Задать вопрос
  • Хочу купить готовый сайт, как его проверить?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Дополнительно к ответам выше:
    0 - не забудь сайт проверить на наличие домена/IP в чёрных списках;
    1 - если сайт на каком-то движке, то убедись, что движок обновлён до актуальной версии;
    2 - если есть платные модули/плагины, что они куплены официально (не варез, не перепродажа);
    3 - если нужны лиц. ключи/коды активации, то также запроси эти данные;
    4 - если есть кастомная функциональность, то узнай, есть ли контакт разработчика.
    5 - отдельно спроси про предоставляемые доступы к сайту, то есть что ты собираешься купить: доступ к сайту, или сайт целиком (файлы, дамп БД, домен). На этом пункте прогорают очень многие, покупающие вот так у "физических лиц" очень "продающие" сайты, а по факту на руках имеющие только доступ в админпанель сайта. Про домен также стоит узнать отдельно, потому что в идеале должна быть как минимум смена владельца доменного имени на тебя, по желанию - перенос домена к желаемому регистратору;
    6 - история домена в целевых поисковых системах.

    Желательно, чтобы ответы на вышеперечисленные вопросы продавцом были где-то зафиксированы, а не только на честном слове и с верой в светлое будущее.
    Ответ написан
  • Как правильно подключать файлы внутри плагина WP есть уязвимость: Unauthenticated Local File Inclusion (LFI)?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    У тебя там эта уязвимость встречается ещё минимум один раз. Плюс, есть BAC и PXSS. По-мелочи ещё косяки видны, но это уже второстепенное.

    По идее, тебе контакт от WPScan должен был либо отчёт отправить, либо в письме самом дать PoC и детали по уязвимости как упомянутый LFI воспроизводится.

    66792dd53eea3280146718.png

    Возможен импорт/экспорт настроек фильтра гостем, потому что нет проверки доступа/привилегий. Тут же возможен вектор с XSS, если сначала выполнить импорт с полезной нагрузкой, а потом экспорт с валидным nonce-токеном.

    Persistent XSS с правами контрибьютора и выше через шорткоды.

    В открытом доступе писать детали незакрытых уязвимостей не есть хорошая практика, а контакта твоего я не нашёл нигде.
    Ответ написан
    Комментировать
  • Какой сервис электронный почты, который дает создавать большое количество псевдонимов для почты?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Если "бесплатный тариф", то будут вопросы к работе самого сервиса и его стабильности, помимо прочего. Все крупные почтовики уже мало что дают "бесплатно", тем более для пользовательских доменов.

    Yandex ещё, они тоже алиасы дают, но не бесплатно.
    Ответ написан
    Комментировать
  • Где россиянину купить домен для иностранного бизнеса?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Советую Gandi (gandi.net - Франция). До сих пор с ними никаких прецедентов не возникало, пользуюсь их услугами с 2019 года. Регистрация проходит без проблем, они спокойно реагируют на клиентов из России, техподдержка хорошая, лишних денег содрать не пытаются, контроль над доменом полный (перенос, продление, дополнительные услуги, NS, DNSSEC и т.д. - всё есть).

    Cloudflare выше упомянули, что лучше обходить стороной, повторяться не буду, хотя лично у меня с ними проблем не было.

    С зарубежными компаниями риски всё равно сохраняются, где-то чуть выше, где-то чуть ниже. В РФ вы зря боитесь регистрировать домены. При нынешней геополитической ситуации у вас больше прав и возможностей именно здесь.

    Какие компании я бы рекомендовал избегать: 123-reg.co.uk (стала "дочкой" GD, попёрла клиентов из РФ ещё в 2014 году), uk2.net, godaddy.com, Namecheap, SiteGround. Ряд мелких регистраторов из Европы даже упоминать не буду.
    Ответ написан
    Комментировать
  • Не работают ссылки на страницы сайта на WordPress в хромиум браузерах, в FireFox все отрабатывается корректно. Что сделать?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Вёрстка странная - это раз. Два - у тебя одна ссылка перекрывает собой вторую ссылку, смотри:

    <div class="s6_box">
    	<div class="product_bg _1">
    		<a href="https://put-k-rodam.ru/catalog/podgotovka-k-zachatiyu/" class="product_link product w-inline-block"><div class="btn add">узнать подробнее</div></a>
    		<h3 class="h3 prduct"><a href="#" class="h3_link">Подготовка к зачатию</a></h3>
    	</div>
    </div>


    Вот это чудо
    <h3 class="h3 prduct"><a href="#" class="h3_link">Подготовка к зачатию</a></h3>
    и перекрывает нормальную ссылку. Учитывая это месиво с разметкой, было бы уместно сначала спросить, что ты пытаешься реализовать таким странным образом.
    Ответ написан
    3 комментария
  • В результате поиска не выводится миниатюра wordpress?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Говоря простым языком, если ПС Google не видит точной заглавной картинки (featured image) статьи, то она будет пытаться угадать какая картинка в статье наиболее точно подходит к тексту, и отображать в своей выдаче именно её.

    Что можно сделать, чтобы улучшить ситуацию: schema.org / og:image и следование общим лучшим практикам конкретно для этой ПС. В случае с WordPress такая задача может решаться в т.ч. и с помощью плагина.

    Конкретных деталей нет, так что более предметно говорить не о чем. Что гуглить и во что вникать я написал выше.
    Ответ написан
    Комментировать
  • Из-за чего на сайте появляется блок, которого нет в разметке?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Такие стили обычно AdBlock пишет. Отключи расширение, отвечающее за блокировку рекламы, ситуация прояснится.
    Ответ написан
    Комментировать
  • Как в cf7 реализуется checked на чекбоксы?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Если правильно понял суть вопроса:

    .wpcf7-form .wpcf7-checkbox input[type=checkbox]:checked {
    	//нужные стили
    }
    Ответ написан
    Комментировать
  • Как исправить проблему со входом в админ панель wordpress?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    После занесения логина и пароля и нажатия кнопки войти - перехода в админку не происходит, просто обновляется страница входа.

    Посмотрите в браузере в инструментах разработчика вкладки "Console" и "Network". В первой интересуют сообщения об ошибках, во второй - уходит ли вообще запрос после ввода пары логин:пароль.

    база данных была заблокирована провайдером в качестве защиты от повреждений

    Что за компания, если не секрет?

    wp-config/htaccess в норме

    А что в вашем случае есть норма? Вы там не увидели каких-то аномалий?

    Как исправить ошибку, в чем может быть причина?

    Смотрите логи ошибок PHP и консоль браузера, тут нужно больше информации. Можете попробовать в другом браузере или в режиме "Инкогнито" залогиниться на своём сайте, у WordPress иногда случается глюк с cookies, и как раз на странице входа в админапанель.
    Ответ написан
    2 комментария
  • Contact form 7 как обязательные поля обводить красным?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    .wpcf7-not-valid {border: 1px red solid;}
    Ответ написан
    Комментировать
  • Можно такой интернет-магазин реализовать на Wordpress?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Подскажите пожалуйста, на сколько реально реализовать такой сайт на Wordpress и реально ли это?
    На 100% реально. Но не факт, что оптимально.

    Возможно под это подойдет лучше OpenCart или что то другое?

    Возможно. Зависит от деталей задачи и от компетенций исполнителя.

    Или тут нужно разрабатывать CMS отдельно под такой сайт?

    Это изобретение велосипеда. Эксклюзивной функциональности вы не перечислили, и вполне можно использовать уже готовые решения, как самой CMS, так и нужных модулей.
    Ответ написан
    Комментировать
  • Можно ли как то понять это проблема Woocommerce (WordPress) админки или моего хостинга nginx?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    И самое главное я не помню было ли так изначально и что там должно быть?

    Эта ерунда используется для внутренних уведомлений WooCommerce, всяких промо-акций и прочего мусора, который проталкивает разработчик. Вот эта ерунда и падает в этот самый Inbox. Выглядит это так:

    64bbbd4f35359848303391.png

    А когда мусора там нет, то выглядит это вот так:

    64bbbd6f16fd7596177515.png

    Можно ли как то понять это проблема Woocommerce (WordPress) админки или моего хостинга nginx?

    Эта ошибка связана, если не запамятовал, с количеством передаваемых в URL символов. Чаще всего ломается из-за плагинов тюнинга или безопасности, но в более редких случаях из-за конфига веб-сервера.
    Ответ написан
    3 комментария
  • Как достичь адаптивной вёрстки в email-рассылках?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Разные почтовики по-разному относятся к тем же медиа-запросам, но чаще всего они либо игнорируются, либо вырезаются. Поэтому адаптив достигается в первую очередь за счёт адекватно отрисованного макета, учитывающего специфику задачи, и потом уже свёрстанного, либо самостоятельно и с указанием ширины таблиц/блоков в % (практика показала, что это наиболее стабильный и предсказуемый метод), либо используя шаблоны/фреймворки, которых можно найти довольно много.

    Или как сделать так, чтобы почтовые сервисы не зарубали media-запросы?

    Никак. Меняйте подход к вёрстке :)
    Ответ написан
    Комментировать
  • Где посмотреть действующий пароль при создании заказа woo?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    В актуальной версии WooCommerce v7.9.0 есть опция «When creating an account, send the new user a link to set their password» (вкладка «Accounts & Privacy» на странице настроек плагина) — это решение пришло на замену отправки пароля в открытом виде на почту нового пользователя, как было ранее. Без этой опции при оформлении заказа увидите поле для ввода желаемого пароля.

    А если я от лица заказчика хочу изменить пароль на свой. Тогда как? Ведь там будучи уже на аккаунте требует ввести действующий пароль в настройках профиля.
    Такая логическая ошибка есть очень много где, и никаким другим способом, кроме восстановления пароля, оно не лечится.
    Ответ написан
    Комментировать
  • Какие существую браузеры с открытым исходным кодом, в которых реализована защита от фингерпринтинга?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Не всё опен-сорс, но:
    DuckDuckGo Browser
    The Mullvad Browser
    LibreWolf
    Epic Browser
    Waterfox
    Pale Moon
    Ответ написан
    Комментировать
  • Как отправить форму на почту с помощью PHP?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Форма размещена на хостинге timeweb.ru, доменная почта там тоже есть. Отправку через нее делаю, но все без результатов.

    У Таймвэб на тестовых аккаунтах отключена функция отправки почты по понятным причинам — это раз. Два — вы пишете про функцию mail(), а не про доменную почту. Три — сам код обработчика, мягко говоря, выглядит странно. Четыре — кириллистические домены стоит записывать в формате punycode (вот тут есть конвертер).
    Ответ написан
    3 комментария
  • Пропала админ панель, как будто нет прав?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Вот вроде логи последние, я там ничего не вижу

    Ну как бы вот:

    [Mon Jul 03 11:07:31.402769 2023] [proxy_fcgi:error] [pid 578161:tid 140205692339968] [client 217.151.230.53:55160] AH01071: Got error 'PHP message: PHP Fatal error: Uncaught RuntimeException: Error saving action: Database error. in /var/www/vhosts/axzeym72.web2.alfahosting-server.de/ag-umzugslogistik.de/wp-content/plugins/wpforms/vendor/woocommerce/action-scheduler/classes/data-stores/ActionScheduler_DBStore.php:75


    Если ещё точнее, то вот это:

    PHP Fatal error: Uncaught RuntimeException: Error saving action: Database error.


    Немного очевидного: если с нуля накатывается WordPress без проблем и всё работает, то вариант с нехваткой прав пользователя БД отпадает сам собой. Остаётся вариант с поврежденим самой БД, возможно из-за ранее случившегося заражения сайта.

    Что может помочь: через phpMyAdmin попробовать восстановить повреждённые таблицы БД или попытать счастья с константой define ( 'WP_ALLOW_REPAIR', true ); в файле wp-config.php и перейдя затем по адресу hxxps://domain.tld/wp-admin/maint/repair.php.
    Ответ написан
    Комментировать
  • Без CMS не обойтись в веб разработке?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    Озвучу очевидные вещи:

    По итогу сейчас ищу работу и всем нужна только CMS wordpress или bitrix.
    Сильно зависит от критериев вашего поиска, скажем так. Да, эти две CMS популярны, но не так чтобы «всем» и «только».

    Почему мне никто не говорил
    А должны были?

    придется учить знать ещё и CMS
    Можете их не изучать, вас ведь никто не заставляет. Тут всё как и везде: чем больше знаете и умеете, тем более гибким и востребованным специалистом будете в итоге.

    если бы я знала, возможно и не начинала бы
    Что вас так сильно отталкивает в этой ситуации? Нелюбовь к готовым решениям? Необходимость что-то ещё изучать и узнавать? Личная неприязнь к Битриксу и WordPress?
    Ответ написан
    7 комментариев
  • Как сделать изображение прозрачным по краям?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    .left img {-webkit-mask-image:-webkit-gradient(linear, right top, left top, from(rgba(0,0,0,1)), to(rgba(0,0,0,0)));}


    .right img {-webkit-mask-image:-webkit-gradient(linear, left top, right top, from(rgba(0,0,0,1)), to(rgba(0,0,0,0)));}
    Ответ написан
    1 комментарий
  • Как остановить отаку ботов на сайт?

    v3xx
    @v3xx
    // _ AppSec // Bug Bounty / Legal Hacking
    Привет.

    В мае на форуме PHD рассказывали про такую штуку, как KillBot. Сразу скажу, что лично не тестировал, но это в теории может быть ещё одним решением описанной проблемы, если по каким-то причинам CF не подходит.
    Ответ написан
    Комментировать