jaké je ideální nastavení pro řešení bezpečnostních problémů?
<p>jsem si vědom požadavků wp má pro některé adresáře a soubory být zapisovatelný. jsem si také vědom, že zpřístupnění oprávnění může otevřít bezpečnostní otvory. konečně, vím, že uživatel, který (zde vloží váš server) běží jako na linuxových systémech, může být faktorem.</p><p>bezpečnost stranou, ráda si mohu stahovat motivy a pluginy do svého blogu a v případě potřeby je aktualizovat. správná oprávnění se zdají být trochu v rozporu s touto preferencí.</p><p>sbíral jsem tu trošku detailů, ale rád bych viděl definitivnější odpověď, pokud existuje jedna: co je preferované nastavení s kývnutím na bezpečnost? jaká oprávnění by měla být zavedena, jaký uživatel má web spustit, atd.</p>
<p>pokud máte ftp přístup k vašemu serveru, nejbezpečnější nastavení není mít vaše motivy nebo pluginy adresáře zapisovatelné váš webserver a místo toho mít wordpress aktualizovat soubory pomocí ftp. když jdete na aktualizaci pluginu, wordpress vás vyzve k zadání podrobností o ftp.</p><p>metoda ftp je mnohem pomalejší než přímé zápisy souborů, ale je mnohem bezpečnější, protože nečestný skript nebude moci soubory upravovat.</p>
Videl bych to na prava na slozce. Pouzivam osobne XP, ale na nich se musi v moznostech slozky odzaskrtnout pole pouzivat zjednodusene sdileni. Po te pri kazdem nastavovani sdileni slozky pribude zalozka s pravama, kde se da nastavit uzivatel nebo skupina, ktera do slozky muze vstupovat, zapisovat atd. V minulosti jsem se s tim setkal, myslim ze mi pomohlo nastavit sit pomoci pruvodce (ve win XP) a potom si prenastavit ip adresy rucne. Mam dojem, ze v systemu musi byt povoleny uzivatel guest (pro lokalni prihlaseni lze zakazat), jinak se pta na heslo. Prave pruvodce by tyhle blbosti mel nastavit... <p><em><strong>update</strong></em>: když jsem poprvé zaslal svou odpověď, zmeškal jsem podstatu otázky; moje odpověď byla o zabezpečení <code>.htaccess</code> obecně a nyní je uvedena pod dvojitou linií (podívejte se dolů, pokud vás to zajímá.) bohužel nemám specifické zkušenosti s zabezpečením <code>/wp-admin/</code> pomocí <code>.htaccess</code>, takže jednoduše uvedu dva zdroje, které budu sledovat kdy a jestli to potřebuji:</p><ul> <li> <a href="http://blogsecurity.net/wordpress/article-210607">vytvrzování wordpressu pomocí .htaccess</a> </li> <li> <a href="http://www.askapache.com/wordpress/htaccess-password-protect.html#comment">askapache ochrana heslem, pro wordpress</a> </li> </ul><p>první z nich doporučuje následující (a zde je <a href="http://wordpress.org/support/topic/codes-for-htaccess-in-wp-admin">nějaká diskuse o tom</a> .)</p><pre><code>&lt;files ~ "\.(php)$"&gt; authuserfile /etc/httpd/htpasswd authtype basic authname "restricted" order deny,allow deny from all require valid-user satisfy any &lt;/files&gt; </code></pre><p>ten má spoustu informací, zejména v komentářích, ale pokud vám poskytneme seznam ke čtení, není to odpověď, kterou jste hledali.</p><p>je mi líto, že jsem nemohl být na tomto místě užitečnější.</p><p></p><p>obvykle wordpress má pouze následující, které zpracovávaly zpracování permalinků a nesouvisí s bezpečností:</p><pre><code># begin wordpress &lt;ifmodule mod\_rewrite.c&gt; rewriteengine on rewritebase / rewriterule ^index\.php$ - [l] rewritecond %{request\_filename} !-f rewritecond %{request\_filename} !-d rewriterule . /index.php [l] &lt;/ifmodule&gt; # end wordpress </code></pre><p>nedávno jsem našel <a href="http://wordpress.org/extend/plugins/wp-htaccess-control/">wp htacess control</a> plugin, který spravuje spoustu <code>.htaccess</code> pro vás a já to mám moc rád. po úpravě nastavení přidala následující možnosti:</p><pre><code># wphtc: disable serversignature on generated error pages serversignature off # wphtc: disable directory browsing options all -indexes # wphtc: protect wp-config.php &lt;files wp-config.php&gt; order allow,deny deny from all &lt;/files&gt; # wphtc: protect .htaccess file &lt;files ~ "^.*\.([hh][tt][aa])"&gt; order allow,deny deny from all &lt;/files&gt; </code></pre><p>přidala také tyto možnosti, které se týkají výkonu místo zabezpečení:</p><pre><code># wphtc: setting mod\_gzip &lt;ifmodule mod\_gzip.c&gt; mod\_gzip\_on yes mod\_gzip\_dechunk yes mod\_gzip\_item\_include file \.(html?|txt|css|js|php|pl)$ mod\_gzip\_item\_include handler ^cgi-script$ mod\_gzip\_item\_include mime ^text/.* mod\_gzip\_item\_include mime ^application/x-javascript.* mod\_gzip\_item\_exclude mime ^image/.* mod\_gzip\_item\_exclude rspheader ^content-encoding:.*gzip.* &lt;/ifmodule&gt; # wphtc: setting mod\_deflate &lt;ifmodule mod\_deflate.c&gt; addoutputfilterbytype deflate text/html text/plain text/xml application/xml application/xhtml+xml text/javascript text/css application/x-javascript browsermatch ^mozilla/4 gzip-only-text/html browsermatch ^mozilla/4.0[678] no-gzip browsermatch bmsie !no-gzip !gzip-only-text/html header append vary user-agent env=!dont-vary &lt;/ifmodule&gt; </code></pre><p>kromě toho jsou některé pluginy, které jsem se nesnažil, ale které jsou zaměřeny na zabezpečení a které pracují s <code>.htaccess</code> - můžete je zkusit každý, abyste viděli, co dělají v souboru <code>.htaccess</code>:</p><ul> <li> <a href="http://wordpress.org/extend/plugins/wp-super-secure-and-fast-htaccess/">wp super bezpečný a rychlý htaccess</a> ( <a href="http://www.andreapernici.com/wordpress/wp-super-secure-and-fast-htaccess/">také</a> )</li> <li> <a href="http://wordpress.org/extend/plugins/bulletproof-security/">bulletproof zabezpečení</a> </li> <li> <a href="http://wordpress.org/extend/plugins/silence-is-golden-guard/">ticho je zlatá stráž</a> </li> <li> <a href="http://wordpress.org/extend/plugins/wp-blockyou/">wp-blockyou</a> </li> <li> <a href="http://wordpress.org/extend/plugins/stealth-login/screenshots/">stealth přihlášení</a> </li> <li> <a href="http://wordpress.org/extend/plugins/http-authentication/">ověření http</a> </li> <li> <a href="http://wordpress.org/extend/plugins/askapache-password-protect/">askapache password protect</a> </li> </ul><p>kromě toho, pokud chcete znát (imo) # 1 expert zdroj na <a href="http://www.askapache.com/search/wordpress+security/">zabezpečení apache související s wordpress</a> můžete najít na <a href="http://www.askapache.com/">askapache.com</a> ; vole je hardcore! jeho blog nevyřeší váš problém "<em>příliš mnoho informací</em>", ale alespoň ho můžete zobrazit jako autoritativní zdroj!</p><p>zde jsou některé příklady (i když ne všechny jsou přímo související s wordpressem)</p><ul> <li> <a href="http://www.askapache.com/wordpress/advanced-wp-config-php-tweaks.html">pokročilé aplikace wordpress wp-config.php tweak</a> </li> <li> <a href="http://www.askapache.com/security/wordpress-plugin-for-apache-htaccess-security.html#menu0-el1">příklad .htaccess pro wordpress</a> </li> <li> <a href="http://www.askapache.com/wordpress/wordpress-404.html">pokročilá aplikace wordpress 404</a> </li> <li> <a href="http://www.askapache.com/htaccess/mod\_security-htaccess-tricks.html">mod\_security .htaccess triky</a> </li> <li> <a href="http://www.askapache.com/htaccess/htaccess-plugin-blocks-spam-hackers-and-password-protects-blog.html">plugin bloků .htaccess blok spamu, hackerů a hesel</a> </li> </ul><p>každopádně doufám, že to pomůže.</p> no tak zaprve je divny ze se nejde prihlasit na FTP. pokud jste nemenil heslo tak kdo by ho menil ?? Kontaktujte podporu.Dal pokud bude fungovat ftp a stale to nepujde by bylo nejjednodussi vratit obsah hostingu ze zalohy (+db).. Wedos jiste denne zalohuje... a dalsi spravu webu bych doporucil sverit nekomu kdo se v tom lip vyzna... (bez urazky).A taky bych si nikdy nedal web na kterym "stoji byznys" k wedosu - ja s nima zkusenosti nemam, ale jejich povest je predchazi.. <p><strong> [~ # ~] aktualizováno [~ # ~] </strong></p><p>zkontroloval bych následující:</p><ol> <li> <p>protokoly. pokud máte root přístup, měli byste zkontrolovat věci jako <code>history</code>, které vám poskytnou historii příkazů a protokolované soubory v <code>/var/logs</code>.</p> </li> <li> <p>základní hodnota. pokud máte základní linii jako hash souborů pro práci s aplikačními a systémovými soubory, pomůže vám to hodně. zálohy můžete také použít k porovnání předchozího stavu. pokud používáte zálohu k porovnání souborů, použijte, pokud je to možné, o něco starší. stránka mohla být před nějakou dobou ohrožena a teprve nyní je přesměrování aktivováno.</p> </li> <li> <p>zkontrolujte jakékoli položky. soubory nemusí být na vašem serveru. mohou to být skripty, jako jsou značky typu <code>&lt;script src=”http://baddomain.com/s.js” /&gt;</code> nebo <code>iframe</code>. nevylučujte také obrázky, soubory pdf flash (swf), video soubory. je docela běžným trikem vkládání odkazů do souborů jiného typu obsahu. navrhuji, abyste je zkontrolovali ručně, zejména na začátku a na konci souboru. soubor může být kompletně odkazem/html/javascript nebo se může jednat o legitimní obrazový soubor s koncem odkazu na konci souboru.</p> </li> <li> <p>zkontrolujte neobvyklá data souborů, velikosti a oprávnění, např. 777.</p> </li> <li> <p>zkontrolujte neobvyklé úlohy u cron. někdo ohrožující systém často opustí zadní dveře, aby se sem dostal znovu a znovu. cron je velmi populární způsob, jak toho dosáhnout, pokud se jim podaří dostat se tak daleko.</p> </li> <li> <p>zkontrolujte, zda neexistují soubory. pravděpodobně nebudete mít přístup k protokolům, ale jejich absence je stejně známkou, že někdo po sobě vyčistil.</p> </li> <li> <p>použijte vyhledávače. není divu, že vyhledávače dokáží najít vše. použijte direktivy jako <code>site:</code> <code>site:yoursitehere.com baddomain.com</code> zjistěte, zda se vám nepodaří získat nějaké zásahy.</p> </li> <li> <p>často bude odkaz nebo přesměrování zamlženo, takže by měl být pečlivě analyzován dlouhý javascriptový kód s proměnnými s jedním písmenem.</p> </li> <li> <p>zachyťte pakety pomocí nástroje jako wireshark nebo tcpdump ze zabezpečené pracovní stanice na web. uložte jej do souboru a vyhledejte v něm části adresy url.</p> </li> <li> <p>zkontrolujte záznamy databáze, které mohou být dotazovány nebo aktualizovány. odkaz mohl být vložen do databáze, nikoli do php.</p> </li> <li> <p>nevylučujte pracovní stanici klienta. v případě potřeby použijte bezplatný online antivirový program. zkontrolujte také <code>nslookup</code> a podívejte se, k čemu se to vyřeší. zkontrolujte rozšíření prohlížeče, vymažte mezipaměť a zkontrolujte soubory <code>hosts</code>.</p> </li> </ol><p>chcete-li to vyčistit (pokud jste ohroženi), musíte se vrátit zpět na holý kov a znovu jej nainstalovat. je to bolestivé, ale je to jediný způsob, jak se ujistit, že máte všechno.</p><p>chcete-li tomu zabránit v budoucnu, měli byste dělat následující (i když již možná některé z nich děláte):</p><ol> <li> <p>vytvářejte servery, včetně používání doporučení výrobce o bezpečných konfiguracích, pomocí aktuálního softwaru. používejte přísnou kontrolu zabezpečení, jako jsou oprávnění, zásady týkající se hesel. viz také <a href="https://security.stackexchange.com/questions/7141/folder-and-file-permission-shared-host-advice/7171#7171">sdílená oprávnění ke složkám a souborům doporučení hostitele</a> .</p> </li> <li> <p>implementujte postupy kontroly kvality, jako je testování v prostředí s nízkým zabezpečením, kontrola kódu a testování.</p> </li> <li> <p>nechte zranitelnost své webové aplikace/webu ověřit alespoň jednou profesionálním certifikovaným testerem. podívejte se na testery certifikované evropskou radou, iso 27001 a pci. <a href="http://www.eccouncil.org/certification/licensed\_penetration\_tester.aspx">http://www.eccouncil.org/certification/licensed\_penetration\_tester.aspx</a> </p> </li> <li> <p>podívejte se na stránky owasp www.owasp.org a <a href="http://phpsec.org/projects/guide/2.html">http://phpsec.org/projects/guide/2.html</a> , kde najdete zdroje zabezpečení webových aplikací.</p> </li> <li> <p>použijte nástroje systému prevence narušení (ips). v závislosti na poskytovateli hostingu však můžete mít omezení ohledně toho, co můžete použít. host založené ips nástroje by měly být v pořádku, pokud máte vyhrazený virtuální počítač.</p> </li> </ol><p>doufám, že to pomůže. jinak byste mohli poskytnout více informací o systémech, které používáte?</p> <p>samozřejmostí je autentizace klienta. může být použit ke zlepšení zabezpečení v kombinaci s přístupovým heslem nebo čipovou kartou nebo jako pohodlná náhrada za zadání hesla.</p><p>zajímavý návrh v tomto kontextu je <a href="http://webid.info/">webid single sign on protocol</a> .</p><p>hlavní problém s klientskými certifikáty je v tom, že je vázán na prohlížeč. takže pokud jste na jiném počítači, nemáte k nim přístup, pokud jste neučinili preventivní opatření.</p> Jen si to zašifruj. Absolutně totiž miluji následné dotazy typu ...mám zašifrovaný disk, něco jsem asi nastavil blbě a nějak mi teď nejde...., pls help, ...atd.... To se směji naprosto upřímně a je mi tak nějak dobře. <p>našel jsem to: <a href="http://www.linuxquestions.org/questions/linux-desktop-74/applying-default-permissions-for-newly-created-files-within-a-specific-folder-605129/">použít výchozí oprávnění</a> </p><p>z článku:</p><pre><code>chmod g+s &lt;directory&gt; //set gid setfacl -d -m g::rwx /&lt;directory&gt; //set group to rwx default setfacl -d -m o::rx /&lt;directory&gt; //set other </code></pre><p>dále můžeme ověřit:</p><pre><code>getfacl /&lt;directory&gt; </code></pre><p>výstup:</p><pre><code># file: ../&lt;directory&gt;/ # owner: &lt;user&gt; # group: media # flags: -s- user::rwx group::rwx other::r-x default:user::rwx default:group::rwx default:other::r-x </code></pre> A máš správně nastavený "způsob" ochrany mám na mysli WEP, WPA , WPA2 AES PSK ... Co je to zase za dotaz? Tak jako v normálním systému, stejně tak i v tom sandboxovaném můžeš provádět různé operace buďto s právy standardního uživatele nebo s právy admina atd. Pokud pak obsah sandboxu vymažeš, nemusíš se starat s jakým oprávněním jsi do něj zapisoval/instaloval. Zkrátka máš úplně zbytečné starosti....![](/Client.Images/smileys/8.gif)