Tutoriale Securizare Server, Site, Blog wordpress, Mail si altele

Am deschis acest thead pentru a folosii ca si Manual de SECURIZARE
Nu sunt un mare specialist, dar cu ajutorul vostru sper ca vom reusii sa acumulam informatii utile. Lucrurile folositoare le vom numerota de la 1 etc....

Chestii UTILE:
1- CPANEL: Limitare acce SSH si WHM la un ip sau clasa A sau B ( exemplu 86.32.*)
sunt plugins-uri pentru cpanel sau direct din firewall.
2- GENERAL: Folosirea de parole de minim 10 caractere, litere, cifre si chiar *^$#@&
3- WP: Evitarea de user cu nume admin
4- WP: Evitare parola 1234 sau 12345
5- WP: Rename/delete the xmlrpc.php file
6- WP: Ascunde versiunea WordPress › WP Remove Header Generator « WordPress Plugins
7- WP: Backup periodic WordPress › BackUpWordPress « WordPress Plugins
8- WP: Actualizare la zi versiune wordpress si plugins
9- WP: Blocarea accesului unor boti la fisierul de configurare wp-config.php prin fisier .htaccess urmatorul cod:

Citat:

---

<files wp-config.php>
order allow,deny
deny from all
</files>

---

10- WP: Verificati permisiunile la directoare si fisiere, recomandat CHMOD 775 pentru directoare, 664 pentru fisier. Aveti mare grija la 777!!!
11- WP: Instalare plugins WordPress › Simple Login Lockdown « WordPress Plugins
12- General: Limitarea din robots.txt a folder si fisiere care vreti sa nu fie vizitate de boti si spideri, exemplu:

Citat:

---

User-agent: *
Disallow: /cgi-bin/
Disallow: /wp-admin/
Disallow: /wp-includes/

---

Configurarea robots.txt este ceva mai complexa si difera de la o platforma la alta, ATENTIE MARE LA CONFIGURARE!!!! mai bine cere 5 pareri sa nu ai probleme.

13- ?

Asa, sa pui o lista cu astfel de masuri se va ajunge la o lista mamuta de mii de observatii, pe care apoi nimeni nu va mai avea timp sau curaj s-o parcurga. Ori le structureaza cineva pe capitole, ori scriem doar despre un singur subiect, ca sa nu se transforme totul in haos. De ex, doar despre securitate wordpress, sau linux, sau mai stiu eu ce va trebuie.

Legat de cPanel, schimbi accesul ssh cu ssh keys si gata, mai important decat securizarea ssh e securizarea FTP. Pe acolo intra mai multe probleme decat prin ssh si oricum, nu toata lumea are server/vps, majoritatea au shared. Iar primul pas in securizarea FTP se face folosind un client FTP sigur iar cel mai sigur pe care-l stiam eu este JFtp (in Java), desi acum cu problemele lor probabil nici asta nu mai e sigur.

Majoritatea site-urilor cum ar fii si wordpress, ruleaza pe linux, daca ti-ai secuzitat wordpress-ul si nu ai securizat ssh, cpanel, serveru ai sanse sa il fii securizat degeaba, orice chestie in plus este bine venita.

Chestii UTILE:
1- CPANEL: Limitare acce SSH si WHM la un ip sau clasa A sau B ( exemplu 86.32.*)
sunt plugins-uri pentru cpanel sau direct din firewall.
2- GENERAL: Folosirea de parole de minim 10 caractere, litere, cifre si chiar *^$#@&
3- WP: Evitarea de user cu nume admin
4- WP: Evitare parola 1234 sau 12345
5- WP: Rename/delete the xmlrpc.php file
6- WP: Ascunde versiunea WordPress › WP Remove Header Generator « WordPress Plugins
7- WP: Backup periodic WordPress › BackUpWordPress « WordPress Plugins
8- WP: Actualizare la zi versiune wordpress si plugins
9- WP: Blocarea accesului unor boti la fisierul de configurare wp-config.php prin fisier .htaccess urmatorul cod:
<files wp-config.php>
order allow,deny
deny from all
</files>
10- WP: Verificati permisiunile la directoare si fisiere, recomandat CHMOD 775 pentru directoare, 664 pentru fisier. Aveti mare grija la 777!!!
11- WP: Instalare plugins WordPress › Simple Login Lockdown « WordPress Plugins
12- General: Limitarea din robots.txt a folder si fisiere care vreti sa nu fie vizitate de boti si spideri, exemplu:
User-agent: *
Disallow: /cgi-bin/
Disallow: /wp-admin/
Disallow: /wp-includes/
Configurarea robots.txt este ceva mai complexa si difera de la o platforma la alta, ATENTIE MARE LA CONFIGURARE!!!! mai bine cere 5 pareri sa nu ai probleme.

13- Schimbare port SSH din 22 intru port cu 4 cifre.

14- ?

Nu stiu daca-s paranoic, dar eu pe dedicat / vps nu instalez server FTP. Ori pun un script cu interfata web care-mi face update de pe SVN, ori folosesc WinSCP (pe portul SSH).

Citat:

---

Postat în original de casperel

Nu stiu daca-s paranoic, dar eu pe dedicat / vps nu instalez server FTP. Ori pun un script cu interfata web care-mi face update de pe SVN, ori folosesc WinSCP (pe portul SSH).

---

Casperel - yep, suntem paranoici. Aceasta este o masura extrem pe care o folosesc si eu dar dorm mai linistit noaptea. Ca script cu interfata web folosesc unul recodat si impacheat de mine intrun singur fisier (file management si mysql), dintrun fost webshell cu care a fost infectat unul din siteuri candva.

Citat:

---

Postat în original de haos

Casperel - yep, suntem paranoici. Aceasta este o masura extrem pe care o folosesc si eu dar dorm mai linistit noaptea. Ca script cu interfata web folosesc unul recodat si impacheat de mine intrun singur fisier (file management si mysql), dintrun fost webshell cu care a fost infectat unul din siteuri candva.

---

Ma bucur ca nu-s singurul. As mai adauga urmatoarea schimbare in config-ul SSH, pt ca exista SUDO si nu avem nevoie sa ne logam cu root via SSH.

Citat:

---

PermitRootLogin no

---

As mai adauga ceva:

Dezactivarea din php.ini a functiilor "periculoase"

Cod:

---

safe_mode = On
2        expose_php = Off
3        open_basedir = /var/www
4        disable_functions = "apache_child_terminate, apache_setenv, define_syslog_variables, escapeshellarg, escapeshellcmd, eval, exec, fp, fput, ftp_connect, ftp_exec, ftp_get, ftp_login, ftp_nb_fput, ftp_put, ftp_raw, ftp_rawlist, highlight_file, ini_alter, ini_get_all, ini_restore, inject_code, mysql_pconnect, openlog, passthru, php_uname, phpAds_remoteInfo, phpAds_XmlRpc, phpAds_xmlrpcDecode, phpAds_xmlrpcEncode, popen, posix_getpwuid, posix_kill, posix_mkfifo, posix_setpgid, posix_setsid, posix_setuid, posix_setuid, posix_uname, proc_close, proc_get_status, proc_nice, proc_open, proc_terminate, shell_exec, syslog, system, xmlrpc_entity_decode"

---

Eval, exec, shell_exec si system.. cred ca 99% din exploituri folosesc functiile astea. E buna recomandarea ta dar trebuie verificat codul sursa al siteului inainte de a le dezactiva pentru ca dezactivarea lor in necunostiinta de cauza poate crea gauri si mai mari.

Normal ca trebuie sa stii ce functii folosesc siteurile tale.
In mod normal aceste "setari" sunt facute de cand se pune serverul online. nu dupa 3 ani cand ai zeci/sute de clienti/siteuri

Va recomand sa folositi Better WP Security, care are un dashboard unde te sfatuieste sa rezolvi cam toate lucrurile de mai sus: legate de userul admin si parola, de cate ori are voie un IP sa umble prin wp-content sau sa primeasca 404, iti trimite mail cand apare o problema..e destul de simplu de folosit, m-a aparat de 5 ori pana acum. Nu garantez ca apara si daca nu aveti versiunea WP sau pluginuri updated.

Propun ca cei care se pricep sa faca un tutorial doar pentru WP intr-un post unic, cine se mai pricepe sa faca un tutorial pentur jooomla, etc

Sustin ideea, cred ca ar fi foarte folositoare. Ideea e ca pentru wordpress anul trecut am tot cautat foarte multe modalitati de securizare deoarece am avut destul de multe probleme legate de treaba asta. Cred ca as putea scrie si eu una alta. Insa toate aceste tutoriale nu ar trebui puse intr-o categorie separata, sau e bine aici in "Utile" ?

Pentru cei paranoici cu smartphone: WordPress › Google Authenticator « WordPress Plugins

Mie mi-a fost recomandat azi de catre un tip ce lucreaza la suport tehnic gazduire urmatorul plugin: BulleProof Security. Imi spunea ca atunci cand clientii aveau probleme frecvente cu hack / deface, versiunea platita a acestui script i-a cam scutit de probleme. L-a folosit cineva ?

eu pe langa securizare ftp/ssh-firewall,renuntare la timthumb mai folosesc ca plugin de worpdress, wordfence - scaneaza practic toate fisierele siteului, iar la fisierele wordpress care au fost modificate le inlocuieste daca vrei cu cele originale. Foarte multe probleme aveam din cauza timthumb(chiar si cu ultima versiune).

TimThumb a fost ciuma neagra a Wordpress-ului. Deasta nu suport eu trendinezii, pentru ca baga in gura tot ce e la moda, chiar daca e inutil. Din pacate majoritatea dezvoltatorilor de teme continua inca sa-si impopotoneze temele cu tot felul de scripturi pe care nu le pot controla in timp.

Citat:

---

Postat în original de felix

12- General: Limitarea din robots.txt a folder si fisiere care vreti sa nu fie vizitate de boti si spideri, exemplu:
User-agent: *
Disallow: /cgi-bin/
Disallow: /wp-admin/
Disallow: /wp-includes/
Configurarea robots.txt este ceva mai complexa si difera de la o platforma la alta, ATENTIE MARE LA CONFIGURARE!!!! mai bine cere 5 pareri sa nu ai probleme.

---

robots.txt nu are legatura cu securitatea, prin acest fisier ii rogi pe unii boti sa nu iti acceseze si indexeze o anumita pagina sau director, ei pot tine cont sau nu de aceasta cerinta a ata, iar hackerii fii sigur ca nu se vor sinchisi de ce ai pus tu in robots.txt, nici google nu tine cont intotdeauna, de scanat oricum o va scana, dar probabil nu o va indexa