{مهم} ده دلیل اصلی هک شدن سایتها

[mking]

با سلام خدمت تمامي دوستان و همکاران و مديران محترم سايت.

ديدم در انجمن پارس جوم جهت آموزش مشکلات جوملا و مسائل امنيتي فراواني ذکر شده.

در اکثر سايت هاي ايراني يک سري مشکلات و باگ هاي هستند که خود کاربران اون رو به وجود ميارن. گفتم من هم به نوبه خودم يه سري از مطالب ناگفته رو بگم تا ديگر دوستان هم در جريان قرار بگيرن.
تامثل من سايت شون هک نشه
-------------------------------------------------------

ده دلیل اصلی هک شدن سایتها

هکرها معمولا از نواقص و عدم رعایت نکات امنیتی توسط طراحان سایتها و برنامه نویسان جهت نفوذ به سایتها استفاده میکنند مواردی که با کمی دقت قابل پیش بینی و رفع هستند. در ادامه به برخی از مهمترین نواقص و موارد رایج در هک سایتها در سالهای اخیر اشاره شده است.

1- Cross site scripting یا XSS
این مشکل زمانی ایجاد می شود که اطلاعات ارسالی بین کاربران و سایت بدون بررسی و اعتبار سنجی لازم توسط نرم افزار سایت صورت گیرد. در این حالت هکرها میتوانند اسکریپتهایی را همراه اطلاعات به نرم افزار سایت تزریق کنند و این اسکریپتها هنگام نمایش اطلاعات در مرورگر دیگر کاربران سایت اجرا شده و مشکلاتی همچون سرقت اطلاعات نشست (Session) و دسترسی به اختیارات و اطلاعات دیگر کاربران و یا تغییر در صفحات سایت را ایجاد کند.

2 - Injection flaws
در این شیوه هکر به همراه بخشی از اطلاعات یا پارامترهای ارسالی به سایت دستورات غیر مجازی که امکان خواندن،تغییر یا حذف یا درج اطلاعات جدید را فراهم میکند نیز تزریق میکند.یکی از معمول ترین این روشها SQL Injection است که امکان تغییر در اطلاعات و جداول بانک اطلاعاتی یا تغییر در درخواستها از بانک اطلاعات (مانند تعیین اعتبار کاربر و کلمه) را امکان پذیر میکند.

3 - Malicious file execution
این مسئله به هکر ها اجازه اجرای برنامه یا کدی را میدهد که امکاناتی در تغییرات یا مشاهده اطلاعات یا حتی تحت کنترل گرفتن کل نرم افزار سایت یا سیستم را میدهد. این مشکل در سایتهایی که امکان ارسال فایل را به کاربران بدون بررسی ماهیت اطلاعات را می دهد اتفاق می افتد (مثلا ارسال یک اسکریپ PHP یا ASP به جای فایل تصویری توسط کاربر)

4 - Insecure direct object reference
این مشکل عموما در دستکاری پارامترهای ارسالی به صفحات یا اطلاعات فرمهایی هست که بصورت مستقیم به فایل، جداول اطلاعاتی،فهرستها یا اطلاعات کلیدی اتفاق می افتد و امکان دسترسی یا تغییر فایلهای اطلاعاتی دیگر کاربران را ایجاد میکند. (مانند ارسال کد کاربر یا نام فایل مخصوص او بصورت پارامتر در آدرس صفحه که با تغییر آن امکان دسترسی یا تغییر در اطلاعات کاربر دیگری وجود خواهد داشت)

5 - Cross site request forgery
در اینگونه حملات هکر کنترل مرورگر قربانی را یدست آورده و زمانی که وی وارد سایت (login) شده درخواستهای نادرستی را به سایت ارسال می کند. (نمونه آن چندی پیش دز سایت myspace اتفاق افتاده بود و هکری با استفاده از یک کرم اینترنتی پیغامی را در میلیونها صفحه کاربران این سایت نمایش داد)

6 - Information leakage and improper error handling
همانطور که از نام این مشکل مشخص است زمانی که در خطاهای نرم افزار سایت به شکل مناسبی مدیریت نشوند در صفحات خطا اطلاعات مهمی نمایش داده شود که امکان سوء استفاده از آنها وجود داشته باشد.(نمونه ای از همین مشکل چندی پیش برای یکی از سایتهای فارسی نیز بوجود آمد و اطلاعات کاربری و کلمه عبور اتصال به بانک اطلاعات در زمان خطا نمایش داده می شد و باعث سوء استفاده و تغییر اطلاعات کاربران این سایت شد )

7 - Broken authentication and session management
این مشکل در زمانی که نشست کاربر (Session) و کوکی اطلاعات مربوط به ورود کاربر به دلایلی به سرقت می رود یا به دلیلی نیمه کاره رها می شود ایجاد می شود. یکی از شیوه های جلوگیری از این مشکل رمز نگاری اطلاعات و استفاده SSL است.

8 - Insecure cryptographic storage
این مشکل نیز چنانچه از عنوان آن مشخص است بدلیل اشتباه در رمزنگاری اطلاعات مهم (استفاده از کلید رمز ساده یا عدم رمز نگاری اطلاعات کلیدی) است.

9 - Insecure communications
ارتباط ناامن نیز مانند مشکل قبلی است با این تفاوت که در لایه ارتباطات شبکه است.هکر در شرایطی میتواند اطلاعات در حال انتقال در شبکه را مشاهده کند و از این طریق به اطلاعات مهم نیز دست پیدا کند. همانند مشکل قبلی نیز استفاده از شیوه های رمزنگاری و SSL راه حل این مشکل است.

10 - Failure to restrict URL access
برخی از صفحات سایتها (مانند صفحات بخش مدیریت سایت) می بایست تنها در اختیار کاربرانی با دسترسی خاص باشند.اگر دسترسی به این صفحات و پارارمترهای ارسالی آنها به شکل مناسبی حفاظت نشده باشد ممکن است هکرها آدرس این صفحات را حدس بزنند و به نحوی به آنها دسترسی پیدا کنند.
دیدن لینک ها برای شما امکان پذیر نیست. لطفا ثبت نام کنید یا وارد حساب خود شوید تا بتوانید لینک ها را ببینید.

-------------------------------

هفت نکته برای بهینه سازی امنیتی جوملا

جوملا (Joomla) سیستم مدیریت محتوا بسیار بزرگی است که در سراسر جهان مورد استفاده قرار می گیرد. به همین دلیل، هکرها اغلب سعی می کنند راهی برای نفوذ به وب سایت های ایجاد شده توسط جوملا پیدا کرده و به آن سایت ها حمله کنند. در این مقاله با ۷ نکته برای بهینه سازی سیستم امنیتی جوملا، برای جلوگیری از هک شدن وب سایت جوملای خود آشنا می شوید.

به عنوان جعبه کمک های اولیه، همیشه به یاد داشته باشید به طور منظم یک نسخه ی پشتیبان (Backup) از وب سایت و پایگاه داده خود تهیه کنید. اگر در این حالت سایت شما هک شود، با استفاده از پشتیبان، همیشه می توانید به نسخه های قدیمی تر وب سایت خود برگردید. اطمینان حاصل کنید افزونه ای که باعث آسیب پذیری سایت شما گشته را پیدا کرده و آن را حذف کنید.

تغییر پیشوند پیش فرض پایگاه داده (jos_)
بیشتر حملات تزریق اس کیو ال (SQL injections) که به منظور هک نمودن وب سایت های جوملا نوشته می شوند، سعی در بازیابی داده ها از جدول jos_users. دارند. به این ترتیب، این حملات می توانند نام کاربری و رمزعبور مدیر وب سایت را بازیابی و در اختیار هکر قرار دهند. تغییر پیشوند پیش فرض به چیزی تصادفی، می تواند از اکثر و شاید همه حملات تزریق کد جلوگیری نماید.
شما می توانید در هنگام نصب جوملا روی وب سایت، پیشوند پایگاه داده را تغییر داده و به چیزی دلخواه تنظیم کنید. اگر قبلا جوملا را نصب کرده و حالا می خواهید این پیشوند را تغییر دهید، اقدامات زیر را انجام دهید:
• به سیستم مدیریت جوملای خود وارد شوید (Log on)
• به تنظیمات سراسری (global configuration) رفته و پایگاه داده را جستجو کنید.
• پیشوند پایگاه داده خود را تغییر دهید (به عنوان مثال: fdasqw_ یا _mohsen) و روی Save کلیک کنید.
• برای دسترسی به پایگاه داده (database) خود به phpMyAdmin بروید.
• به تب export بروید، تمام مقادیر پیش فرض را به حال خود رها کرده و دکمه Start را بزنید. ساخت و دانلود خروجی از بانک اطلاعاتی می تواند مدتی به طول بیانجامد.
• وقتی که این کار انجام شد، همه کدهایی را که نمایش داده شده، انتخاب کرده و آن ها را در یک فایل متنی در notepad (یا هر ویرایشگر متنی دیگر) کپی کنید.
• در phpMyAdmin ، همه جداول (tables) را انتخاب و آنها را حذف (delete) کنید.
• در ویرایشگر متنی که کدها را وارد کرده اید عمل جستجو و جایگزینی (search and replace) را انجام دهید.در کادر عبارت جستجو jos_ را وارد کرده و در کادر جایگزینی با، پیشوند جدید خود (مثلا fdasqw_) را وارد کرده و دکمه Replace all را فشار دهید.
• با زدن Ctrl + A همه متن را انتخاب کرد و از آن کپی بگیرید. در phpMyAdmin به SQL رفته، query ها (متن کپی شده) را پیست کرده و روی Start کلیک کنید.

شماره نسخه و نام افزونه را حذف کنید
بیشترین آسیب پذیری ها تنها در نسخه های ویژه ای از افزونه های (extension) خاص رخ می دهند. نمایش نسخه 2.14 از افزونه ای مثل MyExtension چیز واقعا بدی است. شما می توانید با انجام اقدامات زیر کاری کنید که این پیام تنها نام افزونه را نشان دهد:
• همه فایل های افزونه را از روی سرور خود دانلود کنید.
• برنامه Dreamweaver را باز کنید.
• هر کدام از فایل های افزونه را که روی کامپیوتر خود دانلود کرده اید بارگذاری کنید.
• از بخش جستجو استفاده کرده و جستجو را در حالت «Search through specified folder» تنظیم کنید. به پوشه ای که افزونه را در آن دانلود کرده اید، بروید.
‏ • MyExtension 2.14 را به عنوان عبارت جستجو وارد نموده و OK کنید تا در تمامی فایل های پوشه انتخابی به دنبال آن بگردد.
• هنگامی که فایل درست را یافتید، شماره ورژن (version number) را حذف کنید.
• فایل تغییریافته را روی سرور آپلود کرده و بررسی کنید که تغییرات اعمال شده یا خیر.


از عناصر متناسب با موتور جستجو استفاده کنید.
اکثر هکرها از دستورGoogle inurl: command برای یافتن و بهره برداری از آسیب پذیرها بهره می گیرند. از افزونه های مبتنی بر SEF، sh404sef و ARTIO برای بازنویسی url در جوملا بر اساس اصول SEF استفاده کنید تا جلوی نفوذ هکرها از طریق پیدا کردن آسیب پذیری های اینچنینی را بگیرید.
علاوه بر این، وقتی که از آدرس URL متناسب با قوانین موتور جستجو (SEF یا Search Engine Friendly) استفاده کنید، در موتورهای جستجو مانند گوگل رتبه بندی بالاتری برای نمایش سایت خود در نتایج جستجو بدست خواهید آورد.
جوملا و افزونه های آن را همیشه به روز نگه دارید
این یکی که بسیار آشکار است. همیشه به دنبال استفاده از آخرین نسخه های جوملا و همچنین افزونه های نصب شده در آن باشید. بسیاری از آسیب پذیری های نسخه های قدیمی تر در نسخه های جدیدتر برطرف شده و می تواند گره گشای مشکلات شما باشد.

برای هر پوشه و فایل از CHMOD صحیح استفاده کنید.
تنها زمانی تنظیم پرمیشن فایل ها و یا پوشه ها را CHMOD of 777 or 707 قرار دهید که یک اسکریپت نیاز به بازنویسی آن فایل یا دایرکتوری داشته باشد. همه فایل های دیگر باید تنظیمات زیر را داشته باشند :
• فایل های پی اچ پی : 644
• فایل های پیکربندی (Config) : 666
• سایر پوشه ها : 755

فایل های باقی مانده و زائد را حذف کنید
هنگامی که یک افزونه نصب می کنید اما بعد می فهمید نیاز و تمایلی به استفاده از آن ندارید، افزونه را به حال خود رها نکنید. اگر چنین کاری را انجام دهید، فایل های آسیب پذیر هنوز هم در وب سایت شما وجود دارند. بنابراین به سادگی از منوی un-install استفاده کنید تا از شر افزونه های زائد خلاص شوید.

فایل .htaccess را تغییر دهید.
که خوشبختانه در اين زمينه در انجمن مطالب آموزنده قرار گرفته است....

دیدن لینک ها برای شما امکان پذیر نیست. لطفا ثبت نام کنید یا وارد حساب خود شوید تا بتوانید لینک ها را ببینید.

[k-mortaza]

با سلام به خدمت آقای قوچی
دوست عزیز نکات مورد نظر حضزتعالی رو در مورد بالا بردن امنیت سایت مطالعه کردم ظاهراً این مطلب رو در اردیبهشت 90 ارسال کردید من جون تازه کارم خواستم خواهش کنم اگر مطلب جدیدی در مورد امنیت سایت علاوه براینها دارید لطفاً برای دوستان ارسال کنید تا از آنها استفاده کنند قبلاً از زحمات حضرتعالی تشکر میکنم
علت درخواست ینده به حاطر این هست که تشکر های فراوانی از این مطلب آموزشی شده بود .
باز هم ممنون

[صدرا حسابی]

سلام

دوست عزیز پیشنهاد می کنم حتما به بخش دیدن لینک ها برای شما امکان پذیر نیست. لطفا ثبت نام کنید یا وارد حساب خود شوید تا بتوانید لینک ها را ببینید.
نگاهی بیندازید.