Блокування довгих адрес та захист від злому wordpress

за Ніколаєнко Максим · Опубліковано Жовтень 19, 2012 · Оновлено Серпень 13, 2018

Часто для злому сайтів на WordPress шкідники використовують ін'єкції SQL. Для ускладнення їх роботи можна використовувати код плагіна який я щойно знайшов ). Дивлячись на код плагіна не складно зрозуміти, що він повинен робити.

<?php 
/* 
Plugin Name: Block Bad Queries
Plugin URI: https://perishablepress.com/press/2009/12/22/protect-wordpress-against-malicious-url-requests/
Description: Protect WordPress Against Malicious URL Requests
Author URI: https://perishablepress.com/
Author: Perishable Press
Version: 1.0
*/
global $user_ID; if($user_ID) {
	if(!current_user_can('level_10')) {
		if (strlen($_SERVER['REQUEST_URI']) > 255 || 
			stripos($_SERVER['REQUEST_URI'], "eval(") || 
			stripos($_SERVER['REQUEST_URI'], "CONCAT") || 
			stripos($_SERVER['REQUEST_URI'], "UNION+SELECT") || 
			stripos($_SERVER['REQUEST_URI'], "base64")) {
				@header("HTTP/1.1 414 Request-URI Too Long");
				@header("Status: 414 Request-URI Too Long");
				@header("Connection: Close");
				@exit;
		}
	}
} ?>

<?php

Plugin Name: Block Bad Queries

Plugin URI: https://perishablepress.com/press/2009/12/22/protect-wordpress-against-malicious-url-requests/

Description: Protect WordPress Against Malicious URL Requests

Author URI: https://perishablepress.com/

Author: Perishable Press

Version: 1.0

global $user_ID; if($user_ID) {

if(!current_user_can('level_10')) {

if (strlen($_SERVER['REQUEST_URI']) > 255 ||

stripos($_SERVER['REQUEST_URI'], "eval(") ||

stripos($_SERVER['REQUEST_URI'], "CONCAT") ||

stripos($_SERVER['REQUEST_URI'], "UNION+SELECT") ||

stripos($_SERVER['REQUEST_URI'], "base64")) {

@header("HTTP/1.1 414 Request-URI Too Long");

@header("Status: 414 Request-URI Too Long");

@header("Connection: Close");

@exit;

}

} ?>

Для роботи плагіна необхідно створити файл із будь-яким ім'ям англійською мовою. При тестуванні я створював seqwp.php у папці плагінів. І вставити вище описаний код туди. Після цього в адмінці активуємо плагін і пробуємо вводити довгі адреси.

Чесно кажучи, у мене на сервері у хостингу вже є захист від довгих адрес і сам хостинг не дав мені можливості повною мірою протестувати роботу плагіна. ).