Как защитить 1.5 по-максимуму?

[Wharfadale]

Собственно, сабж. Недавно на все мои сайты был вставлен айфрейм, поэтому озаботился проблемой безопасности. Наверное, устранять уязвимости во всех сторонних компонентах бесполезно, а вот самое базовое - легко.
Только не советуйте пожалуйста длинный пароль, выходить и чистить куки и т.п.)

 

[yuravolovod]

Собственно, сабж. Недавно на все мои сайты был вставлен айфрейм, поэтому озаботился проблемой безопасности. Наверное, устранять уязвимости во всех сторонних компонентах бесполезно, а вот самое базовое - легко.
Только не советуйте пожалуйста длинный пароль, выходить и чистить куки и т.п.)

если не ошибайюсь, айфрейм из-за того могут вставить, что файл не защищен от записи. Поставьте нормальные права. 444 на файлах index.php . обычно их заражают + login.php .

 

[emone]

Эта проблема жована уже. Алгоритм прост:
1) Ты ловиш через ай-фрейм Троя
2) трой сканит твои пароли по шаблону wcx_ftp.ini
3) декодирует, заходит на все твои аки которые прописаны в ФТП манагере тотла-коммандера
4) по шабу выбирает index.* и пихает туда строчку ай-фрейма на свое тело, так же строчку на рекламку к порнуше которая сливает твой трафик скрытим фреймом на благо своей розкрутки или иных коммерчиских требований

Вывод:
1) меняй пароли на ФТП срочно ко всем акам.
2) чисти все индекса, если файлом много делай дамп, качай на локал и там по шаблону задавай в поиск и гоняй поиском. потмо почитсить уже выбраные файлы
3) изменения атрибутов на запись типа 644, 444 может особо и не помоч, это разве на серваке Safe-Mode ON стоит тогда поможет.

Ище вариант что на твой сайт как то залили ШЕЛ эго ище во всех директориях и папках где разрешена запись в частотности имиджовые папки.

 

[Android]

Базовая защита:
1. Хтаксекс закрывающий доступ к папке administrator только по паролю.
2. Использовать какой-либо скрипт который создает контрольные суммы файлов или мд5 хеши а потом сверяет и х с текущими (так всегда можно отследить куде залили шел и т.п. если ужо случилось и быстр устранить).
3. Регулярное обновление ждумлы (есть компонент который скачивает и ставит обновления прямо из админки).
4. По возможности включить мод секюрити на апаче, который экранирует все кавычки вот так \', энто осложнит скюл-инжексцию.

Собственно можно еще пройтись по всему проекту какимнибудь обфуксатором кода и поменять имена всех переменных.

 

[Daily]

3. Регулярное обновление ждумлы (есть компонент который скачивает и ставит обновления прямо из админки). - А как называется этот компонент?

 

[swf]

Тут самое правильное решение следить за обновлением joomla и своевременно его проводить.. сто процентной защиты не получиш никогда

 

[Pipinder]

В папке администратора редактируем/создаём файл .htaccess и прописываем вход только со своего IP

Deny from all
allow from 213.180.204.8

Только из домена ya.ru возможно теперь получить доступ к вашей админке Joomla.

Добавлено через 1 минуту
В Ftp программах, Cuteftp, Totalcmd и другие, кстати, лучше вообще не оставлять пароли, либо не дописывать один значок, который дописываете при повторном входе вручную.

 

[bumbu]

Добавлено через 1 минуту
В Ftp программах, Cuteftp, Totalcmd и другие, кстати, лучше вообще не оставлять пароли, либо не дописывать один значок, который дописываете при повторном входе вручную. [/QUOTE]

тотал комендеру под фтп я тож не доверяю, но вот держать в голове почти 50 паролей под фтп, да ещё многие генерированые рэндомно то это немножко слишком грамоздко, а если держать пароли гдето в файле то это тоже не безопасно да и будет "кумарно" по пару десятков раз в день вставлять пароли, такчто приходится доверять кутефтп, хотя он вроде не дырявый.

 

[campus]

Собственно, сабж. Недавно на все мои сайты был вставлен айфрейм, поэтому озаботился проблемой безопасности. Наверное, устранять уязвимости во всех сторонних компонентах бесполезно, а вот самое базовое - легко.
Только не советуйте пожалуйста длинный пароль, выходить и чистить куки и т.п.)

Обновить до 1.5.10

 

[igorus22]

сейчас тоже озадачился такой проблемой
на екстеншенах нашел только
jFireWall EndPoint Protection - Anti hacker
но он коммерческий
может у кого есть нуль ???