, найти и удалить ту строчку (3) , которую высветил плагин TAC.

Опасные темы

И наконец есть третий тип тем, которые несут за собой куда более скрытую угрозу. В качестве примера я выбрал один привлекательный вариант, который скачал с интернета.

После проверки, плагин TAC для WordPress высветил эту тему специальным красным квадратиком (6). Это означает, что данный вариант содержит вредоносные коды, которые могут принести значительный вред сайту.

С помощью таких зашифрованных кодов, злоумышленникам в будет легче взломать ваш сайт или блог. Поэтому такие темы я рекомендую обходить стороной и не ставить на свой проект.

На рисунке видно, что плагин высвечивает красным эти коды.

К сожалению, он не высвечивает полностью код, а только его начало. Зашифрованный код плагин заключает в кавычки. На рисунке отмечено черной линией.

Если решитесь удалять такие зашифрованные коды, то обязательно сделайте резервную копию сайта. Ведь не факт, что после удаления, проект будет нормально работать.

Когда проверили тему на наличие вредоносного кода и внешних ссылок, и все исправили, то плагин TAC можете удалить.

Больше он вам не пригодиться.