Піднімаю дане питання, тому що безпека сайту це досить боляче питання в теперішній час. Не подумайте що я якийсь школярик, що хоче стати крутим хакером, хоч і це поняття зараз сильно спотворено, просто зіткнувся з такою неприємною справою. Рахую що врахування безпеки тільки сприятиме розвитку проекту

joomla - проект з досить високим рівнем безпеки, але добре було б висвітлювати на сайті появу патчів та інше що стосується безпеки, що зрозуміло повисить безпеку. Сподіваюсь що відвідувачам форуму буде про що сказати по цій темі

ОК! Давайте піднімати! Отже наведу деякі приклади безпеки, які залежать не від джумли, а від адміністратора: 1. cmod 0777 на файл конфігурації та на інші файли у корені сайту; 2. register_global ON 3. неоновлені розширення та розширення у яких не врахований register_global Ось що веде до проникнення на ваш сайт хакера зі стажем в 1 місяць :) Сама ж джумла стабільна до хакерських атак!!! Ну що давайте тоді почнемо у цьому топіку говорити про безпеку!

по даній темі маю два питання: 1. Хто шо може сказати про SQL ін'єкції? Наскільки це реальна загроза длія Джумли ? 2. Де можна побачити доку (можемо навіть спільними зусиллями її перекласти на укр.) де детально б описувалися всі налаштування і сервера і самої Джумли, які гарантують не втруччання ? Чи повністю достатньо того, що описав Dutch ?

Особисто я відкрив для себе багато цікавого, переглядаючи теми, присвяченій безпеці, на російському форумі - http://joomlaforum.ru/index.php?board=104.0

по даній темі маю два питання: 1. Хто шо може сказати про SQL ін'єкції? Наскільки це реальна загроза длія Джумли ? і мені цікаво ! з цим можна якось боротися?

Тобто потрібно у globals php параметри встановити на "ON"?(# PHP register_globals установлена в `ON` вместо `OFF` # Joomla! RG_EMULATION установлена в `ON` вместо `OFF` в файле globals.php ) Це попередження динамічне чи статичне?

Так правильно виставлені параметри? /** * Adds an array to the GLOBALS array and checks that the GLOBALS variable is * not being attacked * @param array * @param boolean True if the array is to be added to the GLOBALS */ function checkInputArray( &$array, $globalise=false ) { static $banned = array( '_files', '_env', '_get', '_post', '_cookie', '_server', '_session', 'globals' ); foreach ($array as $key => $value) { $intval = intval( $key ); // PHP GLOBALS injection bug $failed = in_array( strtolower( $key ), $banned ); // PHP Zend_Hash_Del_Key_Or_Index bug $failed |= is_numeric( $key ); if ($failed) { die( 'Illegal variable ' . implode( ' or ', $banned ) . ' passed to script.' ); } if ($globalise) { $GLOBALS[$key] = $value; } } } /** * Emulates register globals = off */ function unregisterGlobals () { checkInputArray( $_FILES ); checkInputArray( $_ENV ); checkInputArray( $_GET ); checkInputArray( $_POST ); checkInputArray( $_COOKIE ); checkInputArray( $_SERVER ); if (isset( $_SESSION )) { checkInputArray( $_SESSION ); } $REQUEST = $_REQUEST; $GET = $_GET; $POST = $_POST; $COOKIE = $_COOKIE; if (isset ( $_SESSION )) { $SESSION = $_SESSION; } $FILES = $_FILES; $ENV = $_ENV; $SERVER = $_SERVER; foreach ($GLOBALS as $key => $value) { if ( $key != 'GLOBALS' ) { unset ( $GLOBALS [ $key ] ); } } $_REQUEST = $REQUEST; $_GET = $GET; $_POST = $POST; $_COOKIE = $COOKIE; if (isset ( $SESSION )) { $_SESSION = $SESSION; } $_FILES = $FILES; $_ENV = $ENV; $_SERVER = $SERVER; } /** * Emulates register globals = on */ function registerGlobals() { checkInputArray( $_FILES, true ); checkInputArray( $_ENV, true ); checkInputArray( $_GET, true ); checkInputArray( $_POST, true ); checkInputArray( $_COOKIE, true ); checkInputArray( $_SERVER, true ); if (isset( $_SESSION )) { checkInputArray( $_SESSION, true ); } foreach ($_FILES as $key => $value){ $GLOBALS[$key] = $_FILES[$key]['tmp_name']; foreach ($value as $ext => $value2){ $key2 = $key . '_' . $ext; $GLOBALS[$key2] = $value2; } } } if (RG_EMULATION == 0) { // force register_globals = on unregisterGlobals(); } else if (ini_get('register_globals') == 0) { // php.ini has register_globals = off and emulate = on registerGlobals(); } else { // php.ini has register_globals = on and emulate = on // just check for spoofing checkInputArray( $_FILES ); checkInputArray( $_ENV ); checkInputArray( $_GET ); checkInputArray( $_POST ); checkInputArray( $_COOKIE ); checkInputArray( $_SERVER ); if (isset( $_SESSION )) { checkInputArray( $_SESSION ); } } ?>

то що відносно SQL ін'єкції? з цим треба боротися особисто чи має хостер?

Цей сайт найкраще переглядати в сучасному браузері з включеним JavaScript.

Питання безпеки

VJ

Dutch написав
Що саме цікавить у даному питанні?

Особисто мене - захист від DDoS-атак 🙁 У мене сайт задосили вже вдруге на цьому тижні - це просто бісить 🙁

shaman

VJ написав
Особисто мене - захист від DDoS-атак 🙁 У мене сайт задосили вже вдруге на цьому тижні - це просто бісить 🙁

Сайт на хостинзі чи на виділеному сервері?

VJ

Shaman написав
Сайт на хостинзі чи на виділеному сервері?

Хостинг.
А хостери на такі речі завжди забивають - відключають сайт на добу та й по всьому 🙁

shaman

якщо не секрет який хостинг? (для себе)
Взагалі, на хостинг-пакетах від тебе нічого не залежить. Якщо досять твого сусіда, то що ти тут вдієш?
Це завдання технічної підтримки серверу - виявляти да блокувати направлені дос-атаки.
Практичного ж захисту в повноцінному значенні цього слова немає.

пс: хостер в цьому плані не винен оскільки не несе відповідальність за контент своїх клієнтів, який в свою чергу може комусь не подобатись 🙂

VJ

Shaman написав
якщо не секрет який хостинг? (для себе)

http://freehost.com.ua/

А по захисту - хіба нічого не можна вдіяти? Обмежувати кількість одночасних запитів хоча б, чи ще якось.

shaman

А звідки знаєш, що д-досять саме твої сторінки?
Хоча по суті останнє і для мене цікаве в плані реалізації на joomla

VJ

Shaman написав
А звідки знаєш, що д-досять саме твої сторінки?

Так каже хостер.
Він взагалі мене потішив:
"нам прийдется в случае повторения пробелмы сайт закрыть. Домен сможете настроить на другой хостинг, остаток средств будет возвращен"

Здуріти можна, яка боротьба за клієнта... Схоже, що доведеться мені шукати новий хостінг.

Max Volgin

Предложите хостеру компенсировать затраты по досу и я думаю он с радостью ухватиться за такого клиента. В зависимости от типа доса и настырности досеров это он 150 до 5000 ++ баков в месяц. При этом на момент доса у вас все рано не будет доступа к сайту 🙂

Max Volgin

Shaman написав

если ПХП у Вас на хостингу в бинарном (цги/фаст цги) резиме (а єто единственно правленый режим для шаредного хостинга) до добавлении параметров пхп в всегда .htaccess будет вызывать 500 ошибку. Солюшен: не пихать если сильно надо спросить хостера как правильно менять.

« Попередня сторінка