Der falsche Weg

Auf die Nachfrage, wie er es denn umbenannt hätte, musste er dann zugeben, dass er die originale Datei überschrieben hat. Oder er hatte sie komplett kopiert und dann den einen String geändert, das weiß ich nicht mehr so genau. Aber auf jeden Fall waren wir uns alle einige, dass dies eine sehr schlechte Lösung des Problems ist. Spätestens beim nächsten großen Update, wie z.B. bald auf Version 3.4, wird auch die Übersetzungsdatei wohl wieder überschrieben werden müssen. Alle geänderten Übersetzungen sind somit verloren und müssen erneut überschrieben werden. Ich war mit aber sehr sicher, dass es dafür eine bessere Lösung gibt.

Der richtige Weg

Vor einiger Zeit habe ich dem Artikel Lokalisierung für Child Themes am Beispiel von Thematic beschrieben, wie man in einem Child-Theme die Übersetzungen für Strings im Parent Theme überschreiben kann. Ich war mir sehr sicher, dass dies auch für die WordPress Core Strings funktionieren muss. Bei Core-Übersetzungen wird ja in den Übersetzungsfunktionen keine Domain angegeben. Daher war die erste Vermutung, dass man einfach einen leeren String für das Einbinden der Übersetzungsdatei verwenden muss. Aber das war nicht ganz korrekt. Man muss den String “default” als Parameter verwenden. Damit ist es dann möglich, eine eigene Übersetzungsdatei zu laden. In dieser Datei müssen aber nicht alle Strings enthalten sein. Es reicht aus, wenn man nur die zu überschreibenden aufführt. Die Einbindung dieser mo-Datei geschieht dann wie folgt:

load_textdomain( 'default', dirname( __FILE__ ).'/'.get_locale().'.mo' );

In diesem Beispiel befindet sich dann z.B: die Datei de_DE.mo im selben Verzeichnis wie die Datei, in die diese Zeile eingefügt wurde. Dies kann in eurem Theme aber auch in einem Plugin geschehen. Im Falle von Capsar ist es sogar am sinnvollsten, das ganze als “must-use” Plugin im Ordner /wp-contents/mu-plugins/ abzulegen. Ich habe das ganze natürlich auch mal für euch fertig vorbereitet und ihr könnt es hier herunterladen und einfach als Plugin installieren:

Download

Fazit

Auch hier hat sich wieder gezeigt, wie flexibel WordPress ist. Auch mein Grundsatz “Don’t hack the core, never!” (auf Deutsch würde man wohl sagen “Nur gucken, nicht anfassen!”) wurde dadurch mal wieder bestätigt. Ich habe bisher wirklich noch kein Problem gefunden, dass ich nicht durch ein paar Zeilen Code in der functions.php Datei oder durch ein kleines Plugin lösen konnte, ohne den Core anfassen zu müssen. Das einizige, was einem hier noch passieren könnte ist eine Änderung des zu übersetzenden Strings in einer neuen Version. Dann müsste natürlich auch die Übersetzungsdatei angepasst werden. Aber eben auch nur die wenigen Strings darin und auch nur die, die sich geändert haben.

Was haltet ihr von meiner Lösung? Hättet ihr gedacht, dass so etwas mit nur einer Zeile Code möglich ist? Habt ihr vielleicht auch ähnlich tolle Fixes parat? Über Kommentare würde ich mich wie immer sehr freuen.

Es ist immer sehr aufwändig diese Liste zu pflegen, da ich erst einmal feststellen muss, was sich hinter dem ISO 639 Code verbirgt. Ich konnte aber bis auf einen Code alle finden. Wenn also jemand von euch weiß, welche Sprache sich hinter me_ME verbirgt, dann würde ich mich über einen Kommentar dazu sehr freuen.

Was man aber auch sehr gut an dieser Liste sehen kann ist die schnelle Verbreitung von WordPress in viele Regionen der Welt. Insgesamt enthält das offizielle Sprachdateien-Repository von WordPress mittlerweile 94 Sprachcodes. Hier ist aber z.B. für Deutschland nur die “Du-Version” enthalten. Die eigentliche Anzahl an unterschiedlichen “Sprachen” liegt also vermutlich noch um einiges höher.

Funktion des Plugins

Die Sicherheitslücke steckte in dem Plugin Filedownload. Dieses Plugin wird eingesetzt um eine in WordPress hochgeladene Datei direkt zum Download anzubieten. In der Regel öffnet ein Browser ja eine Datei, die er direkt anzeigen kann, wie z.B. ein Bild oder eine PDF-Datei. Dieses Plugin gibt aber nun die angeforderte Datei so an den Browser zurück, dass dieser das Download-Dialogfenster öffnet und den Benutzer zum Download der Datei auffordert.

Die Sicherheitslücke

Die Sicherheitslücke bestand darin, dass das Plugin auch relative Verzeichnispfade akzeptierte. So konnte ohne weiteres die „wp-config.php“ Datei angefordert werden. Da hier alle Zugangsdaten in Klartext gespeichert sind und der Blog zusätzlich auch noch für den FTP-Account die gleichen Zugangsdaten nutzte, konnte der Angreifer ohne Probleme eigene Dateien hochladen. Ein böser Hacker hätte das ausnutzen und beliebigen Schadcode ausführen können (allerdings wohl nicht mit Administrationsrechten).

Der Autor des Plugins hat den Fehler mittlerweile behoben. Es gibt aber leider noch sehr viele Blog, die noch die unsichere Version verwenden. Diejenigen von euch, die auch dieses Plugin einsetzen, sollten also sofort auf die neueste Version updaten.

Weitere Beispiele für bekannte Sicherheitslücken

Im August wurde ein Sicherheitsproblem in der Funktion timthumb bekannt. Dabei war es einem Angreifer möglich eine beliebige Datei in ein System einzuschleusen. Damit konnte der Angreifer dann beliebigen Schadcode auf dem infizierten System ausführen. Da die timthumb Funktion von sehr vielen Themes verwendet wird, waren sehr viele Blogs angreifbar. Hier kommt erschwerend hinzu, dass für jedes Theme ein eigenes Sicherheitsupdate notwendig war, da fast alle Themes die Funktion direkt in das Theme integriert haben und somit auch die Sicherheitslücke nicht zentral für alle Themes geschlossen werden konnte. Im WordPress Repository findet man daher das Plugin Timthumb Vulnerability Scanner, mit dem man seinem Blog auf die noch offene Sicherheitslücke hin untersuchen kann. Damals wurde glücklicherweise von WordPress Deutschland Team und auch bei heise.de davon berichtet, so dass viele auf die Sicherheitslücke aufmerksam wurden.

Fazit

Es ist durch Plugins sehr einfach möglich die Funktionalität seines Blogs zu erweitern. Aber es ist leider auch sehr einfach möglich, seinen Blog dadurch einem erhöhten Sicherheitsrisiko auszusetzen. Es sollte nun niemand in Panik verfallen und alle Plugins deinstallieren. Es soll nur ein Appell sein die Updates, die für die diversen Plugins ständig im Backend angeboten werden auch zu installieren. Die meisten Plugin-Autoren pflegen auch ein Changelog, in dem man nachlesen kann, welche Änderungen die neue Version enthält. Aber in der Regel werden dadurch Fehler oder eben Sicherheitslücken geschlossen. Als zusätzliche Maßnahme sollte man eine regelmäßige Sicherung seines Blogs durchführen. Dazu teste ich seit ein paar Wochen BackWPup. Ich werde euch demnächst ausführlich darüber berichten.

Zuerst einmal muss die originale “Search Loop” in eine Datei mit dem Namen wp-instant-search-template.php kopiert werden. Diese Datei muss dann in euer Theme Verzeichnis kopiert werden. Die “Search Loop” findet ihr in aller Regel in einer Datei mit dem Namen search.php in eurem Theme Verzeichnis. Er könnte z.B. wie folgt aussehen (aus dem alten “Default” Theme):

<?php
/**
 * @package WordPress
 * @subpackage Default_Theme
 */

get_header(); ?>

	<div id="content" class="narrowcolumn" role="main">

	<?php if (have_posts()) : ?>

		<h2 class="pagetitle">Search Results</h2>

		<div class="navigation">
			<div class="alignleft"><?php next_posts_link('&laquo; Older Entries') ?></div>
			<div class="alignright"><?php previous_posts_link('Newer Entries &raquo;') ?></div>
		</div>

		<?php while (have_posts()) : the_post(); ?>

			<div <?php post_class() ?>>
				<h3 id="post-<?php the_ID(); ?>"><a href="<?php the_permalink() ?>" rel="bookmark" title="Permanent Link to <?php the_title_attribute(); ?>"><?php the_title(); ?></a></h3>
				<small><?php the_time('l, F jS, Y') ?></small>

				<p class="postmetadata"><?php the_tags('Tags: ', ', ', '<br />'); ?> Posted in <?php the_category(', ') ?> | <?php edit_post_link('Edit', '', ' | '); ?>  <?php comments_popup_link('No Comments &#187;', '1 Comment &#187;', '% Comments &#187;'); ?></p>
			</div>

		<?php endwhile; ?>

		<div class="navigation">
			<div class="alignleft"><?php next_posts_link('&laquo; Older Entries') ?></div>
			<div class="alignright"><?php previous_posts_link('Newer Entries &raquo;') ?></div>
		</div>

	<?php else : ?>

		<h2 class="center">No posts found. Try a different search?</h2>
		<?php get_search_form(); ?>

	<?php endif; ?>

	</div>

<?php get_sidebar(); ?>

<?php get_footer(); ?>

Hiervon benötitg ihr den teil innerhalb des DIV mit der ID “content”. In der Regel startet die “Search Loop” mit if(have_posts()) und endet mit endif;. Aus dem Beispeil müssen also die Zeilen 11-41 in die Datei “wp-instant-search-template.php” kopiert werden.

Ist dieser Schritt getan, erzeugt die Instant Suche bereits die korrekte Ausgabe. Diese muss aber nun auch noch in das richtige DIV eingefügt werden. Die ID dieses DIV können wir auch recht einfach aus dem Beispiel-Quellcode ablesen. Es handelt sich natürlich um den Wert “content” da wir im vorherigen Schritt den Inhalt eben dieses DIVs kopiert haben. Diese ID wird nun in der Einstellungs-Seite des Plugins eingetragen:

Damit sollte dann die Einstellung des Plugins auch schon abgeschlossen sein. Sollte es bei euch doch nicht funktionieren oder ihr auf Probleme mit eurem Plugin stoßen, dann hinterlasst bitte einfach auf diesem Post oder auf dem Post zu dem Plugin selbst einen Kommentar. Für Anregungen zur Verbesserung des Plugins bin ich natürlich auch offen.

Eine detailiertere Beschreibung zur Einrichtung des Plugins findet ihr hier: Das WP-Instant Plugin für euer Theme anpassen

Installation:

Installation über die WordPress Adminstrator-Seiten:

1. Gehe zur Admin-Seite Plugins -> Installieren
2. Suche nach kau-boy und wähle das Plugin aus
3. Wähle die Aktion Jetzt installieren
4. Klicke auf Jetzt installieren
5. Aktiviere das Plugin über den Plugins Menüpunkt in WordPress
6. Du musst eventuell die Einstellungen anpassen, vor allem den Wert für die “Inhalts Tag ID”
7. Erzeuge eine Datei mit dem Namen “wp-instant-search-template.php” und kopiere die “Search Loop” innerhalb des “Inhalts Tags” hinein

Installation unter Verwendung der WordPress Adminstrator-Seiten:

1. Lade die zip-Datei des Plugins herunter: wp-instant.1.1.zip
2. Gehe zur Admin-Seite Plugins -> Installieren
3. Wähle den Link Hochladen unter Plugins Installieren Überschrift
4. Wähle die zip-Datei aus und klicke Jetzt installieren
5. Aktiviere das Plugin über den Plugins Menüpunkt in WordPress
6. Du musst eventuell die Einstellungen anpassen, vor allem den Wert für die “Inhalts Tag ID”
7. Erzeuge eine Datei mit dem Namen “wp-instant-search-template.php” und kopiere die “Search Loop” innerhalb des “Inhalts Tags” hinein

Installation unter Verwendung von FTP

1. Lade die zip-Datei des Plugins herunter: wp-instant.1.1.zip
2. Entpacke es und lade es in dein /wp-content/plugins/ Verzeichnis hoch
3. Aktiviere das Plugin über den Plugins Menüpunkt in WordPress
4. Du musst eventuell die Einstellungen anpassen, vor allem den Wert für die “Inhalts Tag ID”
5. Erzeuge eine Datei mit dem Namen “wp-instant-search-template.php” und kopiere die “Search Loop” innerhalb des “Inhalts Tags” hinein

Versionsgeschichte:

• 1.1 Fehler mit uninitialisierten Variablen behoben
• 1.0 Einsatz von AJAX, so wie es hier beschrieben wird: http://codex.wordpress.org/AJAX_in_Plugins
• 0.2 Verwendung von STYLESHEETPATH als primärem Ordner für die Suche nach einem Suchtemplate
• 0.1 Erste stabile Version

Wenn dir dieses Plugin gefällt oder dir etwas fehlt, würde ich mich freuen es zu erfahren. Hinterlasse einfach ein Kommentar auf dieser Seiter oder auf meiner WordPress Plugin Seite.

Jeder Besucher des Blog kann eine Suche zu seinem Browser hinzufügen und so sehr schnell und jeder Zeit nach einem Artikel suchen. Das Plugin muss dabei nicht konfiguriert werden. Einfach installieren und aktivieren.

Installation:

Installation über die WordPress Adminstrator-Seiten:

1. Gehe zur Admin-Seite Plugins -> Installieren
2. Suche nach kau-boy und wähle das Plugin aus
3. Wähle die Aktion Jetzt installieren
4. Klicke auf Jetzt installieren
5. Aktiviere das Plugin über den Plugins Menüpunkt in WordPress

Installation unter Verwendung der WordPress Adminstrator-Seiten:

1. Lade die zip-Datei des Plugins herunter: kau-boys-opensearch.0.1.zip
2. Gehe zur Admin-Seite Plugins -> Installieren
3. Wähle den Link Hochladen unter Plugins Installieren Überschrift
4. Wähle die zip-Datei aus und klicke Jetzt installieren
5. Aktiviere das Plugin über den Plugins Menüpunkt in WordPress

Installation unter Verwendung von FTP

1. Lade die zip-Datei des Plugins herunter: kau-boys-opensearch.0.1.zip
2. Entpacke es und lade es in dein /wp-content/plugins/ Verzeichnis hoch
3. Aktiviere das Plugin über den Plugins Menüpunkt in WordPress

Screenshots:

Screenshot der Autmatischen Erkennung der Suche durch Firefox

Versionsgeschichte:

• 0.1 Erste stabile Version

Wenn dir dieses Plugin gefällt oder dir etwas fehlt, würde ich mich freuen es zu erfahren. Hinterlasse einfach ein Kommentar auf dieser Seiter oder auf meiner WordPress Plugin Seite.

Da ich mich bei der Entwicklung an bestimmte Standards gehalten habe und keine als DEPRECATED (veraltet) gekennzeichnete Funktion eingesetzt habe, sollten die Plugins dann auch mit der finalen Version von WordPress 3.0 funktionieren. Ich werde aber die NIGHTLY BUILDS in regelmäßigen Abständen testen und eventuell auftretende Fehler noch vor dem Erscheinen der finalen Version von WordPress 3.0 beheben.

Solltet ihr bereits Fehler mit WP 3.0 gefunden haben oder aber einen Fehler mit einer aktuellen Version, dann teilt mir das bitte in einem Kommentar auf den Pluginseiten oder in diesem Post mit.

Ich wünsche uns allen viel Spaß mit den tollen neuen Features von WP 3.0 und hoffe, dass wir sie bald in einer finalen Version genießen können.

Der eingegebene Text kann in den Titel der Beiträge und/oder im Inhalt gesucht werden. Es kann zusätzlich die Formatierung der Ergebnisse über eine eigene CSS Datei an den Blog angepasst werden. Es kann jeweils der Titel oder zusätzlich ein Teil des Inhalts angegeben werden, wobei hier auch die Länge des auszugebenden Inhaltes eingestellt werden kann.

Installation:

Installation über die WordPress Adminstrator-Seiten:

1. Gehe zur Admin-Seite Plugins -> Installieren
2. Suche nach kau-boy und wähle das Plugin aus
3. Wähle die Aktion Jetzt installieren
4. Klicke auf Jetzt installieren
5. Aktiviere das Plugin über den Plugins Menüpunkt in WordPress
6. Du musst eventuell die Einstellungen anpassen, gerade wenn dein Suchfeld eine andere ID als s hat

Installation unter Verwendung der WordPress Adminstrator-Seiten:

1. Lade die zip-Datei des Plugins herunter: kau-boys-autocompleter.zip
2. Gehe zur Admin-Seite Plugins -> Installieren
3. Wähle den Link Hochladen unter Plugins Installieren Überschrift
4. Wähle die zip-Datei aus und klicke Jetzt installieren
5. Aktiviere das Plugin über den Plugins Menüpunkt in WordPress
6. Du musst eventuell die Einstellungen anpassen, gerade wenn dein Suchfeld eine andere ID als s hat

Installation unter Verwendung von FTP

1. Lade die zip-Datei des Plugins herunter: kau-boys-autocompleter.zip
2. Entpacke es und lade es in dein /wp-content/plugins/ Verzeichnis hoch
3. Aktiviere das Plugin über den Plugins Menüpunkt in WordPress
4. Du musst eventuell die Einstellungen anpassen, gerade wenn dein Suchfeld eine andere ID als s hat

Screenshots:

Screenshot des Plugins in einem neuen WordPress blog

Screenshot der Einstellungsseite (auch in englisch erhältlich)

Versionsgeschichte:

• 3.1.2 Zurücksetzen der vorherigen Änderungen, da sie das Problem nicht lösen sondern es eher auslösen
• 3.1.1 Ersetzen von appendTo() mit prependTo() im jquery.autocompleter plugin zum beheben von Überlagerungs-Problemen
• 3.1 Ausblenden von PHP Warnungen, wenn WP_DEBUG inaktiv ist und Einfügen des Ergebnis-DIV in den Kopf des BODY Tag
• 3.0.4 Beheben eines Tippfehlers in der jQuery URL
• 3.0.3 Beheben eines Tippfehlers im jQuery-Selektor
• 3.0.2 Retag als 3.0.2 aufgrund eines Deploment-Fehlers im Respository
• 3.0.1 Schneller bugfix für Prototype CSS und JavaScript
• 3.0 Einsatz von AJAX, so wie es hier beschrieben wird: http://codex.wordpress.org/AJAX_in_Plugins
• 2.5 Anpassen das Plugin an WordPress Installationen, bei denen die wp-config.php eine Orderebene über dem ROOT Verzeichnis liegt.
• 2.4 Fehler mit html Entitäten im Filter beheben
• 2.3 Fehler des JavaScript in IE8 in Verbindung mit Prototype beheben
• 2.2 Deaktivieren der Suche für Suchfelder im Adminbereich und Ermöglichen der Verwendung zusammen mit dem relevanssi Plugin
• 2.1 Hinzufügen einer neuen Version von jQuery Autocomplete
• 2.0.1 Entfernen von “short open tags”, die auf blogs die Fehler verursachen die “short_open_tag” nicht auf “On” gesetzt haben
• 2.0 Autocompleter mit mehreren Textfelder auf einer Seite nutzbar machen, verbessern der Kürzung des Inhalt von Artikeln
• 1.9 Beheben von Problemen mit PHP4, funktioniert nun auch mit qTranslate im “Query-Modus” (?lang=de)
• 1.8 Hinzufügen der Einstellung für die Länge des Titels und des Inhalts in den Ergebnissen
• 1.7 Erstzen von jQuery suggest durch jQuery autocomplete, da das suggest Plugin HTML Auszeichnungen zerstört
• 1.6.1 Verwendung des id Attributs als Standard anstelle des name Attributs
• 1.6 Hinzufügen der Möglichkeit das Suchfeldes anhand des name Atrrbiuts auszuwählen
• 1.5.2 Hinzufügen der richtigen Kodierung zu html_entity_decode() um das Zerteilen von XML Enitäten zu verhindern
• 1.5.1 Fehler im AJAX repsonse behoben, der die Einstellung für die Ergebnisfelder nicht geladen hat
• 1.5 Hinzufügen Auswahlmöglichkeiten für die Such- und Ergebnisfelder
• 1.4.1 Aktualisierung der Übersetzungsdatei
• 1.4 Kombinieren der Styles für jQuery und script.aculo.us, Hinzufügen  einer Einstellung zur Multibyte-Kodierung
• 1.3.5 Fehler bei der html_entity_decode() Konvertierung beseitigt
• 1.3 Enfternen eines Kommentars in autocompleter.js.php, welcher eine PHP header warning  erzeugt hat
• 1.2 Verwendung von html_entity_decode() um das Zerteilen von Enitäten zu verhindern
• 1.1 Entfernen von WordPress shortcodes um leere oder falsche Seiten zu verhindern
• 1.0 Möglichkeit jQuery ODER script.aculo.us zu verwenden, Übersetzen der Einstellungsseite ins Deutsche
• 0.4 Hinzufügen der Einstellung für die Anzahl der Suchergebnisse und der eigenen CSS Date
• 0.3 Hinzufügen der Einstellung für die Suchfeld ID
• 0.2 Erste stabile Version

Wenn dir dieses Plugin gefällt oder dir etwas fehlt, würde ich mich freuen es zu erfahren. Hinterlasse einfach ein Kommentar auf dieser Seiter oder auf meiner WordPress Plugin Seite.