Как защитить сайт от взлома: полезные советы
Сайты могут стать жертвами массового взлома и заражения независимо от тематики, типа и уровня бизнеса или объема трафика.
Хакер может взломать в автоматизированном режиме любой веб-ресурс, который открывается в браузере и индексируется поисковыми системами Google, Яндекс, Bingo и пр., используя, например, базу поисковых запросов Google Hacking Database, данные которой находятся в открытом доступе.
Для получения контроля над веб сайтами с целью их дальнейшей эксплуатации используются различные утилиты, скрипты, файлы и программы для взлома, скачать которые можно на форумах и в закрытых группах хакеров.
За спам, размещение фишинговых страниц зараженный сайт блокируется на хостинге, за редиректы или вирусы - антивирусными программами и поисковыми системами.
DDos
Как защититься:
1
Воспользоваться редиректом javascript (пользователи, у которых не отключен javascript в браузере, перенаправляются на index.php.), например:
<script type="text/javascript">
window.location = "n.ru/index.php"
</script> 2
Написать скрипт или использовать бесплатный DDoS Deflate, который будет считать количество подключений с определенного IP адреса, определять и блокировать бота с помощью межсетевого экрана iptables или использовать команду «netstat».
3
Изменить настройки параметров Apache, изменив значение или полностью выключив директивы KeepAliveTimeout, TimeOut, LimitRequestBody, LimitRequestFieldSize, LimitRequestFields, LimitRequestLine, LimitXMLRequestBody.
4
Использовать обратное проксирование и безопасный доступ к ресурсам и серверы DNS (инструмент предоставляет Cloudflare), защищенный хостинг и IP-транзит по виртуальному туннелю.
SQL инъекция
Как защититься:
1
Проверить числа, строки, даты, данные в специальных форматах на предмет переменных, кавычек, апострофов и других нежелательных символов.
2
Во время написания кода экранировать кавычки с помощью таких функций, как mysql_real_escape_string или mysqli_real_escape_string - каждая переменная, которая используется в запросах к базе данных, должна быть ими отфильтрована.
3
Разделить базу данных на несколько частей для хранения информации разной степени важности.
4
Использовать специальные брандмауэры веб-приложений, например, ModSecurity или IronBe, для защиты SQL от инъекций.
Шелл (Shell)
Как защититься:
1
Регулярно менять пароль в административной панели сайта.
2
При работе с сайтом в общественных местах использовать безопасное VPN подключение.
XSS атака
Атакующий внедряет вредоносный код JavaScript на определенную страницу сайта для взаимодействия этого кода с удаленным сервером злоумышленников при открытии страницы пользователем. Такая атака вредит не только сайту, но и его пользователям, которые могут и не догадываться, что вредоносные скрипты могут быть встроены как в текст, так и в фотографии и картинки.
Как защититься:
1
Проверить сайт на наличие уязвимостей XSS с помощью сервиса xss-scanner, а также все URL, где возможна отправка данных со стороны пользователя (комментарии, отзывы, поиск).
2
Внедрить дополнительные меры валидации пользователей.
3
Регулярно обновлять версии движка и всех установленных модулей и плагинов.
Взлом через FTP и SSH
Как защититься:
1
Проверить все устройства, с которых выполнялось подключение к сайту антивирусными программами.
2
Смените пароль от хостинга, ftp и административной панели сайта. Пароли должны быть сложными и длинными (не менее 8 символов), содержать заглавные, маленькие буквы и цифры.
3
Иметь резервную копию сайта для восстановления.
Взлом phpmyAdmin
Как защититься:
Установить последнюю версию phpmyadmin. Переустановить его в другую папку.
Удалить файл /scripts/setup.php, который требуется только для первоначальной установки phpmyadmin.
Массовый взлом сайтов, находящихся на одном хостинге
Как защититься от массового взлома сайтов на одном хостинге:
1
Регулярно менять пароли к административной панели хостинга, правильно распределять роли пользователей, предоставлять ограниченные права доступа подрядчикам.
2
Проводить постоянную проверку сайтов на предмет заражения с помощью сканеров, например, ReScan.Pro и AI-BOLIT (проверка файлов на хостинге), ClamAv, LMD.
Взлом сайтов на CMS
Как защититься:
1
Регулярно обновлять версии CMS, модули и плагины.
2
Менять пароли (вводить сложные, многосимвольные и длинные варианты) и правильно распределять роли между подрядчиками и пользователями системы.
3
Установить плагины для мониторинга безопасности сайта и контроля изменений.
CSRF
Как защитить:
Под действия, которые совершает посетитель, создать специальное значение или секретный ключ (secret), который генерируется случайным образом и сохраняется в сессии посетителя. На основе ключа сгенерировать токен (инструмент для обеспечения информационной безопасности посетителя) (token) и дополнительное случайное значение «соль» (salt) под него, записать токен в cookies. При отправке формы запроса сервер проверяет поле csrf, удостоверяется в правильности токена, и лишь после этого отсылает сообщение. Токен добавляется как URL-параметр или дополнительное поле
Как избежать взломов и хакерских атак: итог
Если сайт заражен, важно обнаружить (с помощью программ: AI-BOLIT, Maldet и ClamAv) и удалить в каталогах сайта, коде и файлах .php. все вредоносные и хакерские скрипты, паттерны и файлы. Если останется хотя бы один бэкдор (принимает команды в виде зашифрованного сериализованного массива .php.), веб-шелл (позволяет хакеру проводить манипуляции на хостинге) или дорвей (генерирует тысячи страниц из удаленного сервера, которые, попадая в поисковый индекс, пагубно влияют на поисковую выдачу сайта), сайт взломают повторно.
Регулярно обновлять версии движка, модулей и плагинов.
Следить за появлением новых критических уязвимостей с помощью сканеров (ReScan.Pro, ClamAv, LMD и пр.) и оперативно устранять их.
Регулярно менять пароли (вводить сложные, длинные и многосимвольные варианты) от административной панели сайта, FTP, SSH и хостинга, а при работе с сайтом в общественных местах через WiFi использовать безопасное VPN подключение.
Проверять компьютеры и другие устройства, с которых выполняется администрирование сайта, антивирусными программами.
Регулярно делать резервные копии сайта и сохранять их на компьютере.
Правильно распределять роли между подрядчиками и пользователями, ограничивая административный доступ и права к системным папкам.
Отключить ненужные php функции в файле php.ini и запретить вызов php скриптов в папках для загрузки файлов, кэш- и временных папках.
Использовать безопасное подключение к сайту - sftp вместо ftp.
