Хотите сказать, что нашли метод как загрузить шел в папку, в которую не может писать даже root? Вы случайно не из Пентагона нам пишите? ;)
Мы предложили рабочий метод защиты, притом бесплатный, предложите свой метод, который будет лучше нашего, получится конструктивная беседа и реальная помощь людям.
Всем кто работает с WP понятно, что имелась ввиду папка wp-includes/images
Влад, все ваши посты "пропитаны" компетенцию. Пожалуйста, не засоряйте эфир, пока что ничего дельного от вас не было. Или из за того что людей перестанут взламывать, у вас работы убавится, вы за это беспокоитесь? :)
Андрей, для вас есть решение, не самое изысканное, но зато бесплатное, простое и быстрое. Решение такое: блокировка всех файлов и папок на изменение, кроме папки images (чтобы была возможность добавлять новые посты/материалы) и возможно некоторых других, которые могут использовать плагины, но как правило хватает images.
Папку Images тоже можно защитить, ниже опишу весь процесс, но должен отметить, понадобится доступ к командной строке, поэтому сайт должен находится на VPS, либо у хостера который дает доступ к шел.
1. Заходим через командную строку в папку вашего сайта, например public_html и выполняем команду
chattr -R +i ./
Эта команда блокирует все папки и файлы, теперь их нельзя будет изменить, и в них ничего нельзя будет загрузить (например тот же самый шел).
2. Чтобы разблокировать на запись папку images выполним команду
chattr -R -i wp-includes/images
3. Помещаем в папку wp-includes/images файл .htaccess с инструкцией внутри:
RemoveHandler .php
Таким образом, если кто то загрузит в нее шел, он не сможет его запустить.
===
Перед работой с файлами по фтп защиту нужно отключать. Включенная защита не даст возможности с ними работать.
Отключить защиту можно так: chattr -R -i ./ (запускается также из корневой папки сайта, например public_html)
На счет безопасности платных CMS, есть хорошее исследование "На каких CMS сделаны сайты банков?"
Любая коммерческая CMS лучше не коммерческой, WP сама по себе не плоха в плане безопасности, все взломы как правило проводятся через уязвимости в плагинах / шаблонах. Причем популярность / количество загрузок / установок плагина не говорит о его надежности.---------- Добавлено 23.12.2014 в 19:46 ----------
Это и была мат часть :) Опровергните аргументом, или опять скажете "рукалицо"? ;)
Судя по тестам http://tools.pingdom.com/fpt/#!/cngRAM/youbags.ru
Проблема именно в ответе сервера. Ожидание 11 секунд еще до момента загрузки всех css/js и прочего.
Возможно также что сайт посещаем (хотя если он новый, то вряд ли) и если у хостера низкие лимиты на CloudLinux, то запросы к сайту становятся в очередь, и обработка этой самой очереди занимает эти самые 10-11 секунд.
Еще как вариант - наплыв ботов, плохих или поисковых, которые съедают все лимиты cloudlinux'a.
vl273, Насколько я понимаю, ему нужны другие параметры, о есть в скрипте можно задать методом setTotalCost полную стоимость заказа, но ему она не нужна, ему нужно задать параметры типа кол-во товара, цена, артикул, но для передачи этих параметров в скрипте нет методов.
Точнее нет явных, но есть такие методы: setData1(), setData2() и т.д
поэтому скрипт должен выглядеть примерно так:
sale.setTotalCost('120.50');
sale.setOrderID('ORD_12345XYZ');
sale.setProductID('test product');
sale.setData1('7686') // id
sale.setData2('87022') // sku
sale.setData3(''[786] Промо упаковка') // category
ну и далее по аналогии, но не более 5 доп параметров.
SeVlad, С незнакомцами я предпочитаю общаться на Вы :)
Проактивная защита это та защита, которая не дает попасть вирусу, в нашем случае зачастую шелу, на сервер. А если попадает, то сразу удаляется, и не дает ему запуститься. Именно это мы и имеем ввиду, и именно такая защита у нас установлена.
XSS атаки, SQL инъекции зачастую можно отфильтровать, если сканировать трафик. Я думаю вам знаком модуль mod_security, который именно это и делает. Правда он справляется с задачей не так хорошо (из нашего опыта) и нам по тем или иным причинам не подходит, так что у нас немного другая защита, но это не столь принципиально.
Правильно фильтруя трафик можно отмести ботов и спам (намекну - через анализ POST запросов)
Удачи :)
Вариант номер один: если доходы в рублях, гривинах, то оптимальный вариант - рефинансировать (если кредит не потреб, то возьмут комиссию ~1%). Правда желательно было сделать это до повышения ставки ЦБ. Но кто ж знал.
Вариант номер два: искать валютные источники дохода :)
Можно попробовать запросить фтп логи у хостера, как ни странно, но фтп пароли уводят/подбирают может и не часто, но случаи есть. Обычно конечно подбор стандартных паролей работает.
Второе - посмотреть дату модификации файлов, если код замечен недавно, и сайт активно не редактируется (именно скрипты сайта) то это может помочь. Руками конечно это сложно проверить, т.к у CMS как правило 100500 файлов. Поэтому лучше чтобы хостер отправил список файлов, которые были изменены за последнюю неделю скажем, или когда вы заметили внедрение в скрипт. Так можно будет найти и другие скрипты, в которое мог быть внедрен код, а также и сам шел.
Влад, у нас не только проактивная защита от вирусов, но и от XSS атак, SQL инъекций, спама в комментариях (не нужно устанавливать спец плагины wp), и ботов. То есть практически тот сервис, который предлагает CloudFlare (и кажется даже на бесплатном тарифе), но сразу на хостинге.
Касательно антивирусных баз, их несколько, актуальные уязвимости можно проверять например на http://www.cvedetails.com/ или упомянутом вами exploit-db.com, все верно, спору нет. Но мы постараемся выкладывать и рецепты лечения, на случай, если сайт уже заражен. Для продвинутых пользователей вылечить сайт не проблема, а для начинающих - морока. Постараемся ее облегчить :)
