Проблеми міграції

Tue, 07 Apr 2015 02:40:36 +0300

Є непоганий сайт про новини мого рідного міста – “новини Сєвєродонецька”. І є непогана звичка – читати новини в RSS стрічці: якщо відкрити стрічку “того ж” УНІАН та сайт УНІАН (просто для прикладу), то на сайті “одразу впадає в око” те, що новинна агенція хоче виділити. А у стрічці – всі новини рівні, і можна помітити важливе саме для себе. Так само, як і в 230 інших джерелах, які збираються до мене в агрегатор:) Так ось, якийсь час тому у стрічці з’явилося повідомлення, що сайт переходитиме на інший майданчик… І тиша.

Проблеми міграції бувають різні

Довгий час я про нього не згадував, поки “стуляком долі” не замислився перекласти http://slavaqa.pp.ua з друпала на вордпрес. Не те що б у друпала мені щось не подобалося… Але для мене особисто в останні кілька місяців вордпрес став зрозумілішим, ніж друпав за останні 2 роки використання: зручніше “колупати і виколупувати”. Прощаються з друпалом остаточно не збираюся – тестовий демо-майданчик як “крутився” так і буде, але рішення було приємно – і змігрувався. Зокрема (з іншого ресурсу) розпочав міграцію RSS новин… Хм… А де ж “новини Сєвєродонецька”? І тут (дуже вчасно:)) зрозумів, що урл RSS-ки змінився і в мене, і в улюбленого сайту! Що ж… Буває)

Пункти, важливі під час міграції

Отже, якщо Ви колись задумаєтеся над “кардинальною міграцією” Вашого сайту з однієї платформи на іншу, зверніть увагу на те, що збереглися б незмінними:

Адреса RSS (інакше можна втратити всіх передплатників)
SItemaps, “скормлені” пошуковим системам (або “годуйте” нові)
Permalinks (вони ж – “постійні посилання”) – формат адрес сторінок добре залишати без змін. Або налаштувати “правильні редиректи”. Інакше вся пошукова індексація, закладки в браузерах всіх численних передплатників і фанатів виявляться марними 404 помилками (вкрай розчарувавши СЕО-інженера)
Google/Yandex analitics та метрикс коди. Залежно від цього, як було реалізовано зв’язка з аналітикою, код може й загубитися, що було погано.

Ось, власне, стисло ті проблеми світграції, з якими зіткнувся. На жаль, вже постфактум. Сподіваюся, комусь ця коротка замітка допоможе подібним “граблям” запобігти.

З.Ю. Звичайно згоден, що краще використовувати не друпали та вордпреси, а своєписне своє. І дірок менше, і знаєш, десь лежить. Але це “зовсім інша історія”:)

Drupal 7.35 – оновлення безпеки

Thu, 19 Mar 2015 14:25:37 +0200

Вийшло оновлення Drupal 7.35, яке включає фікси безпеки.

Опис з офіційного сайту:

Description
Access bypass (Password reset URLs – Drupal 6 and 7)

Password reset URLs can be forged under certain circumstances, allowing an attacker to gain access to another user’s account without knowing the account’s password.

In Drupal 7, this vulnerability is mitigated by the fact that it can only be exploited on sites where accounts have been imported or programmatically edited in a way that results in the password hash in the database being the same for multiple user accounts. In Drupal 6, it can additionally be exploited on sites where administrators have created multiple new user accounts with the same password via the administrative interface, or where accounts have been imported or programmatically edited in a way that results in the password hash in the database being empty for at least one user account.

Drupal 6 sites that have empty password hashes, or a password field with a guessable string in the database, are especially prone to this vulnerability. This could apply to sites that use external authentication so that the password field is set to a fixed, invalid value.

Drupal

Open redirect (Several vectors including the “destination” URL parameter – Drupal 6 and 7)

Drupal core and contributed modules frequently use a “destination” query string parameter in URLs to redirect users to a new destination after completing an action on the current page. Under certain circumstances, malicious users can use this parameter to construct a URL that will trick users into being redirected to a 3rd party website, thereby exposing the users to potential social engineering attacks.

In addition, several URL-related API functions in Drupal 6 and 7 can be tricked into passing through external URLs when not intending to, potentially leading to additional open redirect vulnerabilities.

This vulnerability is mitigated by the fact that many common uses of the “destination” parameter are not susceptible to the attack. However, all confirmation forms built using Drupal 7’s form API are vulnerable via the Cancel action that appears at the bottom of the form, and some Drupal 6 confirmation forms are vulnerable too.

Drupal on jUst QA blog

Проблеми міграції

Пункти, важливі під час міграції

Drupal 7.35 – оновлення безпеки

Drupal

Open redirect (Several vectors including the “destination” URL parameter – Drupal 6 and 7)