TF-Studio: скрипт на сервере - отправляет тоже хеш названия, если его нету в базе - значит новый файл.
Чот я тут не понял - хеш чего? Всего состояния? Или нового файла?
Если первое - имеем слив инфы. Если второе - так тут вообще работа по определению "новизны" производится непосредственно на сервере клиента. Про нагрузку опустим, но для этого нада ж инфа о пред. состоянии. Тянуть её с внешнего сервиса? Хранить у себя? Если последнее, то явно что не в базе, а в файлах. Заметь маленькую деталь - в файлах, которые 90% оставят открытыми для паблика ;)
TF-Studio: я думал, как доп функционал, основной приоритет - поиск последствий.
Дык я к тому, что ты лучше занимайся основным, не отвлекайся на потенциально опасные хотелки.
Во всяком случае можно облагородить* упоминавшийся скрипт (автор дал добро). Или же свой написать. И давать его клиентам как доп фичу.
*например сделать его с "админкой" и разными настройками оповещения и сканирования.
ЗЫ. Если пропустил. Я в пред. посте обещалку выполнил и ссылок добавил.
TF-Studio: двиг итак можно спокойно узнать в 99% случаев.
1. Я бы процент уменьшил до 60-70. Ибо фрейворки всякие, не считая самописов с паблик-модулями (CKEditor\MCE\етс, пхп-файл-менеджеры и много чего ещё)
2. Модули (инфы о которых нет на морде). Модули с дырами.
Вот см. самое простое, на вскидку. Имеется где-то зарытый древний тимтумб. По хешу злодей сразу увидит и его наличие и путь к нему. А ведь кроме тимтумба есть ещё масса всякого разного ;).
Ещё. Даже в паблик двигах возможно перемещение критических файлов (админки например). А при перехвате злоумышленником инфы с путями\хешами...
TF-Studio: а просто снимать снимок системы и проверять.
Что имеешь ввиду? Каким образом?
TF-Studio: В случае нового файла - уведомлять.
Как определишь новый, если нет инфы о предыдущем состоянии? (А если есть - значит она передаётся. Значит что? Значит потенциальная дыра).
И опять же - определение (палево) путей.
---------- Добавлено 17.07.2013 в 11:46 ----------
SeVlad: завтра поищу топики
Первый обещанный. Ты должен его помнить ;) (читать желательно весь, до конца)
скрипт на сервере - отправляет тоже хеш названия, если его нету в базе - значит новый файл.
Чот я тут не понял - хеш чего? Всего состояния? Или нового файла?
Если первое - имеем слив инфы. Если второе - так тут вообще работа по определению "новизны" производится непосредственно на сервере клиента. Про нагрузку опустим, но для этого нада ж инфа о пред. состоянии. Тянуть её с внешнего сервиса? Хранить у себя? Если последнее, то явно что не в базе, а в файлах. Заметь маленькую деталь - в файлах, которые 90% оставят открытыми для паблика ;)
я думал, как доп функционал, основной приоритет - поиск последствий.
Дык я к тому, что ты лучше занимайся основным, не отвлекайся на потенциально опасные хотелки.
Во всяком случае можно облагородить* упоминавшийся скрипт (автор дал добро). Или же свой написать. И давать его клиентам как доп фичу.
*например сделать его с "админкой" и разными настройками оповещения и сканирования.
ЗЫ. Если пропустил. Я в пред. посте обещалку выполнил и ссылок добавил.
Вроде поискал, в шаблоне, в движке, ничего не нашел.
А закреплённый в разделе топик почитать?
двиг итак можно спокойно узнать в 99% случаев.
1. Я бы процент уменьшил до 60-70. Ибо фрейворки всякие, не считая самописов с паблик-модулями (CKEditor\MCE\етс, пхп-файл-менеджеры и много чего ещё)
2. Модули (инфы о которых нет на морде). Модули с дырами.
Вот см. самое простое, на вскидку. Имеется где-то зарытый древний тимтумб. По хешу злодей сразу увидит и его наличие и путь к нему. А ведь кроме тимтумба есть ещё масса всякого разного ;).
Ещё. Даже в паблик двигах возможно перемещение критических файлов (админки например). А при перехвате злоумышленником инфы с путями\хешами...
а просто снимать снимок системы и проверять.
Что имеешь ввиду? Каким образом?
В случае нового файла - уведомлять.
Как определишь новый, если нет инфы о предыдущем состоянии? (А если есть - значит она передаётся. Значит что? Значит потенциальная дыра).
И опять же - определение (палево) путей.
---------- Добавлено 17.07.2013 в 11:46 ----------
завтра поищу топики
Первый обещанный. Ты должен его помнить ;) (читать желательно весь, до конца)
АПД. Второй.
И, думаю, пока достаточно.
в чем именно дыра тут?
Как минимум, если эта инфа попадает к злоумышленнику - она открывает ему глаза на используемый двиг и модули.
Пока над реализацией думаю.
Так это 100500 раз обсуждали. (завтра поищу топики)
Пускать никого не надо (ибо это дыра).
Отправка хешей и инфы о составе файлов - небольшая, но всё же потенциальная уязвимость. Я бы это не сливал никакому сервису.
Все поддерживают, просто не все дают о себе знать
Угу. Ибо нефик отвлекать при такой запаре. (и особенно учить хостера как ему что делать.. ппц васильки)
bugsmoranу всяческие респекты. Обязательно отдохни недельку-другую после того как всё окончательно устаканиться.
скинуть .htaccess
тут
и роботс
не может быть универсального и единственно правильного
все равно надо создавать нормальный robots.txt
Как иначе? А ежели кто-то копирует себе robots с первого попавшегося ГС, то и поделом ему. Естественный отбор ))
имеет ли смысл делать менюшку через функционал ВП или лучше вписать сразу в шаблон?
По идее всё лучше вписать. Ибо всё создаёт нагрузку ;)
Использование функционала системы создают дополнительный запрос к БД, нагрузку?
Да.
а что насчет мониторинга файлов движка сайта на изменени
Ты хочешь пустить кого-то на свой сервер? Нда.. понятия безопасности вообще отсутствует.
Юзай скрипт и спи спокойно.
сегодня пришел домой, набрал сайт, а он работает (интернет 3g мегафон), а на работе не работает
Значит на работе освой трейс.