wordpress严重漏洞，小心泄漏你的主题！ | 周良博客

周良博客  •  扫码分享
我是创始人李岩：很抱歉！给自己产品做个广告，点击进来看看。  
wordpress

wordpress严重漏洞，小心泄漏你的主题！

130
2011年10月2日 | 作者：周良 | 15,447 views

今天是国庆节的第2天，原本不打算写什么文章的。但晚上发生了一件事，让我不得不敲起键盘来！

话说，下午某人通过qq找到我，询问我deve主题上面的“回到顶部”按钮怎么弄的，我看了一下他的博客，用的也是deve，就叫他去群里面下载更新包，然后就出门去了。

傍晚，这位同志又找到我，询问我deve的音乐文章模式，应该如何设置音乐专辑与歌手名称。当时我还是叫他去群共享下载补丁。…..于是乎，他就和我墨迹起来，我越听越感觉到不对，于是在群里面找了一下这人的qq，没找到！才知道他用的主题应该是盗版的，或者是流出去的主题。

通过询问，周良得知，这位同志的主题来自于良心的主题，是通过下载某个文件夹下的主题同名zip的来的。这事让我想起了良心在不久前发的群邮件，让我们坚持wp某目录下面有没有zip，有的话删除。

话说这个目录，我将域名换的www.aips.me的第2天就对良心说，我的目录里有主题压缩包什么的，要不要删除。当初良心就说删除吧，也没怎么重视…..

&

今天通过和这位拥有盗版deve主题的朋友聊天得知，很多主机的/wp-content/uploads目录下面有很多zip，据他说，只要你是通过上传zip安装主题和插件的，这个目录里面就有！于是我检查了一些我朋友的主机，通过绝对地址下载，有3为同志的主题被子里下载下来了，还都是付费主题（虽然主题我都有），但这让我很震惊！！！！

所以在这里和大家说一下，检查一下/wp-content/uploads有没有zip文件，有的话全部消灭吧！

当然也不是所有的主机都会有，但大家都看看吧，以防万一！

&

ps：不要试图通过绝对地址下载周良博客上出现的博客的主题，既然我都写出文章了，我的朋友们难道还会不删除他们？

作为wp博客圈的一员，我最讨厌这种通过绝对地址下载主题的人。以前使用loper是这样，现在deve也是这样，什么时候wp圈才能清静一会？

分享到
©周良，转载请保留原文链接： http://www.aips.me/wordpress-serious-leakage-of-your-subject-carefully-vulnerability.html。
标签：wordpress漏洞
捐 赠如果您喜欢我的博客，或者我的文章对您有帮助，那就请我喝杯咖啡吧~

周良

关注wordpress、平面设计、网页设计与用户体验的小菜鸟

作者主页 邮箱 微博 腾讯微博 qq twitter facebook google+
  1. vson on said:

    真的？？我去看看去！

    • 周良 on said:

      @vson : 话说，一个和你很不错的朋友，他所有的主题都被我下载下来了…. :!: 最郁闷的是，这些主题我都买过

      • vson on said:

        @周良 : :idea: 我无知了！

  2. 小溪 on said:

    是该多注意了，主题喜欢要不就去买，我特不喜欢人得不劳而获。

    • 周良 on said:

      @小溪 : 最可耻的是，不劳而获以后好振振有词 :x

    • 周良 on said:

      @小溪 : 同意！付费主题看重的是售后服务，盗版主题是不能享受的

      • 小溪 on said:

        @周良 : 哎，真要碰到了高手，下载完主题以后人家自己从新改变一下格局，也是很能理解的

        • 周良 on said:

          @小溪 : 如果wordpress付费主题能在网上有个类似注册码的东西，那就好了。不怕你盗版和下载。

  3. 熊猫稀饭 on said:

    这个在wp的官方文档中就有说明的

    • 周良 on said:

      @熊猫稀饭 : 以后是得注意一下官方文档了 :idea:

  4. rubinz on said:

    我也回去检查一下，这种事必须杜绝。

    • 周良 on said:

      @rubinz : 对！必须杜绝！

  5. piwu on said:

    用免费主题 不用担心这个 :grin:

    • 周良 on said:

      @piwu : 话说，每次看到你的域名，我都会流口水的 :oops:

  6. 俊文 on said:

    灰常感谢，我的也存在这问题，刚刚删除了十几个zip，有主题的，也有插件的，危险啊真是！ :razz:

    • 周良 on said:

      @俊文 : 早知道我就去下你主题了 :grin:

  7. demon on said:

    靠。这太什么什么了吧。。。

    • 周良 on said:

      @demon : 太悲剧、太气愤了！

      • demon on said:

        @周良 : 好在。我主题目录没几个皮也没压缩文档的。

        • 周良 on said:

          @demon : 你现在的主题就很不错，小心留出去，好像前几天我在网上看到过这个主题的下载

          • demon on said:

            @周良 : 这个外面已经有。我打算差不多开始升级一下了。折腾了。

            • 周良 on said:

              @demon : 期待升级以后的主题，哈哈，可以多弄点短代码进去 :o

              • demon on said:

                @周良 : 短代码必须要再加几个的。

                • 周良 on said:

                  @demon : 嗯嗯，呵呵，期待哈~

  8. iecho on said:

    哈哈！俺用的免费主题，不存在这方面的问题，话说良心的主题做的确实非常棒。

    • 周良 on said:

      话说，你每次到我博客评论，网站地址的.都会输入错，输入的是,都是我帮你改的。就是www后面的那个

      • iecho on said:

        @周良 : ;-) 看到了，谢了，点儿错了 :grin: :grin:

  9. 蛋疼的淫 on said:

    还好，用的是免费主题，呵呵。欢迎前来震精

    • 周良 on said:

      @蛋疼的淫 : 我感觉没什么好震精的…

  10. 西安网站优化 on said:

    非常的不错，很喜欢啊

    • 周良 on said:

      有漏洞你说你喜欢？

  11. q music on said:

    还有这种功能啊，不过我的主题是共享的 :oops:

    • 周良 on said:

      我很喜欢你的网站和主题，有兴趣友链吗？

      • q music on said:

        @周良 : 可以啊，我做好了。谢谢你的意见 :razz:

        • 周良 on said:

          @q music : 贵站的链接已经做好，是内页的（友情链接的那个页面pr是2），如果以后换主题的话，会把内页的链接放到首页，如果站长感觉到不公平的话，也可以把我的链接放到内页，呵呵

  12. elizen on said:

    这也太无耻了吧。

    • 周良 on said:

      是无耻，但没办法

  13. 亨sir on said:

    我用的是免费的
    呵呵
    不过，遇到这样的事，确实不爽！uploads文件里一般都是一些插件吧！
    别人下载的话会耗去一些流量的！
    嘎嘎，我也去删了
    谢谢周兄提醒！

    • 周良 on said:

      @亨sir : 对你有用就好，呵呵 :grin:

  14. 亨sir on said:

    有个明星叫徐良
    差点把你俩给弄混了
    嘎嘎

    • 周良 on said:

      额…

      • 亨sir on said:

        @周良 : 见笑鸟！！

  15. an9 on said:

    不用收费的,所以不担心.

    • 周良 on said:

      但这个文件夹里面有的zip文件也是占用主机空间的，所以还是建议定期检查一下

  16. su on said:

    第一次听说啊

  17. 邓肯 on said:

    我的空间上一个zip都木有

    • 周良 on said:

      @邓肯 : 这样更好，呵呵 :grin:

  18. 洫之舞 on said:

    俺的是zblog的，不怕不怕 :lol:

    • 周良 on said:

      @洫之舞 : 呵呵 :o

  19. 三利达追月225a on said:

    国庆假期结束 忙碌工作开始

  20. 5毛党 on said:

    deve theme已外泄了 :!:

  21. 图图 on said:

    一般我都是解压完就删

  22. toinka on said:

    对这个不是很懂 :!:

  23. anquanzuoyi on said:

    学习了，还不知道有这样的情况

  24. 三利达追月225a on said:

    悄悄滴 我来 正如我悄悄滴走 看一看博主 今天更新了木有

  25. pingback: [重要]通过.htaccess防止主题被下载 | 虾子酱

  26. jezzzz on said:

    here，不完美的解决方案
    http://xiazi.info/archives/important-htaccess-down-error.html

    • 周良 on said:

      @jezzzz : 谢谢虾子…额，到底是姐姐还是哥哥？ :!:

  27. kino on said:

    果然会有，已经删了

  28. 帅哥 on said:

    主题我都是ftp上传，反正又不大。

  29. pingback: wp严重漏洞，小心泄漏你的主题！ | kino talks

  30. yuhao on said:

    这个确实很危险！

  31. 老杨 on said:

    多谢提醒，好像有几个插件zip

    • 周良 on said:

      @老杨 : 呵呵，有用就好

  32. ekgui on said:

    悲剧了 我在后台看了下记录 有好多到我那个目录的404错误 :???:

    • 周良 on said:

      @ekgui : 那样很不错啊，别人下不到你的文件，哈哈

  33. tongnixcv on said:

    确实有这种情况

  34. neomiy on said:

    真是什么人都有啊 :!:

    • 周良 on said:

      @neomiy : 呵呵

  35. 散漫 on said:

    那天在群里听到谁在说这事呢，还好，我是直接上传的文件。

    • 周良 on said:

      @散漫 : 呵呵，我有一个主机只能通过ftp上传，呵呵，不知道是好事，还是坏事…. :!:

  36. 汇标网 on said:

    这个不是漏洞，一直都有存在的！良心的主题很不错，可惜不支持ie6！

    • 周良 on said:

      @汇标网 : 嗯

  37. djend on said:

    :x 速度回访..

    linux主机，在根目录下的 .htaccess 中添加以下代码：
    # for security reasons, option all cannot be overridden.
    #options all -indexes
    options execcgi includes includesnoexec symlinksifownermatch -indexes

    直接封闭所有目录…这是情我也是最近才发现，也觉得蛮危险的…
    不过作为我们收费用户享受的就是售后..爱折腾不如自己做一个主题比去偷实在的多.. :grin:

    • 周良 on said:

      @djend : 恩，谢谢朋友，这个在虾子的博客里面有了

  38. djend on said:

    :oops:

  39. 阿土伯 on said:

    啊，学习了

  40. 荒野无灯 on said:

    这个就不能怪别人喽。。。自己要小心。

    • 周良 on said:

      @荒野无灯 : 嗯，是要小心！

      • 荒野无灯 on said:

        @周良 : 我目前是直接禁止下载，就算获取了url也没用，下载只能通过插件。

        • 周良 on said:

          @荒野无灯 : 嗯，.htaccess 里面可以添加代码禁止下载

  41. 长春网站公司 on said:

    谢博主提醒，这个真的应该要注意

  42. follout on said:

    首先我自己不使用收费的主题.因此我对收费主题有我的看法.
    既然大家都是喜欢wp,热爱wp.为何而来的收费主题,就算是为了你制作的辛苦费.一个主题赚几千块觉得很有面子吗?互联网的精神是什么?
    你可以收费,收够了就免费拿出来.别人想用你的主题是因为你做的主题好看.是对你的赞许.
    你可以做个主题,一年后免费发出来,这也是一种分享.

  43. uk99 on said:

    呵呵，这也行。。

  44. 周良 on said:

    付费主题也是一个版权

    • 张煊的博客 on said:

      就连影视作品的版权都是有时间限制的，难道wp主题的版权是永久的吗？
      参考：著作权法第二十一条

      • 周良 on said:

        呵呵，这样只会打击作者的心。以后国内的付费主题会越来越少的

        • 张煊的博客 on said:

          我觉得不是说不可以，应该有个度，要么是时间上的，要么是价格上的。
          如果我有个收费的主题，我会这样做：
          1.收费收够1000元了就免费放出来。
          2.设定个时间，一年后免费放出来。
          3.价格低一点，30元左右。
          这样以来，还会有人因为喜欢这个主题，看到标着100多大洋的主题望而止步而想尽办法去盗吗？
          我相信一个主题卖100多大洋的这种想法应该不是wp的精神吧？如果说是专门定制主题，价格可以高，因为独此一分。但是你是复制一下就又成了一份无限制的卖呀！有的随时说有限制数量，但也不是独一无二呀！
          在主题盗用这个方面不是别人给你们找麻烦，是你们自己制造了很多麻烦。

          • 周良 on said:

            免费放出来，那么付费主题用户那？呵呵，白花钱吗

            • 张煊的博客 on said:

              按照你这样说的，那么去电影院花钱看电影的人不就成了傻子了吗？等一段时间电影在网上也不是就免费了？那些之前花钱看电影的人是不是就是白花钱呢？

              • 张煊的博客 on said:

                如果说电影院可以享受，那么在视频网上看收费电影的人个个都是脑残吗？等一段时间不就免费放出来了，看了不就白浪费钱了？

                • 周良 on said:

                  你的这个例子和付费主题完全不是一个概念！同样的主题，花钱也可以用，不花钱一样的主题，用户凭什么花钱？

                  • 张煊的博客 on said:

                    因为我可以先用，可以先享受。就和电影一样，花钱可以看，不花钱就是等上一段时间也可以看，难道不花钱看的电影和花钱看的电影内容不一样吗？

                    • 周良 on said:

                      ……我真的不知道应该和你说什么啦，这种模式是不可能的

                    • 张煊的博客 on said:

                      你尝试过吗？没有尝试过怎么可以说不行？哪个创举不是尝试得来的？

                    • 周良 on said:

                      如果你知道付费主题几个月以后会免费，你还会买吗？这个和电影不一样的，电影院花钱体验的是电影院的享受，但主题不一样的

                    • 张煊的博客 on said:

                      为什么不一样？那如果按照你的这种想法，土豆网，优酷网，奇艺网，都没有必要出什么收费电影和vip了。对吧？没有这样尝试，为什么就可以这么坑定的得出结果呢？实践是检验真理的唯一标准！

  45. 周良 on said:

    你敢不敢重新评论一下，回复太多了

  46. 张煊的博客 on said:

    呵呵..主题的一个bug被找到了…我觉得吧什么都应该去尝试下，360尝试免费杀毒软件不就成功了，当时人家都说360免费杀毒软件不行。现在不就好好的。如果没有尝试，360也就是个安全卫士。也不多说了。你收费可以，但是我希望有个度。你可以把价格便宜点呀，这也是一种让步。你想想，为什么会有人使用意想不到的办法去盗你的收费主题呢？如果你的主题就几十块钱，那么他还会这样做吗？我觉得研究这个办法需要的电费就可以买到这个主题了，还会有人这么做吗？

    • 周良 on said:

      我只能说，我从来不发布付费主题。良心的deve主题，35块钱，照样被窃取，然后发布。

  47. s7ool on said:

    良心的deve降价了？真的话我去买一个

    • 周良 on said:

      你要什么付费主题就联系我好了，一般我都可以友情价买到的。

      • s7ool on said:

        我还是想用loper

        • 周良 on said:

          loper价格也不是很贵啊

          • s7ool on said:

            不知道现在你去拿是多少啊！

            • 周良 on said:

              100不到吧

              • s7ool on said:

                给我个具体价格嘛！还有deve的价格！

                • 周良 on said:

                  100和36

  48. 周良 on said:

    嗯

  49. 雨林亭 on said:

    原来wordpress还有这类的安全问题.评论很精彩!

    • 周良 on said:

      嗯。确实，呵呵。

  50. beiyong on said:

    你俩说的都太复杂了，说白了就是一个：利益。你可以谴责一个人无耻，但你不能要求一个人高尚，人家自己做的主题，他完全可以卖钱或者尽管你有钱他看你不爽就是不卖给你，对于你，你可以选择买或者不买，也可以骨头硬一点，自己做一个，这跟电影院提前享受是两码事，请见谅，我喜欢一针见血，遮遮掩掩的太憋屈。

  51. joney on said:

    我很奇怪，那他如何知道zip文件的文件名呢？难道一个个的猜测？

    • 周良 on said:

      主题的名字很简单知道啊。查看网页源代码就可以。通过路径得知。

      • joney on said:

        这个我知道。但是，upload文件夹是按照日期存放的。这就不好猜测是哪天上传的了吧。

        • 周良 on said:

          ……..请仔细看一下我的文章….和日期完全没关系。

          • joney on said:

            了解了。

            • 周良 on said:
        • 周良 on said:

          不不不，他不是存在日期那个文件夹里面的….

  52. chonghua on said:

    不要通过上传zip包安装主题就不会有这种事了啊

    • 周良 on said:

      现在用zip上传都不会有什么问题了

  53. 李凯成博客 on said:

    是的，盗取人家的主题可耻。

    • 周良 on said:

      是的是的！

  54. 小白 on said:

    电影是看过一次就没了，但是wp主题可以一直用下去你想用多长时间就用多长时间，你如果真的想用盗版也不关我事，你良心自己会受到谴责。如果你不为自己所作所为感到惭愧而继续坚持自己的看法，那就是你的人格有问题了。另外，中国有专门的软件著作权法案，虚拟商品的著作权是永久的，任何人在未经许可的条件下使用、盗取、传播他人的版权作品，就是犯罪行为

    • 周良 on said:

      好好！兄弟你说的很有道理！

      • 小白 on said:

        其实我也用过这些盗版主题，deve、mossight我都用过，我看了沐歌的网站后，到现在一直都很惭愧，不能向两位作者道歉也没有财力负担得起这两个主题，很失落..

  55. 周良 on said:

    嗯嗯

  56. 周良 on said:

    嘿嘿~

  57. john shine on said:

    那个版本的wp出了问题，我没发现问题。做个主题的却不简单，我了解，还有可恶的盗版者们！

    • 周良 on said:

      是的！

邮件订阅

输入您的邮箱，即可订阅本站的最新信息。

热门文章

最新评论

友情赞助

迪亚兹旗舰店  gxg男装官网  水星家纺旗舰店  馨雅丽内衣  茵曼女装

随意打赏

提交建议
微信扫一扫，分享给好友吧。
关闭