Jak zabránit hacknutí stránek?

29.3.2007 20:57 | Linux | poslední úprava: 30.3.2007 00:07

Protože jsem našel problém, zápisek jsem raději smazal. Obecně platí, aktualizujte jakýkoliv webový systém jak jen to jde :) Wordpress, Joomala, atd..        

Komentáře

[Filip Jirsák]

Buď je nějaká chyba např. v redakčním systému (pokud stránky něco takového používají), nebo někdo získal na serveru, kde ty stránky běží, větší práva, než by měl mít.

[Thunder.m]

Problém by mohl být taky v tom, že všechny ty hesla atd... mi před 2 dnama posílal původní správce na mail, ale nevím jak se toho dá zneužít. Redakční systém ty stránky pokud se nepletu nemají.

[blogsm]

Napiš o jaké stránky jde, ať to můžem prozkoumat. Jedná se o PHP stránky nebo pouze o HTML? PHP injekce? XSS? To může být cokoliv

[Thunder.m]

Doplnil jsem info do blogu.

[mess]

Jako základ bych viděl vypnutí register_globals, pokud používáš PHP a nemáš ho vypnuté. Taky se vyplatí být trošku paranoidní a všechny proměnné předávané GET/POST ověřovat, pokud ty proměnné pak cpeš do SQL, tak se je vyplatí prohnat přes addslashes nebo mysql_real_escape_string. Přihlšovací údaje k databázi si dát do odděleného souboru pomocí .htaccess k němu zakázat přistup všem kromě localhostu atd. atd. atd.

[blogsm]

Žádnou chybu jsem nenašel. Zkoušel jsem trochu sql, nic.

[Luboš Doležel (Doli)]

To jede na Joomla? Je tam aktuální verze?

[Thunder.m]

Nevím jak to poznat, jsem v tomhle opravdu nováček :)

[Luboš Doležel (Doli)]

Koukám, že tam není orig. Joomla, ale nějaká modifikace :-/ Každopádně se v admin rozhraní koukni na verzi. Info o verzi je v menu System -> System info.

http://www.cyrilsvoboda.cz/site/administrator/

[Thunder.m]

Díky, zkusím se na to podívat, koukám že mi půbodní majitel nepředal všechna hesla, doufám že v tomto bude ten problém, protože pokud je to jinde, tak by to bylo docela zlé.

[Thunder.m]

Mambo 4.5.2

[Thunder.m]

Ok, takže už jsem se asi dopátral k výsledku, je to opravdu tím že je tam Mambo 4.5.2, původní admin mi napsal že ty stránky už v prosinci někdo hacknu, takže to budu muset nejspíš upgradovat.

[kotrcka]

Zabranit hacknutiu stranok sa da velmi jednoducho. Tak, ako to robi nas Narodny bezpecnostny urad. Proste sa po pracovnej dobe server vypne, vytiahne z elektriny a je po probleme.

[Michal Vyskočil]

To řeší i problém, když se tam někdo nacpe v pracovní době?