gregzem

Работайте через ssh (SCP, SFTP), клиент WinSCP5.

Информация для новичков, что такое SSH и как им пользоваться. Обязательно к изучению.

http://naikom.ru/blog/archives/2105

http://www.sdelaysite.com/kniga/tools/ssh-shell

http://www.siteprojects.ru/blog/?p=1109

---------- Добавлено 16.02.2013 в 22:08 ----------

Зачем защищать панель админа: http://www.revisium.com/kb/protect_adminpanel.html

Как защищать панель админа:

http://www.revisium.com/kb/secure_adminpanel.html

---------- Добавлено 16.02.2013 в 22:10 ----------

Авторам самописных CMS и скриптов рекомендую

познакомится с программами и скриптами:

- RIPS (http://sourceforge.net/projects/rips-scanner/files/) - free

- sqlmap (http://sqlmap.org/) - free

- Acunetix Web Vulnerability Scanner - $$$

- XSpider 7.8 - $$$, но дешевле предыдущего

использовать готовые библиотеки фильтрации данных от пользователя и из базы данных:

https://phpids.org/

http://htmlpurifier.org/

http://www.phpinsider.com/php/code/SafeSQL/

http://code.google.com/p/php-antixss/

http://code.google.com/p/xmlseclibs/downloads/list

а также обязательно прочитать СпецВыпуск Хакер №75 http://www.xakep.ru/magazine/xs/075/xs_075.pdf, и познакомится с инструментами для pentest (http://habrahabr.ru/post/141803/).

Ищет по любым. А .aknown нужен только, чтобы убрать ложные срабатывания из популярных движков. Можно вообще без .aknown использовать, но красного и оранжевого в отчете будет чуть больше.

Ссылку в списке внешних ссылок покажет, на код ругаться не будет, ибо код вполне обычный.

Новая версия AI-BOLIT

Изменения в версии 20130201

- новые сигнатуры

- файл отчета запрещен к индексированию

- в имени файла отчета добавляется случайное число для защиты от подбора имени

- добавлен .aknown файл для Wordpress 3.5.1

http://revisium.com/ai/

---------- Добавлено 04.02.2013 в 14:39 ----------

Вы пользуетесь файлами .aknown.*? Для популярных cms сделаны игнор-файлы, они минимизируют ложное срабатывание.

---------- Добавлено 04.02.2013 в 14:42 ----------

Я прочитал весь пост и не понял, что от меня хотят :-) В чем вопрос-то?

---------- Добавлено 04.02.2013 в 14:43 ----------

Достаточно скачать консольный php с php.net для Windows.

---------- Добавлено 04.02.2013 в 14:44 ----------

Цены точно нет, потому что он бесплатный :-)

Спасибо за идею. Мой ответ такой

1. скрипт рекомендуется запускать не из браузера, а из командной строки по ssh, а там запретить запускать ai-bolit.php сложновато, так что он будет работать.

2. именовать случайным имя, конечно, можно, но раз уж мы говорим о пользователях неопытных, то они вряд ли смогут понять инструкции, если в них имя скрипта будет изменено. А если пользователи опытные, ничто не мешает им переименовать скрипт при загрузке на хостинг или непосредственно на хостинге.

Ответ простой - вы запустили php интерпретатор, но не сказали, что ему делать. Нужно указать скрипт, который выполнить.

Самый простой вариант:

- копируете ai-bolit.php и сопутствующие файлы из архива в папку сайта на локальном компьютере

- в проводнике щелкаете по ai-bolit.php

- появляется диалог "Открыть с помощью..."

- указываете путь к php.exe (или php-win.exe)

- ждете окончания тестирования, как окно закрылось - идете в каталог сайта и смотрите отчет AI-BOLIT-REPORT-<дата>-<время>.html

Там же написано "Error: cannot run on php-cgi", зачем вы его включили-то? :) Спросите тех поддержку, по какому пути у вас сборка php-cli.

Внимание, важное объявление.

Многие пользователи скрипта AI-BOLIT совершают глупости, делая свой сайт (сервер) еще более уязвимым. Поэтому я перечисляю, что не просто не желательно, а запрещено делать по соображениям безопасности:

1. Запрещено давать ссылку на файл отчета кому бы то ни было. Особенная глупость - ставить ссылку с форума на свой файл отчета со словами "посмотрите что тут у меня" или ссылку на скрипт.

Ваш отчет (кроме того, что просмотрят все хакеры) проиндексируется поисковиками и теперь весь рунет или даже мир узнает, какая версия сms у вас на хостинге, какие настройки php, какие файлы и в каких каталогах лежат, где открытые на запись директории и т.п. Это Information Leakage (утечка важной информации). То есть вы тем самым добровольно предоставляете всю необходимую для взлома информацию злоумышленникам.

Подумайте над этим прежде чем выкладывать отчет или ссылку на него в паблик.

2. Запрещено оставлять скрипт и файл отчета на сайте.

Если хотите запустить регулярную проверку скрипта - делайте это разумно. Кладите скрипт в каталог, вне сайта (например, на уровень выше) и запускайте по cron. Не нужно хранить его в корневом каталоге сайта.

3. Запрещено ставить простой пароль в файле ai-bolit.php

Пароль должен быть длинным, состоять из заглавных и малых букв, цифр и спецсимволов, чтобы не сбрутили. Если у вас пароль "1" или "123", считайте вы дали ссылку на файл отчета всем желающим.

---

Если у вас есть знакомые, кто пользуются скриптом AI-BOLIT, пожалуйста, доведите данную информацию до их сведения.

Спасибо за внимание

Попробуйте просто 0.5

Как будет время, я прикручу к нему ajax сканирование. Пока рекомендую использовать командную строку. При этом выполняется полное сканирование, а не частичное, как в случае запуска из браузера.