Форум администраторов игровых серверов

Форум администраторов игровых серверов (https://forum.zone-game.info/TT.php)
-   PHP (https://forum.zone-game.info/forumdisplay.php?f=125)
-   -   [DLE] Частичное закрытие неизвестных уязвимостей (https://forum.zone-game.info/showthread.php?t=10730)

Bonabo 25.10.2010 07:11

[DLE] Частичное закрытие неизвестных уязвимостей
 
Дорогие друзья,

В этой небольшой статье мы хотим рассказать вам о том как, как вам можно повысить безопасность вашего сайта. Как известно наибольшую угрозу для сайта представляют собой залитые злоумышленником на сервер PHP шеллы. Что это такое? Это PHP скрипты которые могут выполняться на вашем сервере, соответственно производить какие-либо изменения в файлах доступных для записи или могут, например читать содержимое конфигурационных данных и соответственно получать прямой доступ к базе данных. Каким образом могут попадать данные шеллы на ваш сервер? При обнаружении какой либо уязвимости в скрипте, или сторонних модулях, или вообще при наличии других уязвимых сторонних скриптов на сервере, или серверного ПО. Главная особенность заключается в том, что шеллы можно залить не в любые папки на сервере, а лишь в папки доступные для записи на сервере, и в DataLife Engine такими папками являются папки /uploads/ и /templates/, а также все вложенные в них папки. Данные папки должны иметь права на запись, т.к. вы в них заливаете посредством скрипта легальный контент, файлы, картинки, редактируете в админпанели шаблоны и прочее. И как правило в эти папки производится загрузка шеллов при обнаружении злоумышленником какой либо бреши на сервере в любом скрипте, даже не имеющем отношения к DataLife Engine. Можно ли защитить эти папки, в случае попадания в них зловредного PHP файла, ведь нельзя запретить доступ к этим папкам? Можно, и достаточно не сложно.

Итак, вам необходимо разместить в папках /uploads/ и /templates/ файл .htaccess со следующим содержимым:

Код:

php_flag engine  off

Данная строчка отключает использование PHP интерпретатора при попытке обращения к PHP файлам находящимся в этих папках, а также находящимся во всех вложенных папках. Поэтому даже в случае заливки в эти папки файлов со зловредным PHP кодом, они становятся для злоумышленника совершенно бесполезными, т.к. попросту не будут запускаться и выполнятся сервером.

Частичное закрытие неизвестных уязвимостей в DLE


К сожалению далеко не все хостинг провайдеры позволяют управлять через .htaccess данным параметром, но для таких сайтов решение также существует, поэтому если на вашем сервере не работает вышеуказанный способ, то разместите в этих же папках .htaccess с содержимым:

Код:

<FilesMatch "\.(php|php3|php4|php5|php6|phtml|phps)$|^$">
  Order allow,deny
  Deny from all
</FilesMatch>

Данный код запрещает прямое обращение к PHP файлам, находящимся в этих папках.

Вот собственно и все, эти несложные манипуляции позволят серьезно повысить безопасность вашего сайта, даже в случае если найдется серьезная уязвимость в сторонних модулях и скриптах.

Amorph1s 05.02.2011 21:55

Re: [DLE] Частичное закрытие неизвестных уязвимостей
 
Какой из них будет работать везде? Как проверить какой из них работает на моем хостинге?

tolik5190 06.02.2011 14:05

Re: [DLE] Частичное закрытие неизвестных уязвимостей
 
Если php работает как модуль Apache, то скорее всего будет все работать. Если как CGI, то возможны варианты и скорее всего php_flag engine off будет отдавать ошибку 500.

NotSpecified 06.02.2011 20:41

Re: [DLE] Частичное закрытие неизвестных уязвимостей
 
А зачем это было публиковать?
Подобная тема на официальном сайте разработчика пылиться с 23 октября 2010

http://dle-news.ru/tips/1164-zaschit...-skriptov.html


Текущее время: 23:47. Часовой пояс GMT +3.

Powered by vBulletin® Version 3.8.6
Copyright ©2000 - 2021, Jelsoft Enterprises Ltd. Перевод: zCarot