Nach welchen allgemeinen Sicherheitslücken muss ich suchen? [geschlossen]

Nach welchen Sicherheitslücken sollte ich als Entwickler eines Möchtegern-WP-Plugins Ausschau halten?

Ich erstelle gerade ein neues Plugin mit einem Konfigurationsfenster (zB Eingabefelder und so). Worüber sollte ich mir Sorgen machen?

Ist beispielsweise die Datenbereinigung eine große Sache, da sie sich im Bereich / wp-admin / befindet? Könnte jemand meine Plugin-Seite direkt angreifen und POST-Anfragen oder ähnliches senden?

Vielen Dank!

Hier ist eine geänderte Checkliste, die auf meinen aktuellen (in Arbeit befindlichen) Einstellungen / meiner Datensicherheits-Checkliste basiert, die zum Überprüfen von Themen verwendet wird (die Prinzipien sollten für Plugins nicht anders sein als für Themen):

1. Plugins sollten allen Optionen, benutzerdefinierten Funktionen, benutzerdefinierten Variablen und benutzerdefinierten Konstanten plugin-slug voranstellen.

2. Plug-ins sollten die Seiten Plug-in-Optionen und Plug-in-Einstellungen bewusst implementieren, anstatt sich auf Skripts zum Kopieren und Einfügen aus Website-Tutorials wie den folgenden zu verlassen, die veraltet sind und keine ordnungsgemäße Datensicherheit bieten:

   • http://www.1stwebdesigner.com/wordpress/how-to-create-an-options-page-for-your-wordpress-theme/
   • http://wpshout.com/create-an-awesome-wordpress-theme-options-page-part-1

3. Plugins sollten die add_options_page()Funktion verwenden, um die Plugin-Einstellungsseite zum SettingsMenü add_menu_page()hinzuzufügen , anstatt ein Menü der obersten Ebene hinzuzufügen.

4. Plugins sollten eine geeignete Funktion (z. B. manage_options) zum Hinzufügen der Einstellungsseite verwenden.

5. Plugins sollten Optionen in einem einzigen Array speichern, anstatt mehrere Optionen für die Einstellungsseite zu erstellen. Die Verwendung der Einstellungs-API (siehe unten) würde dies handhaben.

6. Plugins sollten die Einstellungen API verwenden (siehe unten) zu erhalten und speichern Formulareingabedaten anstatt auf $_POSTund $_REQUESTDaten direkt.

7. Für Kontrollkästchen und wählen Sie die Optionen, Plugins sollte die Verwendung checked()und selected()Funktionen zur Ausgabe checked="checked"und selected="selected"jeweils.

8. Plugins sollten alle nicht vertrauenswürdigen Daten validieren und bereinigen, bevor sie Daten in die Datenbank eingeben, und sollten alle nicht vertrauenswürdigen Daten entziehen, bevor sie in die Formularfelder "Einstellungen" und in die Vorlagendateien "Designs" ausgegeben werden:

   • http://codex.wordpress.org/Data_Validation

9. Plugins sollten esc_attr()für Texteingaben und esc_html()(oder esc_textarea()in WP 3.1) für Textbereiche verwendet werden.

10. Plugins sollten explizit die Nonce-Prüfung auf der Einstellungsseite bereitstellen, wenn die Einstellungs-API nicht verwendet wird:

    • http://codex.wordpress.org/WordPress_Nonces

11. Es wird außerdem dringend empfohlen, dass Plugins die Einstellungs-API verwenden. Diese ist einfacher zu verwenden, sicherer und erledigt einen Großteil der harten Arbeit der Einstellungsseiten:

    • http://codex.wordpress.org/Settings_API

Ein gutes Tutorial zur Verwendung der Einstellungs-API finden Sie unter:

• http://www.chipbennett.net/2011/02/17/incorporating-the-settings-api-in-wordpress-themes/

• http://planetozh.com/blog/2009/05/handling-plugins-options-in-wordpress-28-with-register_setting/

Wenn Sie ein Thema mit einer sicheren und solide codierten Seite für Themaeinstellungen auschecken möchten, lesen Sie das folgende Thema:
http://wordpress.org/extend/themes/coraline

Das hat zwei Aspekte:

1. Grundprinzipien.

   • Was auch immer in die Datenbank geschrieben wird, sollte auf SQL-Injects überprüft werden.
   • Was auch immer auf dem Bildschirm gedruckt wird, sollte überprüft werden, dass es kein schädliches JavaScript druckt.
   • Wann immer jemand etwas tut, sollte überprüft werden, ob es seine Absicht war und er über entsprechende Fähigkeiten verfügt.
   • Es gibt viele, viele weitere Dinge, auf die Sie oder ich niemals nachdenken werden.

2. Besonderheiten.

   • Modernes WordPress nimmt die Sicherheit ernst und möchte es Entwicklern leicht machen.
   • Für die meisten Dinge, die Sie tun möchten, gibt es also wahrscheinlich eine Möglichkeit, dies mit WP-APIs zu erledigen.
   • Was auch immer Sie tun, Ihr erster Schritt wäre es, die passende API zu finden und zu studieren.
   • Je weiter Sie von der gewöhnlichen und einfachen Funktionalität entfernt sind, desto komplexer werden die Dinge, die Sie studieren und implementieren müssen.

1. Fügen Sie defined('ABSPATH') or die('Access denied');bei jedem Plugin ein Skript hinzu, das von WordPress direkt verwendet wird
2. Fügen Sie in jedem Verzeichnis eine leere Datei index.php hinzu
3. Fügen Sie .htaccess im Plugin-Verzeichnis mit den erforderlichen Anweisungen hinzu, um den direkten Zugriff auf bestimmte Plugin-Dateien zu verhindern.