Ori de câte ori instalați Joomla! pe un server, trebuie să luați unele măsuri pentru a securiza instalarea.
Utilizatorii tind adesea să lase instalarea așa cum este, făcând astfel serverul vulnerabil la hackeri. De aceea, atunci când instalați Joomla! pe serverul dvs. trebuie să modificați mai multe setări de configurare pentru a evita unele greșeli majore care vor afecta securitatea generală a site-ului.
Să vedem cele mai frecvente greșeli și de ce sunt critice pentru sistemul dvs.:
Greșeala #1. A NU descărca sau face upgrade la cel mai recent Joomla! Versiune
Versiuni noi de Joomla! sunt lansate adesea cu diverse remedieri de securitate, iar dezvoltatorii recomandă insistent să faceți upgrade la cea mai recentă versiune de Joomla!
Este important să descărcați Joomla! pachete din surse de încredere sau direct de pe joomla.org, altfel vă puteți compromite sistemul (puteți descărca un pachet modificat care ar putea dăuna site-ului dvs.). Copierele de rezervă periodice ale întregului site sunt esențiale, oferind o plasă de siguranță în cazul în care ceva nu merge bine cauzat de actualizare sau de un alt eveniment neprevăzut. Există deja câteva componente specializate care pot crea copii de rezervă (fișiere+bază de date) foarte ușor.
Greșeala #2. A NU verifica permisiunile folderelor după instalarea Joomla!
Folderele care au permisiuni mai mari de 755 vă pot compromite Joomla!, lăsând „ușa” deschisă pentru ca un atacator să citească/scrie sau chiar să încarce propriile fișiere shell, preluând astfel controlul asupra site-ului dumneavoastră.
Pe server, de obicei, permisiunile folderului moștenesc configurația rădăcină, dar este întotdeauna o practică bună să verificați permisiunile folderului.
Dosarele cu permisiuni mai mari de 755 sunt posibile căi care ar putea fi exploatate de:
- crearea și încărcarea fișierelor care ar putea face site-ul dvs. vulnerabil
- modificarea fișierelor existente
De ce să-ți asume riscul când ai putea face o scanare rapidă a Joomla! și găsiți instantaneu folderele „slabe” ?
Greșeala #3. A NU verifica permisiunile pentru fișiere
Vă sfătuim să setați permisiuni pentru toate Joomla! fișiere la 644 sau mai puțin.
Lăsarea fișierelor cu permisiuni mai mari de 644 poate face viața mai ușoară hackerilor care încearcă să vă acceseze site-ul web. Odată ce sunt introduși, pot modifica cu ușurință fișierele cu permisiuni mai mari de 644.
Greșeala #4. PERMITĂ încărcări necontrolate de fișiere (forumuri, comentarii)
Hackerii pot și vor folosi aceste aplicații pentru a încărca scripturi malware și pentru a intra în Joomla! site-ul web.
Trebuie să permiteți cât mai puține extensii de fișiere posibil și NU lăsați NICIODATĂ să fie încărcate fișiere script executabile (.php, .php3, .php4, .php5, .phtml).
Pentru a evita acest lucru, puteți utiliza RSFirewall! care blochează automat încărcările de fișiere nedorite. De asemenea, vă poate scana sistemul, căuta modele de malware și scripturi de hacker.
Greșeala #5. Protejaţi accesul tuturor fișierelor și folderelor IMPORTANTE
Trebuie să protejați fișierele și folderele sensibile precum:
- configuration.php - fișierul de configurare principal pentru configurația globală Joomla,
- Joomla! folder temporar - fiecare extensie pe care o instalați este mai întâi încărcată în acest dosar,
- Joomla! dosar jurnal : Joomla! activitatea asociată este înregistrată, astfel încât un atacator poate găsi ce vulnerabilități pot să se afle în site-ul dvs.
Cel mai bun mod de a vă proteja site-ul împotriva unor astfel de atacuri este să le mutați de la accesul public, într-un folder non-public.
Pentru a înțelege mai bine cum să mutați aceste fișiere fără a compromite Joomla! funcționalitate, citiți următoarele articole:
- Se verifică dacă Joomla! folderul temporar este în afara codului html public
- Verificarea dacă folderul jurnal se află în afara codului html public
- Verificarea dacă configuration.php este în afara codului html public
Acestea sunt doar câteva sfaturi despre cum să vă păstrați site-ul companiei în siguranță. Cu toate acestea, securizarea site-ului dvs. nu este întotdeauna ușoară și poate necesita anumite abilități de experți.
Aici este locul RSFirewall! intră în vigoare, oferind o suită completă de instrumente special create pentru Joomla!. Puteți accesa demonstrația produsului aici: http://demo.rsjoomla.com/ . Dacă aveți întrebări, nu ezitați să ne puneți o întrebare .
Aceasta este prima parte a articolului „10 greșeli de securitate de evitat în Joomla!”.
Citiți următoarele greșeli de securitate în a doua parte , când vom vorbi despre configurarea php nesigură precum allow_url_fopen, register_globals și parolele de administrator.
Ați aplicat aceste reguli de bază pentru site-ul dvs. web?
Ești sigur că ai Joomla! site-ul este sigur?
Încă din prima parte a articolului „10 greșeli de securitate de evitat în Joomla!” a fost un real succes, suntem foarte încântați să scriem un alt set de greșeli întâlnite frecvent pe clientul Joomla! site-uri web.
În prima parte am scris despre importanța actualizării la cea mai recentă versiune de Joomla!, despre permisiunile fișierelor, permisiunile folderelor, încărcările de fișiere și menținerea curată a folderului public.
Greșeala #6. PHP nu este configurat corect
Acestea sunt câteva setări php pe care trebuie să le configurați pentru a vă securiza serverul. (Rețineți că aceste setări pot fi aplicate doar prin editarea fișierului php.ini)
- verificați register_globals
Este recomandat să dezactivați register_globals. Nu aveți încredere în Joomla! extensii care vă solicită să îl activați. Lăsarea register_globals=ON face site-ul dvs. vulnerabil la încercările de hack. În PHP 4.2.0 register_globals a fost schimbat de la ON la OFF, în mod implicit, și complet eliminat în PHP 6.0.0 - verificați safe_mode (lăsând-l ON ar putea crea unele probleme)
Vă recomandăm să păstrați safe_mode OFF. În PHP 6.0.0 safe_mode a fost eliminat deoarece nu și-a atins scopul: nu a crescut securitatea site-ului, provocând unele bug-uri și probleme. - verificați allow_url_fopen
allow_url_fopen permite unui script să deschidă fișierele de la distanță. Trebuie să vă asigurați că scriptul nu poate deschide fișiere de la distanță. - verificați allow_url_include
allow_url_include permite includerea și executarea unui script php la distanță. Prin urmare, această setare trebuie dezactivată. - utilizați disable_functions pentru a dezactiva unele funcții care ar putea face site-ul dvs. vulnerabil. Unele dintre acestea sunt: system , shell_exec , exec , phpinfo , etc.
- utilizați open_basedir pentru a defini locațiile sau căile din care PHP are permisiunea de a accesa fișierele folosind funcții precum fopen() și gzopen(). Dacă un fișier se află în afara căilor definite de open_basdir, PHP va refuza să-l deschidă.
Vă recomandăm să utilizați următoarea configurație PHP:
- register_globals = OFF
- safe_mode =OFF
- allow_url_fopen =OFF
- allow_url_include = OFF
- disable_functions = system, shell_exec, exec, phpinfo (lista completă disponibilă în RSFirewall !)
- open_basedir=/your/joomla/path
Greșeala #7. UTILIZAȚI utilizatorul „admin”.
Când instalați Joomla!, acesta vine cu utilizatorul „admin” predefinit. Joomla! a avut o eroare care le-a permis hackerilor să preia Joomla! site-urile web au exploatat acest utilizator „admin”, dar a fost rezolvat acum. Oricum, lăsarea utilizatorului administrator ca Super Administrator în combinație cu o parolă slabă poate face site-ul dvs. vulnerabil.
Sfat important de securitate: pentru a proteja pagina de administrator de a fi accesată de oricine, configurați o parolă backend suplimentară pentru Joomla! site-ul web.
Greșeala #8. UTILIZAȚI parole slabe pentru utilizatorii admin
Alegeți cu grijă parolele pentru utilizatorii admin; nu folosi cuvinte comune.
Cel mai bine este să vă sfătuiți utilizatorii, atunci când se înregistrează pe site-ul dvs., să aleagă o parolă bună , alfanumerică, deoarece hackerii ar putea profita și fura informații valoroase de la ei.
Nu utilizați aceeași parolă pentru a accesa Joomla! backend și contul de găzduire.
Încercați să nu includeți în parolă informații personale precum numele dvs., numele de utilizator, data nașterii, cuvinte comune și ușor de ghicit precum „admin”, „parolă”, „nume utilizator”, „parola123” sau cuvinte în limba engleză.
Ai putea aplica un algoritm, ușor de reținut pentru a alege o parolă.
De exemplu, creați o propoziție de genul: „Am un frate Alan și o soră Kate”. Dacă luăm prima literă din fiecare cuvânt, rezultatul va fi IhobAaasK. Pentru a complica, înlocuiți numerele cu cifre și dacă este posibil introduceți caractere speciale.
Iată rezultatul: Ih1bA&1sK.
Greșeala #9. NU sa ai un antivirus actualizat
Dacă ați rezolvat problemele de mai sus de la 1 la 9, nu credeți că site-ul dvs. web va fi securizat dacă nu utilizați nicio aplicație antivirus pentru a vă proteja computerul. Virușii noi din zilele noastre caută conexiuni ftp și injectează scripturi rău intenționate direct în Joomla! fișiere deoarece computerul dvs. este virusat. Cel mai bine este să vă păstrați computerul protejat obținând cele mai recente actualizări pentru antivirus.
Greșeala #10. Presupunând că site-ul dvs. este protejat și securizat dacă nu există semne vizibile că acesta a fost piratat
Cel mai bine este întotdeauna să rămâneți vigilenți, să urmăriți cu atenție posibilele tentative de intruziune, să faceți backup constant pentru site-ul dvs., să monitorizați fișierele acestuia și să păstrați aplicațiile la zi.
Desigur, toate aceste acțiuni necesită timp, iar timpul este singurul lucru de care nu avem niciodată suficient. Vă sugerăm să utilizați o extensie de securitate, cum ar fi RSFirewall! pentru a monitoriza și proteja site-ul dvs. Obțineți o demonstrație gratuită a produsului chiar acum și veți înțelege cât de ușor este să vă păstrați site-ul protejat.
Sursa: RSJoomla-doua , RSJoomla-prima