Стартирайте протокола "phpinfo()" и проверете реда с командата "open_basedir". С тази команда можете да дефинирате основната директория за всички потребители. След като зададат тази стойност, те вече няма да могат да отварят файлове извън тази основна папка или нейните поддиректории, като например "C:\Windows".

Ако имате други структурни директории, дефинирайте ги като основна директория с командата "www_root". Въпреки това, един потребител също ще може да чете и променя файловете на друг потребител. Това трябва да се предотврати.

За съжаление във файла "php.ini" няма опции за предотвратяване на достъп на един потребител до данните на друг.

Но има един интересен начинако PHP работи на Apache. В "phpinfo()" ще намерите две колони: "Основна стойност" и "Локална стойност". Първата е стойността в "php.ini". Втората е стойност, която се определя по време на работа на сървъра.

Ако базовата стойност е малка в числово изражение, тогава тя може да бъде променена в скрипта с помощта на командата "ini_set ()". Това не се отнася за "open_basedir", защото тази стойност е критична за сигурността и може да бъде променена само от администратор.

В Apache конфигурационен файл"httpd.conf" може да бъде посочен в директорията под локалната стойност "open_basedir".

Други PHP настройки

Като зададете "disable_functions" във файла "php.ini", е необходимо да деактивирате функции, които са потенциално опасни.
Обмисляйте внимателно всяко свое действие. Деактивирането на функцията означава, че някои скриптове ще спрат да работят.

Някои функции са наистина опасни и обикновено не се изискват за скриптове. Други - може да са необходими за определени цели. Следователно не е лесно да деактивирате всички функции, които могат да бъдат опасни, но също така внимателно претегляйте решенията си.

Не вярвайте, че една функция "safe_mode = On" ще бъде достатъчна. Тя може да деактивира някои полезни функциии не решава проблема със сигурността, описан по-горе. Безопасен режимотхвърлен в PHP 5.3.0 и премахнат в PHP 6.0.0.

Въпроси на отбраната

Има няколко грешки, които един уеб разработчик може да направи и да направят уебсайт несигурен.

Например, ако създавате своя блог и позволявате на потребителите да качват изображения, това може да бъде голяма опасност, когато кодът е написан от начинаещ. Има няколко грешки, които програмистът може да направи на страницата за вход и т.н. Една от най-често срещаните е липсата на забрана за изтегляне на злонамерени алгоритми.

Важното е, че един несигурен сайт на публичен хостинг е заплаха за целия сървър. Също така инсталирането на проекти с отворен код като PHP-Nuke може да бъде рисковано. Вече са открити няколко уязвимости в такива проекти.

6 март 2015 г. в 00:43 ч

Одит на сигурността на уеб сайта – идентифициране на рискове и заплахи

• Информационна сигурност

Одит на сигурността на сайта (проверка на сайта за уязвимости) - серия от процедури, насочени към гарантиране на стабилна работауеб ресурс, сигурност на данните и намаляване на риска.

Не е тайна, че сега икономическата ситуация диктува нови правила, включително и в конкуренцията. Ако по-рано „войната на технологиите“, кибершпионажът и разрушителните действия бяха предимно част от големите корпорации или цели държави, сега тези методи се използват доста успешно в малкия и среден бизнес.

Нека засега оставим настрана офлайн фирмените сайтове и днес ще говорим за комерсиални сайтове, чийто основен доход е свързан с интернет дейност.

Одитът на сигурността на сайта е набор от дейности за идентифициране на грешки в кода на сайта и софтуерсървъри, които нападателите могат да използват, за да атакуват и хакнат сайта.

Мотивацията на нападателите може да бъде различна – това е както самохвалство, така и търсене на облаги както за себе си лично, така и от работа по „поръчка“.

От най-новите "шумни" примери - хакване на борсата за свободна практика FL.ru

екранна снимка на съобщението на нападателя от името на един от администраторите

Тук ресурсът очевидно е претърпял репутационни щети, лоялността на потребителите е намалена. Новите потребители може да са трудни за привличане: www.google.ru/search?ie=UTF-8&hl=ru&q=FL.ru
В резултат на търсенето GOOGLE SERPпо искане на FL.RU, втората е тема на Habré за източване на потребителската база.

Какво би дал одитът на сигурността на борсата FL.RU - изборът на пароли за акаунти на администратор на ресурси ще помогне да се идентифицират Сметки. Допълнителни препоръки и правила за тяхното спазване биха помогнали да се избегне подобен злощастен пропуск. Липсата на ограничение на достъпа до критична функционалност (потребителски акаунти) от ненадежден IP адрес само влоши ситуацията.

Репутационните рискове от хакване на уебсайта на компанията естествено ще повлияят на рентабилността на компанията. Но има и пряка заплаха от кражба на данни, които са ценни за компанията. Уеб сайт на фирмата, свързан с онлайн дейности - онлайн магазин, електронна борса и др. - основният инструмент за печалба - често съдържа клиентска база данни, още по-ценна, ако услугата включва дългосрочна работа с клиента, повторни покупки и т.н.

Освен това манипулирането на данни за плащане, измамни транзакции в системи за депозит/теглене или платежни системи могат да причинят големи щети на компанията.

Нападателите, атакуващи сайта, могат условно да бъдат разделени на два вида:

1. Взимаме всичко, което лежи лошо.

Този вид нападатели се опитват да получат достъп до голям брой сайтове, използват примитивни техники, „шум в регистрационните файлове“. Обикновено такива участници сканират сайта(овете) с популярни скенери за уязвимости или търсят уязвими CMS за конкретен експлойт. Те могат да се интересуват както от потребителската база, така и от баналния iframe на т.нар. експлойт-пакет.

търсене на съучастници за извършване на престъпление по член 273 от Наказателния кодекс на Руската федерация

Навременният одит на сигурността на уеб приложенията ще помогне да се идентифицират уязвимите компоненти и проблемните области на сайта. Препоръките ще ви помогнат да сте готови да отблъснете хакерски атаки.

2. Ние атакуваме конкретна цел.

Тези видове нападатели обикновено са мотивирани да получат определени данни или да ги унищожат:

съобщения на „почти хакерски“ форуми

В този случай нападателят няма да се ограничи до пасивни методи - най-вероятно той ще атакува сайта, докато не получи желания резултат, използвайки всички възможни комбинации от вектори на атака.

Цялостен одит на сигурността, който обикновено включва следните действия, може да помогне за значително повишаване на сигурността на даден сайт:

• Търсене на уязвимости в сървърните компоненти;
• Търсене на уязвимости в уеб средата на сървъра;
• Проверка за дистанционно изпълнение на произволен код;
• Проверка за инжекции (код инжекция);
• Опит за заобикаляне на системата за удостоверяване на уеб ресурс;
• Проверка на уеб ресурс за "XSS" / "CSRF" уязвимости;
• Опити за прихващане на привилегировани акаунти (или сесии на такива акаунти);
• Опит за извършване на отдалечено включване на файл / включване на локален файл;
• Търсене на компоненти с известни уязвимости;
• Проверка за пренасочвания към други сайтове и отворени пренасочвания;
• Сканиране на директории и файлове чрез brute force и "google hack";
• Анализ на форми за търсене, регистрационни форми, авторизационни форми и др.;
• Проверка на ресурса за възможността за открито получаване на поверителна и секретна информация;
• Класови атаки в състояние на състезание;
• Вграждане на XML обекти;
• Избор на пароли.

Одитът на сигурността на сайта е проактивна мярка, която ви позволява да получите адекватна оценка на сигурността на фирмен ресурс, пълна информацияотносно откритите уязвимости, възможни сценарииатаки и препоръки за тяхното отстраняване. Това всъщност не е събитие, а непрекъснат процес за осигуряване на сигурността на бизнес процесите на уебсайта на компанията, поддържане на бизнес репутация, икономически растеж и развитие на бизнеса.

Не чакайте сайтът ви да бъде атакуван от нарушители – поръчайте цялостен одит на сигурността на уебсайта от професионалисти.

Напоследък Интернет се превърна в основното местообитание на вирусите, тъй като само там те могат ефективно разпространениена потребителски компютри. Отминаха дните, когато системите се заразяваха чрез дискове или флаш карти. С нарастването на количеството изтеглена информация нараства и броят на заразените компютри, тъй като потребителите възприемат заплахата от интернет като нещо абстрактно и незасегнато.

За съжаление не е така. Пренебрегването на основите на сигурността може да компрометира нашите данни, съхранявани на твърди дискове. Показателни станаха заразяванията на компютри на големи корпорации ransomware вирус, който изнудвал пари за отключване и по друг начин криптирал данните. Повечето от тях се заразиха поради банално невнимание.

Предотвратяване на инфекции

На първо място, трябва да използвате антивирусни програми. Повечето от тях са способни филтъртрафик, аванс вниманиепотребителите за опасността, дебнеща за отворения ресурс. Дори безплатни версииможе значително да подобри защитата на вашия компютър.

Второ, трябва да отидете на браузъри, в който е заложено проверка на уебсайта. Те предупреждават за опасността, която очаква потребителите на определен сайт. Едно от тези - Яндекс браузър. Вграден в него по подразбиране плъгин, сканиране на сайта и ограничаване на достъпа до откровено злонамерени ресурси. Ако потребителят се опита да влезе в такава страница, той ще види предупреждение за опасност и предложение за затваряне на раздела.

Трето, опитайте не пресичайна подозрителни връзки в социалните мрежи. Самият Vkontakte предупреждава, че сайтът може да бъде опасен, така че не пренебрегвайте съветите на услугата. Повечето инфекции се случват по този начин.

Използване на Google за проверка

Тази опция е подходяща за собственици на сайтове, които искат да се уверят, че техните творения не вредят на потребителите. световната мрежа. Ако сайтът не принадлежи на вас, тогава няма да можете да го проверите чрез търсачките.

За да започнем, нека отидем на панел за уеб администратори. Той се намира на адрес google.com/webmasters/tools/home (трябва да сте влезли във вашия Google акаунт). След това кликнете върху бутона " Добавяне на ресурс” и въведете връзката към сайта в полето. След това натиснете " Добавете».

След това ще ни трябва потвърдиправа на сайта. За това трябва да поставите HTML шаблонна ресурса, за да може Google да ни идентифицира. Извършваме всички действия от инструкциите и щракваме " Потвърдете».

След потвърждение можем да видим цялата информация за нашия сайт. За да направите това, изберете раздела " Проблеми със сигурността". Ако на страницата има вируси, системата ще ни уведоми за това. Ако не, ще видим такава картина.

Yandex за проверка за вируси

Като цяло в Yandex повтаряме същата процедура като в Google:

Доктор Уеб и Касперски

В по-голямата си част, като проверите сайта чрез тези две услуги, можете да сте 97% сигурни, че сайтът не съдържа вируси. Тези лаборатории са посветили години на развитие антивирусни програмитака че няма причина да се съмнявате в тяхната компетентност. Да започнем с Доктор Уеб.

Ние отивамена официалния уебсайт vms.drweb.ru/online. В допълнение към проверката за вируси можете да видите богат избор информацияза вирусите и тяхното разпространение. Основната част на страницата е адресната лента в средата, в която въведете връзкатавърху проверявания ресурс и щракнете върху „ Проверете».

След малко ще получим Подробно описаниеизвършени проверки, както и заключение за опасността или безопасността на страницата.

работа" Kaspersky“ е изграден на същия принцип. Тук обаче също можем да проверим файлове. Въведете URL адресв адресната лента и щракнете проверявам.

За разлика от предишната услуга, ние не се зареждаме с подробности за проверката, а веднага даваме резултата.

Други онлайн услуги

В допълнение към вече разгледаните, има и други услуги за проверка на връзки:

Как да разберете дали сайтът, който посещавате, е безопасен? Рисковано ли е да се купува нещо на него и колко подходящо е съдържанието му за деца?

За целта популярните антивируси имат вградена система за оценка на сайтове. Най-често работи въз основа на гласовете на самите потребители. Подобна система има например в Avast интернет сигурност. Но има едно малко "но" - почти всички антивируси с подобни функции са платени! И в резултат на платения си характер те имат доста ограничена аудитория, което означава, че само малък брой от тях попадат в рейтинга за оценка на сайта!

Така че намерих по-добро решение за себе си. Нарича се Web Of Trust.

Web Of Trust безплатно обслужванеоценки на надеждността на сайта.

Принцип на действие

Всъщност това е специална джаджа за браузъра, която при отваряне нова страницаблизо до адресна лентапоказва своя рейтинг под формата на цветна емблема. (Може да бъде оцветен от ярко зелено до ярко червено) И колкото по-зелена е емблемата (индикатор за надеждността на сайта, ако искате), толкова по-безопасен е сайтът. И обратното - ако иконата стане червена - нещо не е наред с този сайт ...

И го изтеглете, като щракнете върху червения бутон вдясно. Ще приложа и кратка инструкция в снимки за инсталиране на плъгина в Internet Explorer: