Хакерская атака. Как защитить свой сайт? Безопасность!
Здравствуйте, Иван.
У меня возникла проблема по безопасности сайта. Мой сайт ложили уже 2 раза. Хостеры помогали восстановить, объяснили,что была хакерская атака. За 20 днй аж 2 раза. Вчера сайт работал, сегодня главная страница загружается, но при переходе по разделам сервер не отвечал.
Обнаружилось вот это: themes/big/art.php (пост от хостера:" удаляйте его, это шелл"), а так же файл htaccess был НУЛЕВОЙ!
Я храню этот файл у себя на компьютере на всякий случай, его я просто через фтп перелила и сайт ожил
.
Я думаю сайт стал кому-то реально мешать. Информационных порталов у нас в городе куча, но с фишками обслуживания клиентов, как у меня, я одна. Как можно обезопаситься помимо бэкапов, т. к я обновляю информацию на сайте ежедневно и большими объемами разом. Мы с Вами как-то уже говорили по бесопасности в одной из веток, я Вам писала, что модуль уберкарт краснит на сайте и его обновлять нельзя по причине, что он был изменен под меня. Тогда Вы мне написали, что это будет ,конечно, слабым местом ...дыркой, но таких сайтов много и в основном обезопасить себя нужно бэкапами. Что я должна кому-то сильно мешать, чтоб это слабое место обнаружили, или любое другое, чтоб сайт уничтожить. Но видимо настал момент, потому, что раньше меня не трогали, а сейчас настораживают последние события. Спасибо заранее Вам за ответ!
Да, теперь вам придется следить за актуальностью версий модулей. Как вариант можно не обновлять весь уберкарт полностью, а посмотреть что изменилось в версии и частично обновить, именно то что нужно.
http://drupal.org/node/129292/commits
У каждой версии модуля есть записи - notes, можно посмотреть что именно изменилось и какой commit:
http://drupal.org/node/1548400
Обычно ломают через ftp, то есть подбирают или воруют сохраненные в total commander'ах и в других ftp-клиентах пароли. Смените пароль на ftp, сделайте его сложным.
Если у вас статический ip, то вот это может помочь:
http://blog.triphp.com/lessons/htaccess/allow-ip-address
Посмотрите какая версия у вас визульного редактора, если он доступен авторизированным пользователям, то возможно через него посылают запросы. Но так как файл залили на ваш сервер, то скорее всего у них был доступ по ftp, потому что использовать доступ к php и создавать файл для этого чтобы было удобно ломать сайт, а не сразу его сломать, как-то замудренно, хотя могут и сделать так.
Как вариант установить на все папки кроме files права только для чтения, чтобы не могли ничего изменить. Но это поможет проверить через что ломают. Также можно перезалить файлы друпала и модулей, только перед этим удалить файлы.
Проверьте форматы ввода, стоит ли там фильтрация HTML.
У меня как раз подозрение, что скорее всего через фтп, пароли давно не меняла и мысль по смене была,но до сих пор не сделала. Все, что Вы посоветовали для меня ценно. Все приму к сведению, перепроверю, огромное Вам спасибо за советы!!!