Работайте через ssh (SCP, SFTP), клиент WinSCP5.
Информация для новичков, что такое SSH и как им пользоваться. Обязательно к изучению.
http://naikom.ru/blog/archives/2105
http://www.sdelaysite.com/kniga/tools/ssh-shell
http://www.siteprojects.ru/blog/?p=1109---------- Добавлено 16.02.2013 в 22:08 ----------Зачем защищать панель админа: http://www.revisium.com/kb/protect_adminpanel.html
Как защищать панель админа:
http://www.revisium.com/kb/secure_adminpanel.html---------- Добавлено 16.02.2013 в 22:10 ----------
Авторам самописных CMS и скриптов рекомендую
познакомится с программами и скриптами:
- RIPS (http://sourceforge.net/projects/rips-scanner/files/) - free
- sqlmap (http://sqlmap.org/) - free
- Acunetix Web Vulnerability Scanner - $$$
- XSpider 7.8 - $$$, но дешевле предыдущего
использовать готовые библиотеки фильтрации данных от пользователя и из базы данных:
https://phpids.org/
http://htmlpurifier.org/
http://www.phpinsider.com/php/code/SafeSQL/
http://code.google.com/p/php-antixss/
http://code.google.com/p/xmlseclibs/downloads/list
а также обязательно прочитать СпецВыпуск Хакер №75 http://www.xakep.ru/magazine/xs/075/xs_075.pdf, и познакомится с инструментами для pentest (http://habrahabr.ru/post/141803/).
Ищет по любым. А .aknown нужен только, чтобы убрать ложные срабатывания из популярных движков. Можно вообще без .aknown использовать, но красного и оранжевого в отчете будет чуть больше.
Ссылку в списке внешних ссылок покажет, на код ругаться не будет, ибо код вполне обычный.
Новая версия AI-BOLIT
Изменения в версии 20130201
- новые сигнатуры
- файл отчета запрещен к индексированию
- в имени файла отчета добавляется случайное число для защиты от подбора имени
- добавлен .aknown файл для Wordpress 3.5.1
http://revisium.com/ai/---------- Добавлено 04.02.2013 в 14:39 ----------
Вы пользуетесь файлами .aknown.*? Для популярных cms сделаны игнор-файлы, они минимизируют ложное срабатывание.---------- Добавлено 04.02.2013 в 14:42 ----------
Я прочитал весь пост и не понял, что от меня хотят :-) В чем вопрос-то?---------- Добавлено 04.02.2013 в 14:43 ----------
Достаточно скачать консольный php с php.net для Windows.---------- Добавлено 04.02.2013 в 14:44 ----------
Цены точно нет, потому что он бесплатный :-)
Спасибо за идею. Мой ответ такой
1. скрипт рекомендуется запускать не из браузера, а из командной строки по ssh, а там запретить запускать ai-bolit.php сложновато, так что он будет работать.
2. именовать случайным имя, конечно, можно, но раз уж мы говорим о пользователях неопытных, то они вряд ли смогут понять инструкции, если в них имя скрипта будет изменено. А если пользователи опытные, ничто не мешает им переименовать скрипт при загрузке на хостинг или непосредственно на хостинге.
Ответ простой - вы запустили php интерпретатор, но не сказали, что ему делать. Нужно указать скрипт, который выполнить.
Самый простой вариант:
- копируете ai-bolit.php и сопутствующие файлы из архива в папку сайта на локальном компьютере
- в проводнике щелкаете по ai-bolit.php
- появляется диалог "Открыть с помощью..."
- указываете путь к php.exe (или php-win.exe)
- ждете окончания тестирования, как окно закрылось - идете в каталог сайта и смотрите отчет AI-BOLIT-REPORT-<дата>-<время>.html
Там же написано "Error: cannot run on php-cgi", зачем вы его включили-то? :) Спросите тех поддержку, по какому пути у вас сборка php-cli.
Внимание, важное объявление.
Многие пользователи скрипта AI-BOLIT совершают глупости, делая свой сайт (сервер) еще более уязвимым. Поэтому я перечисляю, что не просто не желательно, а запрещено делать по соображениям безопасности:
1. Запрещено давать ссылку на файл отчета кому бы то ни было. Особенная глупость - ставить ссылку с форума на свой файл отчета со словами "посмотрите что тут у меня" или ссылку на скрипт.
Ваш отчет (кроме того, что просмотрят все хакеры) проиндексируется поисковиками и теперь весь рунет или даже мир узнает, какая версия сms у вас на хостинге, какие настройки php, какие файлы и в каких каталогах лежат, где открытые на запись директории и т.п. Это Information Leakage (утечка важной информации). То есть вы тем самым добровольно предоставляете всю необходимую для взлома информацию злоумышленникам.
Подумайте над этим прежде чем выкладывать отчет или ссылку на него в паблик.
2. Запрещено оставлять скрипт и файл отчета на сайте.
Если хотите запустить регулярную проверку скрипта - делайте это разумно. Кладите скрипт в каталог, вне сайта (например, на уровень выше) и запускайте по cron. Не нужно хранить его в корневом каталоге сайта.
3. Запрещено ставить простой пароль в файле ai-bolit.php
Пароль должен быть длинным, состоять из заглавных и малых букв, цифр и спецсимволов, чтобы не сбрутили. Если у вас пароль "1" или "123", считайте вы дали ссылку на файл отчета всем желающим.
---
Если у вас есть знакомые, кто пользуются скриптом AI-BOLIT, пожалуйста, доведите данную информацию до их сведения.
Спасибо за внимание
Попробуйте просто 0.5
Как будет время, я прикручу к нему ajax сканирование. Пока рекомендую использовать командную строку. При этом выполняется полное сканирование, а не частичное, как в случае запуска из браузера.
