[Из песочницы] Борьба с «плохими» URI, спамерами и php-шеллами — личный опыт
Полагаю, все веб-программисты проходят в той или иной степени одинаковый путь. Я основываюсь на своем личном опыте. Для меня в начале постижения этой науки создание сайта было на первом месте. Только по прошествии значительного времени я осознал, что сайты еще и вскрывают. Прочитав, как это делается, я удивился, на сколько просто по неопытности превратить свой сайт в «проходной двор» и стал уделять безопасности определенное внимание. По крайней мере я стал фильтровать входные параметры страниц.
На втором этапе я с удивлением обнаружил, что существуют такие звери, как PHP-shell. В этом мне помог Касперский, когда заблокировал доступ к моему столь любимому сайту. Следующим откровением было то, что вскрыть могут не только вас, но и хостинг. При этом шеллы появляются на вашем сайте с удивительной регулярностью, неизвестно откуда и делают, естественно, что хотят. Например, редактируют файлы .htaccess и закрывают их редактирование для всех, в том числе и для владельца.
Все эти откровения в свое время забрали огромное количество суббот и воскресений и потребовали перехода на рерайтинг урлов, создание развернутой системы анализа входных параметров на подозрительные слова и выражения (здесь я, кстати, потерпел некоторое фиаско), создание лога параметров, передающихся методом пост, системы оповещения о подозрительных событиях, происходящих на сайте, и, наконец, разрешения запуска только скриптов со специфическим префиксом в имени, чтобы никакой другой скрипт типа template.php или wso2.php не запускался.
Что же нужно иметь ввиду и что можно сделать для создания относительно безопасного сайта?
Читать дальше →
На втором этапе я с удивлением обнаружил, что существуют такие звери, как PHP-shell. В этом мне помог Касперский, когда заблокировал доступ к моему столь любимому сайту. Следующим откровением было то, что вскрыть могут не только вас, но и хостинг. При этом шеллы появляются на вашем сайте с удивительной регулярностью, неизвестно откуда и делают, естественно, что хотят. Например, редактируют файлы .htaccess и закрывают их редактирование для всех, в том числе и для владельца.
Все эти откровения в свое время забрали огромное количество суббот и воскресений и потребовали перехода на рерайтинг урлов, создание развернутой системы анализа входных параметров на подозрительные слова и выражения (здесь я, кстати, потерпел некоторое фиаско), создание лога параметров, передающихся методом пост, системы оповещения о подозрительных событиях, происходящих на сайте, и, наконец, разрешения запуска только скриптов со специфическим префиксом в имени, чтобы никакой другой скрипт типа template.php или wso2.php не запускался.
Что же нужно иметь ввиду и что можно сделать для создания относительно безопасного сайта?
Читать дальше →
Источник: Хабрахабр
Похожие новости
- [Перевод] Разбор уязвимости умного Bluetooth-замка
- Персональные AI-ассистенты или как открыть любому человеку свою почту и календарь
- Каким будет фишинг в ближайшем будущем
- 82% зумеров хотят, чтобы бренды обращались к ним на «вы»
- Топ самых интересных CVE за май 2025 года
- Spark_news: Мобильный коллапс: отключение интернета в некоторых регионах ударило по маркетплейсам
- Spark_news: Samsung находится на финальной стадии переговоров с Perplexity AI о заключении стратегического альянса
- Как сделать безопасным код сайта на Битрикс: шпаргалка по основным уязвимостям, часть 3
- Как обманывают ИТ-соискателей: три мошеннические схемы
- Spark_news: Уфимцы — в первых рядах: мечта о Марсе объединяет 27% россиян