WordPress en sí, en la wp-contentcarpeta, incluye un archivo PHP vacío que se ve así.
<?php
// Silence is golden.
?>¿Deberían los complementos incluir un archivo vacío como este también para evitar que la gente vea el contenido de un directorio? ¿Qué pasa con las carpetas adicionales en los temas, como un includesdirectorio?
plugin-development
theme-development
chrisguitarguy
fuente
fuente
Options –Indexesen el .htaccess incluido, por lo que estos archivos no serían necesarios ...Respuestas:
No, no deberían. Si un complemento tiene vulnerabilidades solo porque alguien pueda ver su estructura de directorios, está roto. Estos errores deben corregirse.
La seguridad a través de la oscuridad es un error en sí mismo.
Depende del propietario del sitio permitir o prohibir la exploración de directorios.
Un segundo problema es el rendimiento: WordPress escanea todos los archivos PHP en el directorio raíz de un complemento para encontrar encabezados de complemento. Esto le permite tener múltiples complementos en el mismo directorio, por ejemplo
/wp-content/plugins/wpse-examples/.También significa que los archivos PHP no utilizados en ese directorio están desperdiciando tiempo y memoria cuando WordPress está buscando complementos. Un archivo no hará mucho daño, pero imagine que esto se está convirtiendo en una práctica común. Estás creando un problema real en un intento de arreglar una ficción.
fuente
index.php? eso podría ser una solución óptimaVoy a decir que sí. La seguridad a través de la oscuridad funciona si eres más oscuro que tus vecinos :) (bromeando, pero hay algo de verdad en eso).
La realidad es que los bots / escáneres ahora compilan las listas de complementos directamente desde wordpress.org y rastrean directamente la url del complemento, las versiones de huellas digitales para exploits conocidos y mantienen la información en una base de datos como referencia.
Entonces, ¿cuál preferiría tener, un bot que no puede recopilar información sobre su instalación o dejarlo en manos del autor del complemento para asegurarse de que esté seguro? ¿Qué tal ambos?
PD. En una nota al margen, hubo 186 vulnerabilidades reportadas de los complementos de wordpress.org el año pasado (* informó ...).
fuente
index.phpno protegería nada, solo obtendría una falsa sensación de seguridad.Dado que el núcleo de WordPress lo hace, tiene sentido que los complementos sigan su ejemplo. Si bien todo esto se puede proteger con varias configuraciones del lado del servidor, no está de más tener un valor predeterminado (probablemente por qué lo hace el núcleo de WordPress).
fuente
Como señaló Fuxia, existe un inconveniente en el rendimiento al tener un
.phparchivo adicional que WordPress escanea en busca de complementos. Unindex.htmlprobablemente sería una mejor opción. Por supuesto, la mejor opción sería prohibir la exploración de directorios a través del servidor web.Y también, la seguridad a través de la oscuridad no es buena.
fuente