Обезапасить сайт с помощью.htaccess в images - Безопасность сайтов на Joomla

Добрый вечер, инетересует возможнсти прикрыть дыры в сайте j2.5.8. Где-то копался и нашел такой метод .Создается .htaccess с кодом И кладется в директорию images (права 755). Такой метод безопасен или не особо?Как я понял главная дыра обычно через images.

может и такого хватить, обычно хватает


а вообще думаю пусть все варианты каждый представит, а остальные либо выберут для себя либо сделается один верный и рабочий

Мой вариант)

<IfModule mod_php5.c>
  php_flag engine 0
</IfModule>

Мой вариант)

расшифруйте!))) вообще это же ведь дырень огромная! срочно уберите со своего сайта!!
_{с 1 апреля, не?)))}

Не вижу шутки..
А вообще давно пора в дистрибутив такое включить...

может и такого хватить, обычно хватает

Код

<Files ~ ".(php)$">
Deny from all
</Files>

а вообще думаю пусть все варианты каждый представит, а остальные либо выберут для себя либо сделается один верный и рабочий

в папку tmp тоже, не?

в папку tmp тоже, не?

угу

добавлю для разъяснения некоторые вещи

фаил .htaccess могут перелазить и тогда все старания на смарку

права на файл .htaccess или директива в httpd.conf

вот некоторое разъяснение основного

в папку tmp тоже, не?

там по другому надо

Мой вариант)
<IfModule mod_php5.c>
  php_flag engine 0
</IfModule>

Вариант исходит из двух предположений:
1) используется 5 версия php (что не всегда верно - 4й ещё живее всех живых)
2) php установлен как модуль Апача, а не как cgi-приложение, что верно ещё реже.
--
Резюме: данный вариант сработает не всегда, хотя и более чем в половине случаев. Вариант flyingspook должен быть лучше, т.к. универсальнее. Но нужно провести натурные испытания в боевых условиях, т.к. практика говорит, что "всего всё равно не предусмотришь" ))

2) php установлен как модуль Апача, а не как cgi-приложение, что верно ещё реже.

php as fast-cgi ?

cgi, fast-cgi и mod_php - это три разных варианта запуска интерпретатора php. Все они отличаются по производительности, потребляемым ресурсам и уровню безопасности. Кроме них ещё есть suPHP. Если на одном сервере и в одной ОС нужно "подружить" разные версии php, может одновременно стоять и выполняться и модуль php и php как cgi, или два (и более) cgi-приложений, или даже запускаться несколько апачей. Конкретная конфигурация во многом зависит от того, какая ОС на сервере. Ну и от админа, конечно ))

Даже не ожидал увидеть такое количество постов) вроде тема больная (сам то я не имею опыта, т.к. с Joomla 3ий месяц работаю).
Прочел все вышенаписанное и возникло пару вопросов:
Т.е. такого достаточно, установив запрет доступа к файлам
1.Т.е. в этом случае уже не надо делать запрет на запуск файлов(как в моем варианте)?.
2.Перелазить через .htaccess? Тут поподробнее, как от этого себя уберечь?
3.Что лучше сделать с папкой tmp (права  755). Как его уберечь?(вроде вторая дыра считается(не хочется заводить тему отдельно, тем более так или иначе этого вопроса касались, но однозначного ответа я не нашел).Заранее спасибо.

3.Что лучше сделать с папкой tmp (права  755). Как его уберечь?(вроде вторая дыра считается

Тот же .htaccess, с директивой на запрет выполнение скриптов. Мне более подходит с первого поста.
Я считаю вторым по важности каталог /cache.Ну а среди хакеров есть инфо, что папка /cache Joomla в 99% с правами 777.

3.Что лучше сделать с папкой tmp (права  755). Как его уберечь?(вроде вторая дыра считается(не хочется заводить тему отдельно, тем более так или иначе этого вопроса касались, но однозначного ответа я не нашел).Заранее спасибо.

Я считаю вторым по важности каталог /cache.Ну а среди хакеров есть инфо, что папка /cache Joomla в 99% с правами 777.

ну давайте и папки соберем тогда

самые опасные это ссылочные и прочие папки с правами 777

распространенные от движка

cache
images
tmp

еще

logs
modules
template

ну и стоп

если еще начать перечислять то и паранойя близка, начнем тег <title> приписывать и favicon.ico переплетем, и дальше по схеме, и окажется что будешь вечно бесопасить а не сайтом заниматься)

а еще есть гифки с вирусами, тогда и картинки все надо будет под контроль...

а еще есть гифки с вирусами, тогда и картинки все надо будет под контроль...

если закрыть РНР то гивку даже если конвертнуть то она работать не будет в этой папке
а вообще последние гифки заливались и конвертировались с правами автора на сколько помню если права были ниже то они так и валялись в своем формате

если закрыть РНР то гивку даже если конвертнуть то она работать не будет в этой папке
а вообще последние гифки заливались и конвертировались с правами автора на сколько помню если права были ниже то они так и валялись в своем формате

если есть на сайте LFI уязвимость то пофиг как там у вас конвертируется картинка... если нет спец обработки загружаемой картинки, то в нее можно встроить PHP код и проинклудить, в результате чего у злоумышленика будет шелл!

Ват если такой вариант в каждую папку первого уровня, где учел вышесказанное и с учетом возможного переноса сайта на php 4 или на другой вариант php:

# запрет листинга всех папок и под-папок
Options -Indexes


php_flag engine 0
AddType "text/html" .php .cgi .pl .fcgi .fpl .phtml .shtml .php2 .php3 .php4 .php5 .asp .jsp


# Отключаем PHP.
RemoveType php


<IfModule mod_php4.c>
  php_flag engine 0
</IfModule>

<IfModule mod_php5.c>
  php_flag engine 0
</IfModule>

<Files ~ ".(php)$">
Deny from all
</Files>

# запрет на запуск файлов
RemoveHandler .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml
AddType application/x-httpd-php-source .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml

# запрет доступа к файлам
Order Deny, Allow
Deny from all

Такой htaccess правильный будет? Поправьте возможно чтото лишнее или продублировано

Главное не забывать иногда обновлять сайт и расширения. И все будет ок.

Дл запрета в папках php правильно будет:?

<Files ~ ".(php)$">
Deny from all
</Files>

или

Order Deny, Allow
Deny from all

Главное не забывать иногда обновлять сайт и расширения. И все будет ок.

Да. Нет необходимости отключать php c помощью директив .htaccess в папке, куда идет загрузка. В редакторах Joomla загружаемые изображения очищаются от php кода (как я предполагаю).

Если речь идет о нестандартных способах загрузки, то тут, конечно, другой разговор.

Если позволить юзеру неконтролируемо загружать изображения, и при этом он знает путь к ним, и php работает в режиме cgi, что как я понимаю, означает, при правах на папку даже 755, он сможет набрать в адресной строке путь к загруженному файлу и выполнить его, то это не есть очень хорошо, на мой взгляд.

вот еще интересный материал для чтения на досуге.

http://habrahabr.ru/post/148999/

К превеликому удовольствию «исследователей безопасности», PHP позволяет вставлять выполнимый код в любое место любого файла, игнорируя всё, что не заключено в теги <? ?>

там по другому надо

А что надо делать с tmp?

Народ, а чтобы значил в images такой файл .htaccess (права 444)?
При этом рядом лежит файл .htaccess.1433428640 (права 644) с таким содержимым:
Что-то как-то... того...

Отключено PHP и разрешенные форматы файлов указаны, второй  .htaccess.1433428640 это бекап скорей всего перед созданием где PHP запретили.

Аааа.. теперь понятно - это такая защита, типа - везде всё запретить. Типа.
Начинаю елозить по дереву, выискивая западлянки, уже кой-чего удалил. В логе вот чего:
Хотя никакого фронтенда нет

Аааа.. теперь понятно - это такая защита, типа - везде всё запретить. Типа.

Это нормальное явление отключение PHP в папке где ему не место.