ปลั๊กอินของโฟลเดอร์ควรรวมไฟล์ index.php เปล่าหรือไม่

16

WordPress ในwp-contentโฟลเดอร์นั้นมีไฟล์ PHP เปล่าซึ่งมีหน้าตาแบบนี้

<?php
// Silence is golden.
?>

ปลั๊กอินควรมีไฟล์ว่างแบบนี้และหยุดดูการดูเนื้อหาของไดเรกทอรีหรือไม่? สิ่งที่เกี่ยวกับโฟลเดอร์เพิ่มเติมในรูปแบบ - เช่นincludesไดเรกทอรีหรือไม่?

plugin-development theme-development

— chrisguitarguy
แหล่งที่มา

1

ใช่มันอาจเป็นความคิดที่ดี ไม่เคยเข้าใจว่าทำไม WP จึงไม่มีOptions –Indexeshtaccess ที่ให้มาดังนั้นไฟล์เหล่านี้จึงไม่จำเป็น ...

— onetrickpony

17

ไม่พวกเขาไม่ควร หากปลั๊กอินมีช่องโหว่เพียงเพราะบางคนอาจเห็นโครงสร้างไดเรกทอรีของปลั๊กอินนั้นขาด ข้อผิดพลาดเหล่านี้ควรได้รับการแก้ไข
การรักษาความปลอดภัยผ่านความสับสนเป็นข้อผิดพลาดสำหรับตัวเอง

มันขึ้นอยู่กับเจ้าของเว็บไซต์ที่จะอนุญาตหรือห้ามการเรียกดูไดเรกทอรี

ปัญหาที่สองคือประสิทธิภาพ: WordPress สแกนไฟล์ PHP ทั้งหมดในไดเรกทอรีรากของปลั๊กอินเพื่อค้นหาส่วนหัวของปลั๊กอิน /wp-content/plugins/wpse-examples/นี้จะช่วยให้คุณมีปลั๊กอินหลายภายใต้ไดเรกทอรีเดียวกันเช่น

นอกจากนี้ยังหมายความว่าไฟล์ PHP ที่ไม่ได้ใช้ในไดเรกทอรีนั้นเสียเวลาและหน่วยความจำเมื่อ WordPress กำลังค้นหาปลั๊กอิน ไฟล์หนึ่งไฟล์จะไม่ทำอันตรายอะไรมาก แต่ลองจินตนาการว่านี่จะเป็นเรื่องธรรมดา คุณกำลังสร้างปัญหาที่แท้จริงในความพยายามที่จะแก้ไขตัวละคร

— fuxia
แหล่งที่มา

2

"มันขึ้นอยู่กับเจ้าของเว็บไซต์ที่จะอนุญาตหรือห้ามการเรียกดูไดเรกทอรี" นั่นอาจเป็นประเด็นสำคัญ

— chrisguitarguy

และคำถามหลักของฉันคือทำไมไฟล์ปลั๊กอินหลักไม่ได้เขียนไว้index.php? ที่อาจเป็นวิธีแก้ปัญหาที่ดีที่สุด

— T.Todua

10

ฉันจะบอกว่าใช่ การรักษาความปลอดภัยด้วยความสับสนนั้นทำงานได้ถ้าคุณมัว แต่คลุมเครือมากขึ้นแล้วก็เป็นเพื่อนบ้านของคุณ :) (พูดเล่น แต่มีความจริงบางอย่าง)

ความจริงก็คือตอนนี้บอท / สแกนเนอร์รวบรวมรายการปลั๊กอินทันทีจาก wordpress.org และรวบรวมข้อมูลปลั๊กอินของ url โดยตรงเวอร์ชันลายนิ้วมือเพื่อหาช่องโหว่ที่รู้จักและเก็บข้อมูลในฐานข้อมูลเพื่อการอ้างอิง

บอทไม่สามารถรวบรวมข้อมูลในการติดตั้งของคุณหรือปล่อยให้มันเป็นผู้สร้างปลั๊กอินเพื่อให้แน่ใจว่าคุณปลอดภัย เกี่ยวกับทั้งสองวิธี

PS ในบันทึกด้านมี 186 รายงานการหาประโยชน์จากปลั๊กอิน wordpress.org เมื่อปีที่แล้ว (* รายงาน .. )

— คก์
แหล่งที่มา

1

สแกนเนอร์ใช้ประโยชน์ไม่ได้ทดสอบว่ามีปลั๊กอินอยู่หรือไม่ พวกเขาพยายามเรียกใช้การหาประโยชน์ในระหว่างการร้องขอครั้งแรก ที่ว่างเปล่าindex.phpจะไม่ปกป้องอะไรคุณเพียงแค่จะได้รับความปลอดภัยที่ผิดพลาด

— fuxia

แต่พวกเขาทำเช่นสแกนลายนิ้วมือ wp (หนึ่งในหลาย) มากกว่าปลั๊กอิน 2,400 และใช้ลายนิ้วมือที่ดีในการตรวจสอบรุ่น (ขนาดไฟล์การเพิ่มไฟล์ ฯลฯ )

— Wyck

ฉันทำความสะอาดเว็บไซต์ WordPress ที่ถูกแฮ็กหลายสิบรายการ เกือบทุกครั้งที่มีการร้องขอครั้งแรกคือการโจมตีที่แท้จริง นั่นเป็นเหตุผล: ทำไมเสียเวลาด้วยการสแกนอย่างละเอียดหากคุณสามารถทดสอบความเสี่ยงในคำขอแรกได้หรือไม่ ติดตามยุค 404 ของคุณเพื่อดู :)

— fuxia

1

ฉันเห็นด้วยนี้ควรขึ้นอยู่กับผู้ใช้ไม่ใช่ผู้เขียน แต่ฉันไม่คิดว่ามันจะเจ็บปวด ฉันแค่ต้องการเพิ่มจุดนับตั้งแต่คุณพูดว่า "ไม่"

— Wyck

1

ทำเครื่องหมายรายการนี้ว่ายอมรับเนื่องจากการอภิปรายแสดงความคิดเห็น!

— chrisguitarguy

1

เนื่องจาก WordPress core ทำสิ่งนี้เหมาะสมสำหรับปลั๊กอินตามความเหมาะสม แม้ว่าสิ่งเหล่านี้จะได้รับการปกป้องด้วยการตั้งค่าฝั่งเซิร์ฟเวอร์ที่หลากหลาย แต่ก็ไม่ได้ทำให้การตั้งค่าเริ่มต้นเป็นไปได้

— BFTrick
แหล่งที่มา

0

ดังที่ fuxia ชี้ให้เห็นมีข้อเสียเปรียบด้านประสิทธิภาพในการมี.phpไฟล์พิเศษที่ WordPress ใช้สแกนหาปลั๊กอิน index.htmlอาจจะเป็นตัวเลือกที่ดี แน่นอนว่าตัวเลือกที่ดีที่สุดคือห้ามมิให้ไดเรกทอรีเรียกดูเว็บเซิร์ฟเวอร์

และความปลอดภัยผ่านความสับสนก็ไม่ดีเช่นกัน

— อเล็กซ์
แหล่งที่มา