ГлавнаяOpencartOpencart безопасность

Истрункция как поднять бабла. Opencart безопасность


Безопасность opencart — Всё о web

Сегодня я хочу поговорить о безопасности интернет- магазина. В opencart встроен механизм блокировки подбора пароля. К сожалению, он основан на использовании cookie. Этот подход помогает отсеять только живых людей, пытающихся вручную подобрать пароль. В дикой природе, наиболее опасны автоматизированные системы подбора пароля.

Боты автоматически обходят все сайты в интернете. Чтобы получить доступ, им нужно угадать всего 3 параметра: url авторизации, логин администратора и пароль. Самые распространённые url авторизации заранее известны:

www.site.ru/admin — для большинства сайтов, включая opencartwww.site.ru/wp-admin.php — для wordpresswww.site.ru/administrator — для joomla и многих других

Для подбора логина используется словарь. Ставлю на кон бутылку текилы, что на Вашем сайте логин администратора- это admin, либо administrator, ну может быть то же самое, но в русской раскладке. Также думают и боты.

Итого, на 90% сайтов во всём интернете мы заранее знаем 2 из 3 параметра авторизации. Остаётся последний- пароль. Он также берётся из словаря. Для начала подбираются самые распространённые пароли: admin, administrator, 12345, 111111 итд. Дальше идут в ход более длинные словари, и простой перебор всех символов.

Чтобы злоумышленник не мог бесконечно подбирать пароль, опенкарт ведёт счётчик авторизаций, значение которого хранятся у клиента в cookie. Проблема этого метода в том, что сбросить куки- это простейшая задача и каждый бот её выполняет автоматически. В итоге этот механизм может защитить только от реального, живого человека.

Обычно если сайт не представляет большой ценности, в среднем, он подвергается 10-15 атакам в день. К примеру, ежедневно, я фиксирую как минимум 20 попыток подобрать пароль к этому блогу. Если же сайт посещаемый, то попытки взлома растут в геометрической прогрессии. Боты начинают подбирать пароль не по короткому словарю, а по длинному. В клинических случаях идёт брутфорс простым перебором символов сразу с сотен ботов, часто это ещё и маскируется ДДОС атакой.

Естественно применяются и другие методы взлома: sql-иньекции, xss и другие. Но сегодня нас интересует только 1 вид атак.

Давайте сведём риски к минимуму. В первую очередь: в админке, открываем: меню -> настройки -> пользователи -> пользователь.

Меняем имя администратора с admin на что-нибудь неожиданное, например на: ilovecats. Задаём ему сильный пароль.

Следующий шаг: давайте переименуем стандартный путь админки из /admin в, например, /odminko.

Открываем каталог с сайтом, и переименовываем папку admin в odminko. Заходим в папку и открываем конфиг. Во всех константах где упоминается папка admin, меняем ещё на наше новое имя- odminko.

Всё! Всего 2 простейших действия и 2 минуты затраченного времени, и мы в разы усилили безопасность сайта!

Поделиться "Безопасность opencart"

Рекомендуем

allwebstuff.info

Безопасность Opencart | Как мы защищались от вируса

В продолжение нашей статьи про атаку на Самку чужого, наконец то появилось время подробно описать что мы сделали, чтобы история не повторилась.

1 — Поменяли абсолютно все пароли. Ftp, базы данных, администраторов магазина.

2 — Добавили в /system/logs файл .htaccess следующего содержания:

<FilesMatch ‘.(php) $’>Order Allow,DenyDeny from all</FilesMatch>

3 — Проверили все права на папки файлы и дали минимальные

4 — Прошлись вручную поиском по всем папкам на которых было 777 нашли все подселенные эксплойты, и убрали их.

5 — Прошлись по всем папкам магазина и нашли входжения base64 и  eval. Это позволило обнаружить еще вагон и тележку всякого хлама.

6 — Насобирали статистику айпи с которых были атаки и заблокировали их в корневом .htaccess

7 — Удалили контроллер admin/controller/tool/backup.php. Это не критичный функционал — без него жить можно.

8 — Запаролили админку через .htaccess как это сделать читаем здесь.

9 — Отключили показ ошибок на уровне сервера. И в настройках магазина.

Этого всего достаточно для того чтобы наш зловред не появился опять.

Но для железобетонной уверенности в том, что к вам не прицепится какая то гадость — этого мало.

Надо развернуть боевой рабочий сервер с ограниченным доступом, а всю разработку вести на каком нибудь деве.Нужен Suhosin, Mod-Security, какая нибудь система проверки целостности структуры файлов, в идеале GIT, закрытые доступы к админке и phpmyadmin только по ip, нормальный хостинг, никаких шаредов, и отсутствие в одном аккаунте с боевым магазином соседей типа сайтов на WP. Правильные настройки серверного окружения.

Также сервер должен быть с последними патчами безопасности.

Крайне не помешает SSL-сертификат.

И вот такая система действительно даст какую то надежду, что вас не хакнут, если захотят.

Хуйнаныр(12)Очко(0)

ocshop.info

Безопасность Opencart | Истрункция как поднять бабла

Тем кто еще не знает, напоминаю, у  нас есть чудесный форум. Где нет всяких алчных упырей, которые на любой вопрос отвечатют гуглите или дайте денег.А еще, у нас есть сознательные модераторы, которые вместо того чтобы махать банхаммаром и греть свое ЧСВ в лучах славы,  собирают в кучу и систематизируют полезную информацию, как например в сводном посте про переезд на HTTPS.

В свете нынешних событий я предложил собрать в кучу набор правил для настройки пассивной безопасности магазина.

Ниже тезисы из нашего диалога. Я мог еще многое упустить, если  у вас есть умные мысли — дополняйте. Подчеркиваю. Рассматриваем методы, которы не требуют установки сторонних дополнений а осуществляются либо настройкой самого магазина либо дополнительными серверными настройками.

[0:23:03] Chief Yoda: ну нужны кароче[0:23:07] Chief Yoda: такие тезисы[0:23:08] Chief Yoda: как[0:23:16] Chief Yoda: не используйте стандартный префикс[0:23:21] Chief Yoda: в продакшне отключайте ошибки[0:23:28] Chief Yoda: не используйте пароли админ админ[0:23:36] Chief Yoda: раз в три месяца меняйте все пароли[0:23:47] Chief Yoda: админ mysql ftp[0:23:51] Chief Yoda: парольте админку[0:23:55] Chief Yoda: а лучше по ip[0:24:01] Chief Yoda: делайте бекапы[0:24:07] Chief Yoda: в хард моде[0:24:14] Chief Yoda: с сервера надо удалить phpmyadmin[0:24:26] Chief Yoda: отрубить в контроллере product[0:24:32] Chief Yoda: метод upload[0:24:47] Chief Yoda: удалить к монахам станадртный бекапер базы данных[0:24:51] Chief Yoda: просто выжечь его контроллер[0:25:03] Chief Yoda: добавить в cache download[0:25:08] Chief Yoda: и еще там куда рука дотянется[0:25:12] Chief Yoda: htaccess[0:25:18] Chief Yoda: которые запрещают выполнение php[0:25:24] Chief Yoda: удалить из корня весь хлам[0:25:30] Chief Yoda: а особенно info.php[0:25:36] Chief Yoda: бекапы баз[0:25:38] Chief Yoda: и так далее[0:25:46] Chief Yoda: включить на ukraine[0:25:50] Chief Yoda: допустим там легко[0:25:55] Chief Yoda: mod_сесурити[0:27:13] Chief Yoda: по хорошему надо проверить работу инструкций из статьи в блоге для htaccess убрать там ненуженое[0:27:18] Chief Yoda: для версий 1.5[0:27:35] Chief Yoda: пересмотреть папку download и cache на наличие странных файлов[0:27:43] Chief Yoda: обязом поменять secret[0:27:48] Chief Yoda: для 1.5 ваще ппц как критично[0:27:57] mr X: А можно я влезу? Это касательно чего?Только если бить,то не больно)[0:28:06] Chief Yoda: это кароче как гандон[0:28:12] Chief Yoda: тока по самые уши[0:28:23] Chief Yoda: опенкарт сам по себе[0:28:26] Chief Yoda: непробиваемый[0:28:33] Chief Yoda: 99% взломов[0:28:39] Chief Yoda: происходят или изза соседей[0:28:42] Chief Yoda: или по вине хозяев[0:28:50] Chief Yoda: соседи — это древний дырявый вордпресс[0:28:52] Chief Yoda: в одном акке[0:28:58] Chief Yoda: а взломы..[0:29:05] Chief Yoda: админка получается брутфорсом[0:29:08] Chief Yoda: переобором тупо[0:29:11] mr X: Т.е если голый,то норм..А если навешать говномодулей?[0:29:12] Chief Yoda: а у половины та[0:29:14] Chief Yoda: там[0:29:17] Chief Yoda: admin 1234[0:29:31] Chief Yoda: не надо никаких модулей[0:29:38] Chief Yoda: вон сайт крякнули[0:29:40] Chief Yoda: потому что у нее[0:29:41] Chief Yoda: лог пасс[0:29:47] Chief Yoda: сайт сайт были[0:29:53] Chief Yoda: в админ[0:30:06] Chief Yoda: ща роботов китайских[0:30:10] Chief Yoda: которые бесконечно шастают[0:30:12] Chief Yoda: просто пиздец[0:30:44] Chief Yoda: опять же в продолжение[0:30:49] Chief Yoda: не должно быть никаких админеров[0:30:51] Chief Yoda: в корне[0:30:53] Chief Yoda: нихрена[0:30:54] Chief Yoda: лишнего[0:31:59] Chief Yoda: и ошибки должны быть выключены на всех уровнях[0:32:03] Chief Yoda: на серверном[0:32:05] Chief Yoda: в htaccess[0:32:10] Chief Yoda: и в админке магазина[0:32:14] Chief Yoda: проводите какие то работы — включили[0:32:17] Chief Yoda: не проводите выключили

Хуйнаныр(28)Очко(0)

ocshop.info

Защита OpenCart | Истрункция как поднять бабла

 

 

 

 

 

 

Рано или поздно в голову начинает приходить мысль что пришла пора защитить свой магазин и лучше если эта мысль пришла раньше чем у  Вас появились "дображелатели".

Стандартно Административная панель в OpenCart находится по адресу site.com/admin и это не секрет для злоумышленников.

Первым делом что мы сделаем это изменим адрес Административной части нашего магазина для этого нам потребуется выполнить несколько действий:

1. Переименовываем site.com/admin к примеру в site.com/superadmin

После данной манипуляции с папкой наша административная панель перестанет работать и чтобы возобновить ее работу нам нужно подправить site.com/superadmin/config.php а именно изменить ссылки с site.com/admin на site.com/superadmin а так же все пути изменить с admin на superadmin. Это и будет вторым действием.

2. Правим site.com/superadmin/config.php

Если Вы используете vQmod то Вам необходимо изменить во всех файлах site.com/vqmod/xml/*.xml так же как мы это делали в config.php меняем все пути к файлам с admin на superadmin собственно это и есть третье завершающее действие.

3. Правим файлы vQumod site.com/vqmod/xml/*.xml

После проделанных манипуляций Вашим "доброжелателям" будет гораздо сложнее найти административную панель магазина и приступить к взлому. Но мы не будем на этом останавливаться и добавим дополнительную защиту посредствам htpasswd

Защита административной части магазина по средствам .htpasswd

 

 

 

 

Первым делом нам необходимо создать .htpasswd обратите внимание впереди стоит точка. После того как мы создали пустой фаил нам необходимо зашифровать наш будущий пароль для этого можно воспользоваться онлайн генератором и полученый шифрованный пароль помещаем в наш .htpasswd

admin:$1$63D8wfhV$rbi/VSs6/GruirN/BwwHy.

admin:$1$63D8wfhV$rbi/VSs6/GruirN/BwwHy.

Вместо admin можете использовать своё имя пользователя.

Теперь необходимо создать .htaccess обратите внимания точка стоит не просто так, и в нем мы укажем путь к нашему файлу .htpasswd

AuthType Basic AuthName &quot;Private zone. Only for administrator!&quot; AuthUserFile /home/user/site.com/superadmin/.htpasswd require valid-user

AuthType Basic  

AuthName &quot;Private zone. Only for administrator!&quot;

AuthUserFile  /home/user/site.com/superadmin/.htpasswd  

require valid-user

Теперь записываем оба файла в нашу новую папку администратора site.com/superadmin и при переходе в Административную часть вашего магазина вы увидите приглашение ввести пользователя и пароль для доступа.

После проделанных манипуляций можно немного расслабиться и подшутить над нашими "доброжелателями" распаковав этот архив в корень своего магазина site.com. В итоге при переходе по адресу site.com/admin Вы увидите следующее http://opencart.in.ua/admin/ попробуйте авторизоваться с любым паролем :-)

Вот и все теперь можно спать спокойно.

Хуйнаныр(5)Очко(0)

ocshop.info

Модуль OpenSecurity, повышаем безопасность Opencart — Всё о web

Привет!

Сегодня я хочу представить Вам свою собственную разработку- модуль повышения безопасности для Opencart 2.x. Модуль бесплатный и распространяется под лицензией GPLv3.

Дополнение написано на родном апи и не использует vQmod, не требуется устанавливать ничего дополнительно.

Возможности:

— Автоматическая капча— Автоматический чёрный список— Автоматическое исключение ip адреса из чёрного списка— Уведомления на e-mail— Журнал событий

Каждая функция имеет настройки в меню администратора.

Принцип работы: Если человек несколько раз подряд вводит некорректные учётные данные, то ему предлагается ввести капчу, чтобы подтвердить что он человек, а не робот. Если ввод неверных данных продолжается, то ip адрес блокируется на 1 час, а администратору магазина присылается уведомление.

Модуль защищает не только админ-панель Opencart, но и страницы авторизации пользователей.

Установка:

1. Сделайте резервную копию файлов и базы данных.2. Распакуйте папку upload в корневую директорию Вашего сайта.3. Зайдите в меню управления модулями и установите модуль OpenSecurity.

Модуль заменяет все стандартные шаблоны и контроллеры авторизации, и, в случае, если Вы используете нестандартные страницы авторизации, их нужно отключить. Например, модуль «Admin Enhanced module» через vQmod изменяет страницу авторизации в админ панели. Одновременная работа Admin Enhanced и OpenSecurity невозможна.

Скачать с магазина дополнений Opencart.

Update

Что-то произошло на сайте opencart.org. И я потерял доступ к репозиторию. Такие дела.

Поделиться "Модуль OpenSecurity, повышаем безопасность Opencart"

Рекомендуем

allwebstuff.info

Opencart Антивирусная Защита (по Siteguarding.com) | Модули, Шаблоны, Движки

Описанию

Opencart антивирусная защита сайта является модуль безопасности для предотвращения/выявления и удаления вредоносных вирусов и подозрительные коды. Он обнаруживает: бэкдоры, руткитов, троянских коней, червей, fraudtools, adware, spyware, скрытые ссылки, перенаправление и т. д.Opencart Антивирус защита проверяет не только тема файлы, он сканирует и анализирует все файлы вашего веб-сайта Opencart (тема файлы, все файлы модулей, файлы в папке загрузки и т.д.).

Этот модуль будет особенно полезна для всех, кто Скачиваний Opencart темы и модулей из торрентов и веб-сайты с бесплатные вещи вместо покупки оригинальных копий от разработчиков. Вы будете шокированы, сколько бесплатные подарки они имеют внутри

Основные особенности:

Защитите ваш сайт, прежде чем проблемы. Контролировать ваш веб-сайт и свести к минимуму инцидентов время с нашей автоматизированной проверки.

Модуль узла защиты OpenCart Антивирус является отличным решением для всех владельцев веб-сайта. Он был разработан нашими инженерами, которые имеет многолетний опыт в безопасности веб-сайта. Наш модуль грамотно сканировать ваш сайт и выявить все возможные инфекции и бэкдоры на вашем сайте. Каждый день мы обновление базы данных и добавлять новые логики и функции (функция эвристическая логика) чтобы сохранить ваш сайт в безопасности.

Вот список вредоносных типов, что наш сканер может обнаружить:

Как это работает:

  1. Регистрация. Для взаимодействия с SiteGuarding API, ваш сайт должен получить ключ доступа сеанса. Модуль информации о вашем сайте (домен и электронной почты) отправляет серверу SiteGuarding. После успешной регистрации ваш сайт будет получить уникальный ключ доступа. Пожалуйста, обратите внимание: это действие требует вашего разрешения и подтверждения (ничего не будет отправлен на сервер SiteGuarding без вашего разрешения).
  2. Проверка процесса. Во время процесса сканирования модуль будет читать все файлы вашего веб-сайта и будет анализировать их. Сведения о файлах с подозрительных коды будут направляться SiteGuarding сервер для дополнительного анализа и генерации отчетов. Созданный отчет будет отправлен обратно к вам (копия отчета, вы получите по электронной почте) пожалуйста, обратите внимание: модуль отправляет и получает данные для SiteGuarding.com API.

Часто задаваемые вопросы

Инструкции по установке

1. Перейти к админ-панели Opencart > система > Параметры > FTP. Введите ваши данные в форму и нажмите кнопку «Сохранить». (Отключить его после установки)

2. перейти к расширения > расширение установщик. Выберите Архив для добавления вашего веб-сайта.

3. перейти к расширения > расширения. Выберите «Модулей». Установите модуль Антивирус Opencart.

4. перейти к расширения > изменения. Нажмите кнопку Обновить.

5. Перезагрузите эту страницу. Перейти на Антивирус на приборной панели Opencart. Зарегистрируйте свой веб-сайт.

Вопрос: будет Opencart Antivirus защиты сайта модуль замедлить мой сайт?

A: абсолютно №

как часто вы обновляете ваш антивирусных баз?

Ответ: когда мы находим нового вредоносного кода, мы анализируем его и добавить подпись malware в нашей базе данных. Один раз в день, иногда 2 - 3 раза в день.

Мой сайт взломали, вы можете помочь очистить его и защищать?

: Да, мы предлагаем этот вид услуг. Но это не бесплатно. Для получения дополнительной информации, пожалуйста, свяжитесь с нами (https://www.siteguarding.com/en/contacts)

вопрос: Opencart Антивирус защита не найти любые зараженные файлы, но эвристический анализ говорит, что некоторые файлы могут быть заражены. Вы можете просмотреть эти файлы?

: Да, мы можем это сделать. Если у вас есть PRO версия Opencart Antivirus защиты сайта, он будет бесплатно.

Вопрос: что-то неправильно с моим сайтом, но все сканеры и мониторы сказать, что это чистой. Вы можете вручную анализировать файлы моего веб-сайта и исправить эту проблему, если она существует?

: Да, мы предлагаем этот вид услуг. Но это не бесплатно. Для получения дополнительной информации, пожалуйста, свяжитесь с нами (https://www.siteguarding.com/en/contacts)

Q: Opencart Антивирус защита найденных вредоносных программ на моем сайте. Что делать?

A: если у вас есть PRO версия Opencart антивирусная защита сайта, вы можете связаться с нами и мы будет очистить ваш сайт бесплатно. Если у вас есть базовая версия, вы можете попробовать очистить ваш веб-сайт самостоятельно. Например, вы можете просто удалить файл с вредоносного кода. НО вы должны быть уверены, что он не является частью вашего веб-сайта. Иногда хакеры изменить важные файлы веб-сайта и скрыть их вредоносных кодов внутри эти файлы. Если вы просто удалить эти файлы, ваш сайт перестанет работать. Мы советы для получения PRO версии и наши эксперты по безопасности будет очистить ваш веб-сайт.

Скриншоты

 

lowenet.biz

Безопасность Opencart | Как мы защищались от вируса и различных атак на сайт / Защита данных / CTRL-F.RU

В продолжение нашей статьи про атаку на Самку чужого, наконец то появилось время подробно описать что мы сделали, чтобы история не повторилась.

1 — Поменяли абсолютно все пароли. Ftp, базы данных, администраторов магазина.

2 — Добавили в /system/logs файл .htaccess следующего содержания:

<FilesMatch ‘.(php) $’> Order Allow,Deny Deny from all </FilesMatch>

3 — Проверили все права на папки файлы и дали минимальные

4 — Прошлись вручную поиском по всем папкам на которых было 777 нашли все подселенные эксплойты, и убрали их.

5 — Прошлись по всем папкам магазина и нашли входжения base64 и eval. Это позволило обнаружить еще вагон и тележку всякого хлама.

6 — Насобирали статистику айпи с которых были атаки и заблокировали их в корневом .htaccess

7 — Удалили контроллер admin/controller/tool/backup.php. Это не критичный функционал — без него жить можно.

8 — Запаролили админку через .htaccess как это сделать читаем здесь.

9 — Отключили показ ошибок на уровне сервера. И в настройках магазина.

Этого всего достаточно для того чтобы наш зловред не появился опять.

Но для железобетонной уверенности в том, что к вам не прицепится какая то гадость — этого мало.

Надо развернуть боевой рабочий сервер с ограниченным доступом, а всю разработку вести на каком нибудь деве.Нужен Suhosin, Mod-Security, какая нибудь система проверки целостности структуры файлов, в идеале GIT, закрытые доступы к админке и phpmyadmin только по ip, нормальный хостинг, никаких шаредов, и отсутствие в одном аккаунте с боевым магазином соседей типа сайтов на WP. Правильные настройки серверного окружения.

Также сервер должен быть с последними патчами безопасности.

Крайне не помешает SSL-сертификат.

И вот такая система действительно даст какую то надежду, что вас не хакнут, если захотят.

ctrl-f.ru

Prostoy-Site | Все права защищены © 2018 | Карта сайта