wopus.org

Tag: wordpress

  • WordPress一键安装：WordPressQI

    一，什么是WordPress QI?

    WordPress QI是一个单独的WordPress的安装文件，WordPress QI最大的两个特点：一个是无需上传WordPress程序，也不用管WordPress目录本身的权限。

    使用WordPress QI安装WordPress和在WordPress.org下载程序，然后上传到空间再安装的效果毫无差别。

    WordPress QI的使用条件？WordPress QI的使用条件和WordPress对环境的要求一样。

    目前官方提供两个版本下载。一个是BETA版，一个是Nightly Build版本。

    使用方法：

    • 下载并解压文件。
    • 把install.php文件上传到public_html目录下。
    • 域名解析成功之后，使用：http://yourdomains/installer.php安装。
    • 按着提示安装即可。

    有哪些朋友会使用WordPress QI？
    1，使用国外主机而没有SSH又不会使用Cpanal的朋友。
    2，使用国内主机，不会使用DA，也没SSH的朋友。
    3，偷懒，节省时间的朋友。

    这已经是Wopus介绍的第三款WordPress一键安装程序了，两外两个请参看：两款实现一键安装WordPress的程序

    WordPress QI官方地址：http://wpquickinstall.com/

  • WordPress 2.8.5正式版发布

    来自WordPress官方的消息：

    虽然WordPress开发人员已经在完善WordPress 2.9的功能，但是随着WordPress的流行，越来越多的朋友开始关注WordPress，于是，WordPress的安全问题也日益被暴露出来。所以，WordPress开发人员不得不重新回头去修复已经确认的数个WordPress 2.8版本的安全漏洞，毕竟目前WordPress 2.8版本是用户使用的主流。

    WordPress 2.8.5修复问题列表：

    • 修复Trackback拒绝服务攻击。
    • Removal of areas within the code where php code in variables was evaluated.
    • 修改WordPress附件上传函数。
    • 从低版本插件中隐藏了两个无关因要的标签数据。

    目前在WordPress控制面板已经有升级提示，有升级需要的用户可以及时通过WordPress的一键升级功能完成升级。

    也可以到WordPress.org下载，覆盖升级。（请先备份数据库，请不要跨版本升级！）

    在WordPress官方博客里，还介绍了一个插件：WordPress Exploit Scanner，可以方便检测数据库中日志和评论的可以数据，也能检测出来可以的插件目录名称。

    关于WordPress 2.8.4的漏洞，有兴趣的朋友可以看看这里：New 0-Day WordPress Exploit。

    最后重复以前说过的一句话，WordPress的漏洞今后会越来越多，所以，各位都注意点！

    延伸阅读：去除WP 2.8新版本升级提醒

  • WordPress禁止蜘蛛抓取某日志

    WordPress 的日志公开度分为公开、密码保护、私人这三类还不是很完善，应该还可以分出一类：半公开。也就是说某篇日志允许朋友通过友情链接、RSS 订阅或者其他搜索以外的方式访问，但是这篇日志将不被搜索引擎收录。我想到的第一个解决方案就是用 robots.txt，但是每次写半公开日志都要更新 robots.txt 有些麻烦，而且我不希望 robots.txt 文件特别冗长。于是第二个解决方案诞生了，那就是用强大的自定义域，方法和之前提到的首页缩略图有相似之处。

    首先在 header.php 中的 之间加入以下代码：

    < ?php $private = get_post_meta($post->ID, ‘noindex’, true);
    if (!empty($private)) {
    echo ‘‘;
    }
    ?>

    然后在日志编辑器中添加新自定义域，名称为 private，值可以是任意非空字符串，建议用 post id。禁止搜索引擎收录半公开的单篇日志就这么实现啦。

    　　最后补充说明一下，noindex 标签是互联网 meta robots 协议的其中之一，Google 和 Yahoo 这类搜索引擎都会中规中矩地按这个协议执行，唯独百度不鸟 noindex 这个标签，接下来 BS 百度的话我就不多说了，留给童鞋们在评论中自由发挥咯。

  • 全球最大博客WordPress遭黑客入侵

    9月6日消息据Techcrunch报道，由美国知名科技博客作者罗伯特·斯考伯(Robert Scoble)所创建的科技博客网站Scobleizer此前遭到了黑客入侵。

    而入侵原因据罗伯特·斯考伯表示，是由于使用了存在漏洞、版本较老的博客内容发布平台Wordpress。
    业界人士指出，Scobleizer遭黑客入侵事件，给各大科技博客网站敲响了警钟。如果黑客获得了某家博客网站后台管理系统的登录密码，他们不但能够删除相关文章，而且能够改变原有登录密码，使并发布大量跟博主观点相反的内容。而博主此时又无法正常登录自己所创建的网站。据了解，近期遭受黑客入侵的网站不仅是Scobleizer一家，它们都采用了Wordpress平台，因此Wordpress的安全性成为了人们炮轰的焦点。

    WordPress是全球最大的博客引擎之一，其最新版本Wordpress2.8拥有5317360次的点击下载量。包括 TechCrunch在内的知名博客都是用它来发布新闻和上传内容。

    据悉，目前判别黑客入侵WordPress主要有两种方法：

    一、通常会有奇怪的永久链接(permalinks）出现，诸如： example.com/category/post-title/%&(%7B$%7Beval(base64_decode($_SERVER%5BHTTP_REFERER%5D))%7D%7D|.+)&%/. 关键字通常是“eval” 和“base64_decode”。

    二、隐藏的管理员设定用户名的变种（back door），即通过Administrator (2)或者用户不能识别的的用户名登录。

    如果想避免黑客袭击，Wordpress建议用户立即安装最新版本的Wordpress。更改所设置的所有密码，包括用户登录、数据库、FTP以及控制面板等的密码，并增强其难度系数。

    尽管WordPress的母公司Automattic目前并未对以上建议作出任何回应，但是为安全起见，仍建议每个用户及时更新，并立即更新WordPress博客。

  • 图文直播2009 WordCamp BeiJing

    今天，在北京清华科技园“阳光厅”举行，2009 WordCamp BeiJing将举行，这是一年一度的WordPress爱好者聚会，这届是北京举办的第三届，上海也举行了两届，自从06年WordPress在国内流行一来，越多越多的网友开始使用WordPress，传播WordPress，而一年一次的WordCamp无疑是WordPress所有使用者最好的交流时间，除了相互之间相互留言，更可以面对面的进行交流，更可以零距离看看那些平常的名博是啥样子，比如著名的主题达人MG12，还有 可能吧 的那个猥琐男人。

    其实抛开这个难得的交流机会，我们也可以见见老朋友，认识一些新朋友，毕竟在网络上沟通多了，在线下面对面的聊聊也不错，如果能有问题，那探讨得到的效果会比网络上好很多。
    ygt
    北京清华科技园“阳光厅”

    wcc09_badge_2

    Wopus这次专门制作了专题来报道2009 WordCamp BeiJing，并且会通过现场图文和Twitter（@wopus）来直播这次活动。这次直播主要考虑到无法参加聚会的WordPress爱好者，如果你是WordPress爱好者，如果你无法到达北京WordCamp现场，欢迎通过我们的现场图文直播来关注WordPress的发展。

    Wopus专题直播页面（欢迎传播）：https://www.wopus.org/wordcamp-2009

  • WordPress 是怎么盈利的

    我们都知道 WordPress 是一个通过社区管理的开源程序，人人都可以参与，程序本身是免费提供的。那么 WordPress 背后商业化运作的 Automattic 公司是怎么盈利的呢？下面 Automattic 目前盈利的一些方式，我相信它们的盈利模式可以给我们国内一些发布开源程序的公司一些启迪和参考：

    1. Blog Hosting（博客主机服务）

    WordPress 给如 Om Malik, All Things D 等这些大公司以每个月 500 美元提供博客主机服务，因为使用 WordPress.com 基础服务架构来托管 WordPress 博客，所以性能肯定会比其他虚拟主机要好的很多，这个属于 WordPress.com 的 VIP 帐号，也并不是每个人都能申请到的。

    2. Google AdSense

    WordPress.com 上免费博客可能有时候会有 Google Adsense 的广告，我相信你和我一样都没有见过，因为出现广告需要满足以下几个条件：

    1. 博客访问用户不是使用 Firefox 浏览器。
    2. 如果访问用户注册了 WordPress.com 帐号，并且没有登录。
    3. 访问用户不是要自一个 WordPress.com 其他博客，所以从 abc.wordpress.com 到 xyz.wordpress.com 的用户肯定不会看到广告了。

    虽然需要那么多个条件才显示广告，但是 WordPress.com 上产生的广告费还是非常显著的，因为 WordPress.com 的流量现在每个月有 10 亿了。

    3. AKismet

    如果你装了 Automattic Kismet （简称 Akismet）这个最优秀的 WordPress 防垃圾留言插件，你肯定没有在你的博客中见过伟哥（Viagra）的等垃圾留言，因为都被 Akismet 过滤了。
    现在 Akismet 对于个人博客来说免费的，但是如果你运营一个公司博客或者一个博客群，你需要购买 Akismet 的商业 License，这个大概需要 50 美元起。

    其实使用 Akismet 服务还有一些规定，对于一些专业博客来说，如果每个月能从博客中赚取 500 美元的广告费，就应该付 5 美元的费用给 Akismet。其实我们一直梦想能够有机会交这个费用，因为一个月能够有 500 美元的收入的 blogger 其实不介意付 5 美元给 Automattic 。

    4. Premium Accounts （WordPress.com 高级帐号）

    每个人都能在 WordPress.com 拥有一个免费的博客，但是如果你需要额外的空间用于存储多媒体文件，或者你需要使用绑定域名服务等高级服务，那么 WordPress.com 就会向你收费。

    另外 WordPress 可能允许免费用户添加 Adsense 广告，但是 WordPress.com 要求提成。

    5. Web Host Referrals（虚拟主机推荐）

    在 WordPress.org 上的 Hosting 页面推荐了一堆可以让你托管 WordPress 博客的第三方虚拟主机服务，现在所有的链接都是推荐（Refferal）链接，很明显 Automattic 会从每次虚拟主机销售中获取提成。

    实际上这个主机推荐可能给 Automattic 带来想当可观的收入，因为 WordPress 官方在 Google Adwords 投广告，当你在 Google.com 搜索 “WordPress Hosting”（这是一个非常有竞争力的关键词） 的时候，第一个赞助商广告就是它。它的广告词是：”Top 5 WordPress Web Hosts – Chosen by the developers of the WordPress blogging software”。

    6. WordPress Support（WordPress 技术支持）

    如果你需要 WordPress（或者 WordPress MU）方面的支持，并且免费的 WordPress 论坛不能解决你的问题，这个时候你可以考虑 Automattic 的官方技术支持，WordPress 开发团队会帮你在六个小时之内就解决问题，当然这个服务是面向那些愿意每年付出 2500 到 5000 美元的企业用户。

    其实我也觉得提供专业的技术支持是专业博客盈利的最好方式之一，如我就是提供 WordPresss 主题和插件制作，和WordPress 整站解决方案。，首付不菲 :-) 。

    7. Poll Daddy

    Automatiic 收购了 Poll Daddy 之后，也开发了一条财源，因为 Poll Daddy 提供一个付费的版本，它能让你在每个调查中拥有无限个数的问题，并且在你的调查当中不会有 Poll Daddy 品牌。

    这就是 WordPress 的 7 条生财之道，开源并不是免费，开源让你拥有更多的用户，让高级用户和企业用户付费就足够盈利，并且可以发大财。

  • 非官方：WordPress 2.8.3漏洞及修复

    这个问题是国外一位爱好者发现的，被WopusIDC一个用户含笑发现，并及时在WopusIDC群里通报。

    BUG描述：

    漏洞文件：wp-login.php

    漏洞产生原因：WordPress < = 2.8.3 Remote admin reset password

    说白了就会跳过验证码重新设置管理员的密码，但是管理员不会收到邮件，攻击者也无法得知被修改的密码是什么。

    但如果能取得管理员的mail权限，博客权限也就拿下了。

    BUG修复：

    修复方法：WP官方目前尚未发布该漏洞的patch，建议暂时禁用密码找回功能。临时解决方法如下：

    使用编辑器打开wp-login.php文件，搜索

    function reset_password($key) {

    在函数的的第一行直接插入错误返回代码：

    return new WP_Error('invalid_key', __('Invalid key'));

    题外话：及时升级，多关注WordPress。
    另外，尽量抹去自己博客的版本号，因为2.7也出现过这样的问题。漏洞都是针对某一个版本，所以隐藏版本号能很好的保护自己。

  • 安全更新:WordPress 2.8.3发布

    WordPress更新到2.8.3,这是一个安全更新,但这是一个跨版本的安全更新,如果您使用的是 2.8.1,Wopus强烈建议你升级到 2.8.3. WopusIDC用户可以通过WordPress后台自动更新.

    无法通过后台自动更新的朋友,可以下载版本版本的WordPress 2.8.3版本覆盖更新.

    WordPress 2.8.3下载地址:http://wordpress.org/latest.zip (请勿使用P2P软件下载)

    最后提醒一点:升级之前请先备份数据库.

    延伸阅读:
    WordPress完美备份数据方法及教程

  • 安全更新：WordPress 2.8.2发布

    这次没有任何的BETA版本，也没有RC版本。出现这种情况的原因很简单。WordPress又出现安全问题了。

    WordPress 2.8.2修复了一个XSS的安全漏洞。

    安全更新主要涉及到评论者的链接问题：

    显示在控制面板的来自评论者的链接并没有被进行安全认证，这点可以使博客管理员在点击这种链接之后直接转向任何站点。

    WordPress官方建议更新，WopusIDC用户可以直接在博客后台升级。

    如果你使用的不是WordPress 2.8版本系列，准确的说不是WordPress 2.8.1的话，可以无视这个更新。

    题外话：

    这个更新我实在是没看懂是怎么回事，官方也没有更多的介绍，简单几笔就带过去了。而且最要命的是，没说明这个漏洞是从哪个版本开始的，但从逻辑上来说，应该是WordPress 2.8.1导致的，但这种安全更新，官方应该也必须给出详细的版本说明。

    这个链接的认证不认证有什么区别吗？我刚才升级了WordPress 2.8.2,真的没发现什么，和以前点击的链接效果一样，还是直接到站外，完全没任何的防护措施。懂这个漏洞的朋友可以留言，分享一下这个漏洞。

    虽然没看明白这个安全更新是怎么回事，但却明白了另外一点。现在博客上垃圾留言越来越多，但这些垃圾邮件却很“聪明”的出现，而且这些人留言都很认真，除了网址之外，你根本看不出来他们是来SEO的，当然有些不太专业的，头像也会是空白。这些链接各位要注意，点击链接，除了博客地址和头像之外，大家记得看看链接的样子，基本上能大致感觉出来哪些是博客的，哪些是来做SEO的。总之，安全第一。

    对于垃圾留言，虽然他们留言没问题，但由于我无法接受他们的网址，所以我通常都会把他们干掉，但是我不会删除，会防盗垃圾评论里，这样他们的权重就小了很多，而且被封锁的几率加大。

    其他什么了，更新之前，还是记得要备份一下数据库。安全第一。

    Wopus关于WordPress 2.8.2的中文包做好了，需要的同学可以看这里：http://code.google.com/p/wopus/downloads/list，还不懂使用中文包的同学，可以看看这里：
    https://www.wopus.org/wordpress-for/attention/1071.html

  • 给WP添加Ctrl+Enter回复快捷键

    经常逛论坛的人一般都习惯评论完后直接按 Ctrl+Enter 提交评论，使用 QQ 聊天时也是这样，打完字随手按下快捷键搞定，其实在 Wordpress的 comments.php 里 < ?php endif; ?>后插入如下 JS 代码也可以给留言板实现这个功能：

    script type="text/javascript">
    document.getElementById("comment").onkeydown = function (moz_ev)
    {
    var ev = null;
    if (window.event){
    ev = window.event;
    }else{
    ev = moz_ev;
    }
    if (ev != null && ev.ctrlKey && ev.keyCode == 13)
    {
    document.getElementById("submit").click();
    }
    }

    然后继续在 comments.php 文件中找到下面这句：

    将 value=”Submit”（不同的主题可能会有些差别，其实就是提交的那个按扭）的 value 值里加上一个(Ctrl+Enter)，改成 value=”Submit(Ctrl+Enter)”

    方法二：(万戈)

    　在 comments.php 中找到以下代码：

    修改为：

    总结：相比来说，第二种方法更简单，却实现了相同的效果。