Задать вопрос
  • Как сделать публикацию рецептов пользователями в WordPress?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Плагины для красивого оформления рецепта, которые мне попадались, предназначены для формата кулинарного блога(то есть рецепт может создать только имея доступ к админке).

    Плохо искал - это раз. Два - если ты говоришь о пользователях и WordPress, то в чём проблема базового доступа (subscriber - подписчик) к админпанели? Есть плагины кулинарного толка, работающие в т.ч. с этой базовой ролью для добавления рецептов. Или, например, contributor - тоже подходящая роль пользователей, чтобы они могли добавлять рецепты, как через форму на сайте, так и в админпанели. Если жуть как не хочется пускать пользователя в админпанель, то это легко исправляется плагином или парой строчек кода.

    Плагины для постинга же не имеют нужного оформления.

    О каком оформлении идёт речь? Стили? Или заточенность плагина именно под нишу кулинарии и рецептов?

    Кто-нибудь знает, как можно реализовать что-то подобное? Желательно обойтись минимумом своего кода

    а) Выбрать готовый, поддерживаемый плагин, и не ломать голову над уже решёнными задачами. Если базового плагина мало, покупай про/премиум версию.
    б) Определиться, почему не хочешь пускать пользователей в админпанель и почему.

    я PHP плохо знаю, да и вообще, зачем мне тогда CMS, если я буду делать сайт вручную?

    Если ничего не устроило из готовых решений и искать дальше нет желания, свой код писать тоже не вариант, то остаётся только найм специалиста на фрилансе.
    Ответ написан
  • Как настроить платежный шлюз?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    У тебя вопрос и последующий уточняющий текст живут своими жизнями, в итоге непонятно ровно ничего. Уточню:
    а) что за "модуль"? Плагин? Аддон? Самописный хак? Как называется?
    б) есть несколько вариантов оплаты, но в настройках есть какой-то один параметр - что это за параметр и как он относится к вариантам оплаты?
    в) как именно ты хочешь сделать "клон шлюза wc_pay_1"? Зачем это делать? Что это даст?
    г) "уведомление об успешной оплате придет на http://ваш_магазин/?wc-api=wc_pay&pay=result статус заказа измениться на оплачено?" - как код написан/отредактирован, так он и отработает. Не видя код и не зная что и как ты исправишь и добавишь в нём, предугадать итог выполнения такого кода невозможно. С другой стороны, ты можешь поэкспериментировать, реализовать задуманное и получить ответ на свой вопрос через практику.

    Поиграю в угадайку: если речь идёт всё же о плагине, в котором можно выбрать только один способ оплаты, то я предположу, что это базовая версия, а вся нужная функциональность есть в про/премиум версии того же плагина. Я правильно предположил?

    Вообще, в целом, какую задачу ты пытаешься решить?
    Ответ написан
    Комментировать
  • Какая лучшая CMS для создания форума?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Не знаю на счёт лучших, но вот эти варианты вполне могут заинтересовать: Discourse, Vanilla Forums.
    Ответ написан
    Комментировать
  • Почему страница по адресу без родительской прослойки в адресе открывается как запись?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Почему страница по адресу без родительской прослойки в адресе открывается как запись?

    Потому что где-то что-то сломано. Штатно WordPress сам перенаправит при обращении к /child-page/ на /parent-page/child-page/, даже при наличии Elementor на сайте.

    Как исправить эту проблему?

    а) Проверь в БД в таблице wp_posts, является ли ID=204 уникальным.
    б) Отключи все плагины и поменяй тему оформления на одну из стандартных (twenty*) для диагностики.
    в) Сбрось .htaccess на стандартный для WordPress.
    г) Поменяй ЧПУ на стандартный вид (/%postname%/) и пересохрани эти настройки.
    д) Проверь, добавляет ли твой хостер /mu-plugins/. Если добавляет - переименуй директорию, чтобы их отключить.

    После этого проверь ещё раз, воспроизводится ли проблема с этой страницей.

    Что это даст: общее понимание, либо WordPress уже сломан и работает нештатно, либо был конфликт плагинов (в твоём случае WooCommerce, Elementor и тема-конструктор Blocksy могут конфликтовать в рамках твоего хостинга), либо какая-то настройка/хак/варез проблему создали.

    З.Ы.: через раз страницы твоего демо-сайта загружаются по ~5 минут, а файл /blocksy/style.css вообще в итоге не подгружается. Есть неиллюзорный шанс, что что-то не то с твоим хостингом, и стоит проверить лимиты/ресурсы как минимум.
    Ответ написан
  • Какой плагин поможет сделать галерею видео с ютьюба(вк)?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Если предположить, что авторы загружают свои песни в виде видеороликов с Ютуба, и тебе нужна галерея, то имеет смысл посмотреть подходящий плагин тут. На счёт роликов с ВК, автоматизации и фильтров, скорее всего, нужно либо допиливать самому, либо смотреть в сторону премиум-плагинов, либо заказывать доработку на фрилансе.
    Ответ написан
    Комментировать
  • Что за киберзащитники?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Если совсем "на пальцах", то есть основания полагать, что был атакован некий ресурс с последующим заражением ВПО (вредоносным программным обеспечением) APT Cloud Atlas. Требуется провести расследование инцидента, по итогам которого: а) либо факт атаки и компрометации подтверждается, и тогда нужно предоставить дополнительные данные по указанным контактам; б) либо информация не подтверждается, и об этом также нужно сообщить по предоставленным контактам.

    Возможно, эта статья даст больше информации по сложившейся ситуации и какие-то отправные точки.
    Ответ написан
    Комментировать
  • Как разработать свою тему интернет-магазина на woocommerce + elementor pro?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Мне нужна помощь, чтобы разобраться, как все таки можно разработать свою тему под интернет-магазин на WP без кода, или с его минимальным применением (применением готовых кусков, шаблонов и т.д.)

    Какую задачу ты в итоге решаешь? Нужен ИМ на базе WordPress + WooCommerce + Elementor для работы или ты просто хочешь освоить что-то новое для себя?

    Как бы вы реализовывали эту задачу? В чем плюсы и минусы у каждого способа? Что почитать, что посмотреть?

    Задача не совсем ясна, но о некоторых нюансах упомяну.

    "Вукоммерс" - это уже комбайнер, и ты хочешь его завязать с ещё одним комбайнером - "Элементор". Понимаю, что хочется "без кода" в визуальном редакторе накликать нужный результат, но это будет адский замес из костылей и с далеко не самыми скромными требованиями к хостингу и открытым вопросом о дальнейшем сопровождении хотя бы с технической стороны. Более того, шаблоны "Вукоммерс" часто придётся обновлять, учитывая изменения в самом плагине, - это всё для сильно мотивированных людей, а без этих обновлений нередко страницы отображаются вкривь и вкось, если вообще отображаются. Короче, данный вариант для новичка + "без кода" не самый дружелюбный и не самый стабильный.

    "Элементор" тоже тяжёлый плагин. Если версия Pro покупается легально, то есть не варез, то это уже плюс. Каких-то огромных сложностей с пользованием этого конструктора нет, но минимальные технические навыки работы с подобными инструментами очень пригодятся, чтобы при зависании плагина не впадать в ступор.

    Из готовых решений можно посмотреть платные темы оформления на ThemeForest, но у них есть ряд существенных минусов:
    - ориентированность на Запад по части интегрированных систем оплаты и сопутствующих опций/функциональностей;
    - отсутствие гарантий поддержки продукта разработчиком в долгосрочной перспективе;
    - отсутствие гарантий адекватного стандартизированного кода (код-ревью делается, но минимальный, чтобы это не были совсем помои);
    - отсутствие гарантий своевременного закрытия уязвимостей, если таковые будут найдены;
    - принцип all-in-one: в премиум темы/плагины стараются добавить как можно больше разной функциональности, зачастую гибко не настраиваемой, что в итоге даёт ощутимую лишнюю нагрузку на хостинг.

    Если ИМ нужен для последующей продажи товаров через него, то лучше было бы смотреть в сторону нишевых движков: CS-Cart, OpenCart и т.п. Более-менее дружелюбные варианты для новичка.

    Или "Тильда" - там можно добиться сочетания функциональности ИМ и конструктора страниц.
    Ответ написан
  • Нашел на компе Wacatac.B!ml Что делать?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    HackTool > Keygen намекает, что был использован кейген для какого-то ПО. Возможно, ты просто забыл что устанавливал когда-то, и для работы кейгена добавил его в исключения антивируса.

    Что делать: если не помнишь что это за кейген, то удаляй его и из исключений антивируса и с диска, если он ещё остался, разумеется.
    Ответ написан
  • CloudFlare ломает админку?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Чаще всего эта ошибка появляется из-за неправильных настроек SSL. Какой режим SSL стоит в Cloudflare? Flexible? Если так, то он не подходит для WordPress без донастройки. Должен быть режим "Full (strict)".

    Другой вариант: временно поставь на паузу CF и установи на своём сайте этот плагин - должно помочь. На странице плагина есть мануал по установке и подключению.
    Ответ написан
  • Не работает форма обратной связи на сайте WordPress. Выдает ошибку: Ошибка сервера. Форма не отправлена. Как решить эту проблему?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Для отправки сообщений используется mail() в WordPress, если не настроено иначе, например, через плагин. У тебя же ошибка cURL, и какая-то странная загрузка чего-то, хорошо хоть из официального репозитория. Включи и посмотри лог ошибок PHP или дебаг WordPress, там будет полезная информация по твоей ситуации. Без подробностей эти два события - отправка сообщения через форму обратной связи и ошибка cURL - никак не связаны между собой.

    По связке WordPress и cURL #7 я предположу, что на странице "Health Check" у тебя будет минимум 3 проблемы подсвечены: ошибка WordPress REST API, отсутствие доступа к wordpress.org и невозможность выполнения петлевого запроса. Тут три совета: а) обратиться в техподдержку хостинга, чтобы они на своей стороне исправили ошибку (наиболее частые варианты: блокировка с их стороны и проблема с корневыми сертификатами); б) если сайт работает по https://, то проверь, чтобы он целиком гонял запросы по этому протоколу (исключи возможность CORS-ошибки); в) если используется какой-то механизм защиты/фаерволла - временно отключи для диагностики проблемы (плагины защиты нередко создают большие проблемы для владельцев и пользователей сайта).
    Ответ написан
  • Вышло уведомление в админке в wordpress. Не закрывается и не дает работать. Как исправить?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Описание ситуации мизерное, так что посоветовать для начала могу это: первое - смотри логи ошибок PHP или дебаг WordPress; второе - смотри консоль браузера на предмет ошибок; третье - посмотри откуда тянется этот "зависший" элемент; четвёртое - удали кеш.

    З.Ы.: скорее всего аддон заброшен автором, было бы разумнее поискать альтернативу.
    Ответ написан
  • Не могу зайти в редактирование в wp?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Не знаю, актуален вопрос или нет, но скорее всего дело либо в read-only файлов, либо в сбитых правах/владельце файлов и директорий. Если эта ситуация не относится к системе/веб-серверу, тогда смотрите в сторону самого WordPress: либо какой-то плагин тюнинга/защиты так срабатывает, либо константа в wp-config.php.

    Более ничего предположить не могу, опираясь на скудное описание проблемы.
    Ответ написан
    Комментировать
  • Как скрыть кнопку Добавить в корзину?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Итоговая реализация потребует кастомизации под задачу, но оттолкнуться можно от этого.

    Выводим ссылку на загрузку файла в карточке товара:
    add_action('woocommerce_product_meta_end', 'download_products');
    
    function download_products() {
    	global $product;
    	$files = $product->get_files();
    	if ( !empty($files) && current_user_can( 'vipuser' ) && has_term( 'vipaccess', 'product_cat' ) ) {
    		foreach( $files as $key => $each_download ) {
    			echo '<p><a href="' . $each_download['file'] . '" download>Скачать файл <!--'. $each_download['name'].'--></a></p>';
    		}
    	}
    }


    Убираем из карточки товара цену, количество и кнопку добавления товара в корзину:
    add_action('init', 'remove_add2cart_for_vip_users');
    
    function remove_add2cart_for_vip_users(){
    	if ( is_user_logged_in() && current_user_can( 'vipuser' ) ) {
    		remove_action( 'woocommerce_single_product_summary', 'woocommerce_template_single_price', 10 );
    		remove_action( 'woocommerce_after_shop_loop_item', 'woocommerce_template_loop_add_to_cart', 10 );
    		remove_action( 'woocommerce_single_product_summary', 'woocommerce_template_single_add_to_cart', 30 );
    	}
    }


    Из очевидного: а) делать такое на базе Вукоммерс своими силами — затея довольно сомнительная из-за самого Вукоммерса; б) проще/лучше воспользоваться готовыми плагинами; в) если всё же хочется написать эту функциональность самому, то надо более основательно продумывать логику, потому что тут легко перемудрить или, наоборот, не доглядеть что-то с ролями/правами/доступами.
    Ответ написан
    Комментировать
  • Могут ли по сайту найти админа?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Могут ли по сайту найти админа?

    Могут. Вопрос в том, кто будет искать.

    Насколько реально получить из сайта на Вордпресс личную информацию админов?

    Зависит от того, что за информация там хранится, а главное — для чего и зачем*.

    То есть, узнать из реальный IP и прочую подобную информацию.

    Что за "прочая подобная информация"? Почта?

    Учитывая сколько уязвимостей находится в плагинах и темах оформления WordPress, больше шансов на утечку с этой стороны. Опять же, где хранятся такие данные? В базе данных, что логично, — это раз. Значит, SQLi для тебя будут особенно болезненными. Часто встречаются такие уязвимости в плагинах? Весьма.

    Два — логи всевозможных плагинов "защиты", и тут уже много нюансов, начиная от торчащих наружу логов, неправильного распределения прав в самом плагине, что может привести к раскрытию чувствительной информации, заканчивая более серьёзными уязвимостями. Тут, очевидно, проблемой становится сам плагин "защиты", добавляющий тебе рисков там, где, по идее, должен от них избавлять.

    Третье — IP и почта отображаются на странице с комментариями в админпанели (и хранятся в отдельной таблице базы данных, что логично). Если комментарии не нужны на сайте, то имеет смысл их отключить глобально. Если нужны — убрать логирование IP и почты комментаторов.

    Это самое базовое. Остальные нюансы зависят от используемых плагинов и от того, где что они добавляют/убирают/выводят/хранят.

    *
    На сайте работает плагин Loginozer Pro с защитой от брутфорс-атак и прочими подобными настройками, если что

    Это всё вообще ни о чём. Более того, такой класс плагинов чаще как раз помогает при атаке злоумышленникам, нежели наоборот. Что самое смешное, ведь именно этот плагин (как минимум) и хранит в себе то, утечку чего ты хочешь не допустить, и то, чего изначально в самом WordPress нет — подробных логов с IP/почтами/логинами и прочего. Не говоря о том, что защита от всяких брутфорсов в последнюю очередь должна решаться силами самой CMS.

    Вообще, лучше вопрос ставить изначально иначе, более конкретно: от кого/чего хочешь защититься, какие риски? Ответив на эти вопросы, ты поймёшь что и как надо защищать.

    Если речь про органы правопорядка, то уровень сайта — это сразу мимо. Такие вопросы "там" решаются на другом уровне by design.
    Ответ написан
    Комментировать
  • Как настроить адаптив элементов wpbakery page builder?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    У конструктора есть специальная вкладка (для колонок) "Настройки адаптивности", где ты регулируешь ширину (этих самых колонок) и смещение/ширину для основных устройств.
    Ответ написан
  • Стилизация скролла на iphone?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Начиная с iOS 14.0 и выше, кастомные скроллбары не работают.

    Apple вообще не очень любит кастомизацию элементов их интерфейсов, поэтому даже если кто-то придумает какой-то обходной костыль, он всё равно очень скоро сломается.
    Ответ написан
    Комментировать
  • Wordpress печатает код шаблона, как его удалить?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Начни диагностику с самого простого: по очереди отключай плагины один за другим, каждый раз проверяя ушли эти обрывки кода или нет. Если движок актуальной версии, то также проверь, чтобы все плагины были обновлены. Очень большой шанс, что проблема именно с каким-то плагином, чуть меньше шансов, что проблема вызвана активной темой оформления. Ещё меньше шансов, что проблема в серверном ПО. Перед любыми экспериментами, разумеется, имеет смысл сделать полную резервную копию сайта.

    Что ещё может помочь: логи ошибок (либо дебаг WordPress, либо логи PHP).

    Вроде бы есть функция wp_print_media_templates(), которая это делает. Она есть в одном месте сайта: public_html/wp-includes/media.php
    Но я боюсь это комментировать, т.к. не знаю, чем аукнется.
    Это и не нужно комментировать, потому что это системный файл. Можно на будущее взять за основу правило не вмешиваться в работу директорий /wp-admin/ и /wp-includes/. Таким образом ты избавишь себя от кучи проблем.
    Ответ написан
  • Как подключить вордпресс по FTP к серверу на таймвеб?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Если IP/root/пароль от "ТаймВеб", то предположу, что у тебя VPS. Для подключения по FTP должны быть другие креды - это раз. Два - может быть классическая проблема с правами на директории и файлы при переносе + проверить пользователя от имени которого запущен веб-сервер и кто владелец директорий/файлов непосредственно. Третье - можно попробовать указать в wp-config.php директиву define('FS_METHOD', 'direct');.
    Ответ написан
    Комментировать
  • Как лучше организовать платную подписку на сайте WordPress?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Решений много, как платных, так и бесплатных. Бесплатные можешь поискать в репозитории WordPress по ключевым словам: members-only, paywall, members, membership, restrict-access, subscriptions. Платёжные шлюзы российских агрегаторов придётся добавлять отдельно.

    Платные решения: обычно дорогие, без гарантий поддержки разработчиком плагина в будущем, нужные российские платёжные шлюзы будут далеко не везде, если вообще будут.

    Альтернативный вариант решения задачи: нанять разработчика на фрилансе.
    Ответ написан
    Комментировать
  • Как подключить оплату к сайту, если сайт сделан без cms?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    0 - узнать у технической поддержки выбранного сервиса, есть ли инструкции для подключения сайтов без CMS (обычно такие инструкции есть);
    1 - нанять специалиста на фрилансе для реализации задачи;
    2 - писать код самому, опираясь на решения для CMS в качестве примера.
    Ответ написан
    Комментировать