Téma: Amikor feltörik az oldalad

Bagi Zoltán eredeti hozzászólása

Pár perccel ezelőtt egy irtó vicces tag feltörte a katalógusomat. Szerencsére még a normálisabb típusból való volt és adatbázisban való turkálást követően csak az adminba nem tudok belépni. A jó édes anyádat! Ezt úgy azért üzenem neki.

Ez szívás....
Hol juthatott be??

Hát nem igazán tudom. Ingyen skripten fut az oldal, szóval gyakorlatilab bárhol szerintem. Nem mintha a pénz megóvna bármitől. Csak az a para, hogy semmi tippem, hogyan tudnék beléni, mert az adatbázisban tárolt admin táblához nem nyúlt, legalábbis én nem látom. Szóval jaja nagy szívás, de láttam már rosszabbat is, ez azért vigasztal.


UPDATE:
Megvan, bejutottam. Még szerencs, hogy globális passom van és egy másik adatbázis elkódolt jelszavával az újat felülírva beengedett a kapu. Ez zsírság, kevesen ússzák meg fél órával.

Milyen egyéb cuccok vannak még az accounton Zoli?
Van Joomla oldal pl.?
Az elég nagy backdoor tud lenni úgy tartják.

vidirita eredeti hozzászólása

nekem egy titkos támogatóm ajánlotta, hogy sürgősen merüljek el a php rejtelmeiben, mert az oldalamat iszonyat könnyű feltörni....
megyek, írok neki....

ja,meg múltkor találtam olyan fórumot, ahol a nod kódok szabad adásvétele mellett azt dumálják ki, hogyan kell feltörni oldalakat, meg csak úgy lazán hackerkedni...
robbantanám föl azt a fórumot, simán!
van valakinél egy kis tnt?

Egyetlen megoldás létezik, az pedig a rendszeres mentés.
Ami portálrendszer az feltörhető.

Itt van két WP (egy teszt) meg egy webshop. De csak a directoryba gyalogolt bele.

Az egyik WP tuti a legújabb, a másik régebbi szerintem. Bosscarton fut a webshop. A directory meg indexscript cucc. Nem csodálkoznék, ha az indexscriptes csávók küldtek volna rám valakit (proxis tükrözgetések sem is olyan régen történtek) Az a helyzet, hogy én is leginkább db mentegetéssel védekezem. Most épp nagy design munkában vagyok szóval nagyon örülök, hogy megúsztam ennyivel.

Zoli: Ha Apache alól futtasz valamit, akkor ajánlatos www-data alá tenni a könyvtárakat, mivel ha megtörik, akkor csak az Apache-héjt törik meg.

Linux alól a chown paranccsal tudod ezt megtenni:

chown -R www-data:www-data konyvtarnev

Meg ugybár nem árt, ha nem rootként adod meg a mysql adatbázist,hanem csinálsz neki egy másik jogot.

__________