WP 3.1 – Sicherheitslücke durch Gestaltungsmöglichkeit

Klaus — Mon, 07 Mar 2011 13:50:40 +0000

Beim technischen und optischen Neugestalten meines Blogs fiel mir zufällig auf, das meinen Kommentaren automatisch eine Klasse hinzugefügt wird, die es mir ermöglicht, meine Antworten besonders zu gestalten.

Super! Weniger super ist allerdings, das der hintere Teil dieses Klassennamens aus meinem Login-Namen besteht.

Umpf! Das hieße ja, das sich Hacker nur noch ums Passwort kümmern müßten, den Benutzernamen haben sie dann ja schon mal!

Diese Panne zu beheben und trotzdem die Möglichkeit zu haben die Autorenkommentare besonders zu gestalten ist nicht so schwierig.

Die Lösung hat Falk in einem Artikel seines NetzBlogR gepostet.

Perun hatte laut dem Artikel bei der Lösung auch seine Finger im Spiel.

Hier nochmal in aller Kürze:

Ich gehe davon aus, das ihr entweder TwentyTen oder eine Abwandlung davon für euer Theme nutzt.

Öffnet die functions.php eures Themes und scrollt bis ungefähr Zeile 326 runter. Dort steht Folgendes:

Das ersetzt ihr einfach durch Folgendes:

class="commentcomment_author_email == get_the_author_email()) && ($comment->user_id != 0) ) {echo " bypostauthor";} ?>"

Danach werden dort nur noch die Klassen .comment und .bypostauthor ausgegeben. Das reicht aus, um die Kommentare des Autors besonders zu gestalten.

Wenn ihr noch etwas sinnvolles für die Sicherheit eures Blogs tun wollt, dann installiert euch das Plugin Login LockDown. Damit könnt ihr die Anzahl der Loginversuche begrenzen, einen Timeout in beliebiger Länge festlegen, Loginerrors maskieren, Lockout schon bei falschem Loginnamen und IP’s manuell ausschließen.

Kommentar des Autors hervorheben

Klaus — Mon, 09 Nov 2009 15:03:24 +0000

Schon manchmal dachte ich mir, das es nicht übel wäre, wenn man die Kommentare des Autors farblich etwas hervorheben könnte.

Für die entsprechende Stelle wird schon durch die comments.php für jeden Listenpunkt eine id vergeben. Das hieße erst posten, dann durch das Studium des Quelltextes die id raussuchen, die style.css ergänzen und hochladen.

Und das jetzt bitteschön für jeden eigenen Kommentar.

Umpf!! Als wenn ich sonst nix zu tun hätte.

Das geht auch viel einfacher.

Wir müßten nur dafür sorgen, das für den Listenpunkt eine entsprechende Klasse generiert wird, die wir dann wiederrum per CSS gestalten könnten.

Zwei Klassen brauchen wir: eine .autor und eine .gast.

Werfen wir erst mal einen Blick in eine Wald-und-Wiesen-comments.php

Die entscheidende Stelle schaut bisher so aus::

Dort frimeln wir jetzt zwei kurze Abschnitte PHP-Code hinein.

Erster Codeabschnitt:

comment_author_email == get_the_author_email() && ($comment->user_id != 0)) {
$class = "autor";
} else {
$class = "gast";
}?>

Zweiter Codeabschnitt:

class=""

Endergebnis:

comment_author_email == get_the_author_email() && ($comment->user_id != 0)) {
$class = "autor";
} else {
$class = "gast";
}?>

Das hat sogar so ein PHP-Vollpfosten wie ich hinbekommen.

Bisher habe ich die Kommentarbox so gestaltet:

#inhalt ol#commentlist li {
background-color:#ebeded;
color:#000;
padding:0.5em 0.5em 0 0.5em;
border:1px dotted #b6bdb6;
margin:1em 0;
}

Jetzt habe ich einfach direkt darunter ergänzt:

#inhalt ol#commentlist li.autor {
background-color:#fdfdef;
border:1px solid #a7aea7;
}

Mein besonderer Dank gilt Dieter, ohne ihn wäre dieser Artikel nicht entstanden.

KS Webdesign - Der Blog » autor

WP 3.1 – Sicherheitslücke durch Gestaltungsmöglichkeit

Kommentar des Autors hervorheben