Заметки одного программиста

Прошел месяц с тех пор, как я снял защиту Akismet и заменил Simple CAPTCHA на NotCAPTCHA для отсеивания спамеров на своем блоге. Думаю, пора подвести некоторые итоги использования такой комбинации защиты.

Читать далее…

Сегодня мой метод борьбы со спамом на блоге, похоже, перестал работать. Дело в том, что я обнаружил в папке со спам-комментариями 4 комментария. Это были интересные комментарии. Один, по сути, был трэкбэком на пост (и тут я узнал, что Akismet режет еще и трэкбеки). Остальное – голимым спамом. Спам-комментарии спокойно предлагали мне воспользоваться всякой херней, причем совершенно не по теме поста. Почему-то Akismet не порезал такой трэш, а лишь поместил в папку со спамом (то, что Akismet однозначно определяет как спам в этой папке даже не появляется). Еще я понял, что, судя по всему, SimpleCAPTCHA, которую я использовал для отсеивания спам-постов от ботов, пробита. Как она пробита – я, конечно же, не знаю. Может её действительно научились распознавать, а может, её просто пробивают тысячи китайцев, работающих во имя великого блага и спамеров. Вы знаете, проблема с каптчей меня не сильно напрягает, но вот немного свихнувшийся Akismet – очень даже. Ведь каптчу можно заменить на другую, можно поменять методы определения и всё такое, а вот автоматическую резалку спама, которая до недавнего времени работала почти без нареканий, скорее всего нет.

Я порыскал немного в поисках новой каптчи и нашел интересный плагин NotCAPTCHA. Интересен он методом определения – необходимо поворачивать картинки так, как написано в задании. Это ненапряжно для пользователя, а главное, похоже, что этот метод еще никак не обходится ботами. Что же, отключаю Akismet и SimpleCAPTCHA, посмотрю, как себя покажет в работе этот плагин, окажется ли правильным то неавенство, которое я записал в заголовке поста.

Итак, разработчики Wordpress зарелизили новую версию этого популярного движка – 2.9. Произошло это событие 19го числа. Релиз весьма крупный – около 500 поправок с версии 2.8. На странице по ссылке выше вы можете прочитать список всех изменений и посмотреть видео с демонстрацией новых функций движка. Русский Wordpress пока еще не вышел, но, я думаю, это произойдет со дня на день.

P.S.: Интересно, как у новой версии с потреблением ресурсов и как скажется обновление на общей производительности по сравнению с чистой установкой WP…

UPD: Как оказалось, к сегодняшнему дню русская версия движка уже вышла, так что простите за дезу)). Скачать ее можно тут. А вот тут один хороший человек описал, как он поставил себе новую версию движка и что получилось из этого.

Если вы, мои дорогие читатели, частенько бываете в пути, да к тому же у вас есть блог, в который нетерпится написать пост, вы можете воспользоваться программой для блоггинга. Для Windows Mobile я нашел две бесплатных программы для моблоггинга (да, это уже устоявшийся термин и явление): moBlog и Pocket Sharp MT. Программы, кроме интерфейса, принципиально ничемне отличаются. Различия в деталях. Например в Pocket sharp MT есть инструмент для вставки кода ссылки и еще два настраиваемых “тега”, позволяющих легко вставлять HTML-код.Обе программы используют несколь протоколов публикации XML-RPC, так что при их помощи мжно писать не только в Wordpress. Итак, для того, чтобы начать моблоггинг, небходимо (на примере Wordpress) в настройках написания включить XML-RPC. Далее создаем профиль (на примере moBlog) и заполняем настройки:

И все! Единственное, что еще требуется – доступ в Интернет)).

Конечно же, для других платформ существуют свои программы, которые вы можете использовать для моблоггинга. Кстати, этот пост я написал при помощи moBlog. Ощущения – если бы у моего коммуникатора была QWERTY-клавиатура, было бы просто здорово!))

Я уже упоминал ранее про отсутствие поддержки некоторых параметров CSS3 в Opera. В интернете есть определенное количество материала по тому, как сделать нужные нам уголки без CSS3. Но  при смене темы я не стал специально для Opera прописывать эти стили. Почему? Если вы откроете исходный код страницы, генерируемой Wordpress, вы увидите, что он достаточно громоздок. Именно это и послужило причиной. Нет, ребята, мне очень нравится Opera, но мне как-то не нравится лепить костыли к теме/движку для решения этой проблемы, пусть даже я использую этот браузер уже несколько лет. Если, всё же, вам захочется сделать это, то вот, к примеру, сервис, который сгенерирует для вас код, вам останется только указать цвета. Этот сервис использует один из самых распространенных методов создания сткруглённых углов – при помощи CSS и тега <B>. Существую также и более сложные способы, например с применением JavaScript. В любом случае, CSS- и HTML-код придется причесывать конкретно. Ведь не стоит забывать о правилах наследования стилей CSS.

P.S.: Пока писал пост, всерьез задумался – а может-таки сделать нормальные уголки для Оперы?.. Жду ваших советов.

Захотелось чего-то нового, и решил я сменить тему блога. Подыскал в интернете тему покрасивее, подыскал красивую картинку в фон, чтобы радовала глаз, и приступил к издевательствам над темой . Кстати на фотографии запечатлен западный берег Окленда, что в Новой Зеландии. Где взял – не скажу)) – найдете сами, если захотите. Колупался я с темой долго – она не была переведена, к тому же пришлось ручками вставлять некоторые плагины и по ходу дела узнавать интересности CSS3, которая использована в этом шаблоне. Так что скругленные углы различных блоков этой темы в Опере вы пока не увидите (поддержка скругленных углов обещается разработчиками в Presto 2.3, текущая версия движка Opera – 2.2.1 для Opera 10.0). С руссификацией админки я особо не заморачивался – инглиш мне понятен, главное чтобы посетитель сайта не был обескуражен кашей из разных языков. Времени у меня это заняло несколько часов (примерно 6-8), плюс пару часов я проколупался с навигацией (номера страниц внизу сайта). Очень долго. Впрочем, это мой первый опыт модификации шаблона, с версткой я доселе был знаком только понаслышке, поэтому вполне законно могу себя в этом оправдать – все-таки я программист, а не верстальщик . Сменой темы очень рад и очень жду ваших комментариев по поводу нового оформления и ваших голосов – специально для этого добавил голосование. Ваша конструктивная критика только приветствуется

Прошло около полутора месяцев с выхода последнего обновления WordPress, исправляющего в нем уязвимость. И вот, позавчера стало известно о новой дырке в этом популярном движке. В этот раз уязвимость найдена в файле wp-trackback.php. Уязвимость позволяет провести DoS-атаку на уязвимый блог. Новая версия (2.8.5) движка, убирающая уязвимость, уже вышла, скачать ее можно тут. Уязвимость можно пофиксить вручную. Для этого надо добавить следующие строки в файл wp-trackback.php:

function ft_stop_trackback_dos_attacks(){
       global $pagenow;
       if ( 'wp-trackback.php' == $pagenow ){
               // DoS attack fix.
               if ( isset($_POST['charset']) ){
                       $charset = $_POST['charset'];
                       if ( strlen($charset) > 50 ) {  die; }
               }
       }
}
add_action('init','ft_stop_trackback_dos_attacks');

Свежая русская версия, надо полагать, на подходе. Так что, сторонникам официальных апдейтов придется немного подождать

Многие блоггеры, следящие за уровнем безопасности своих wordpress-блогов, знают, что около месяца назад была найдена уязвимость в движке Wordpress, позволяющая сбросить пароль администратора блога несложным HTTP-запросом. Уязвимость актуальна для движка версии до 2.8.3 включительно. Однако немногие обновляют свои блоги своевременно. Именно на блоги таких пользователей и направлен новый Wordpress-вирус. Вирус работает примерно так (мой вольный перевод)) ): регистрирует новую учетную запись пользователя, использует уязвимость для выполнения кода через структуру ЧПУ (человеко-понятные УРЛы, они же “постоянные ссылки”, они же permalinks), найденную ранее, повышает свои права до администраторских. Затем использует JavaScript для того, чтобы спрятать себя из списка пользователей. В процессе выполнения вирус спамит ваши старые посты. Далее вирус пытается почистить за собой по окончании работы.

Присутствие вируса сложно обнаружить, тем более если он ещё ничего не опубликовал. Для обнаружения нужно проверить фид permalinks/rss на присутствие кода:

%&({${eval(base64_decode($_SERVER[HTTP_REFERER]))}}|.+)&%/

или

“/%&(%7B$%7Beval(base64_decode($_SERVER%5BHTTP_EXECCODE%5D))
%7D%7D|.+)&%

или ошибки

‘error on line 22 at column 71: xmlParseEntityRef: no
name wordpress’

Если такой код присутствует или фид “сломан”, то блог инфицирован. Здесь можно почитать, как избавиться от заразы, а здесь – как обновиться. Ну а вот тут – как обезопасить свой блог от “набегов” подобной гадости))

Заметил, что стандартная поставка/настройка шрифтов для Ubuntu вообще и для ее QT в частности какая-то не очень адекватная. Вот как отобразила Opera мой же блог (в данном случае был использован blockquote, шрифт которого в ксс-ке был прописан как monospace):

Получается, что Кириллица отображается шифтом Courier, а латинский текст – BitStream Vera Sans Mono. странновато, учитывая, что Bitstream – вполне себе юникодный шрифт, который кириллицу очень даже адекватно отображает… Надо посмотреть другие шрифты.

Перед установкой Wordpress пробовал поднять блог на Cotonti (cms на основе seditio). Поднял, добавил несколько записей. Потом отказался в пользу Wordpress из-за простоты последнего(Cotonti изначально неблоговый движок, его бы использовать в проектах посерьезнее). Сейчас, пощелкав по страничкам, отметил, что Cotoni гораздо шустрее Wordpress. Такое вот маленькое наблюдение для себя на будущее. Пригодится, если вдруг начну свою сетку сайтов клепать:)