Блог spectre

Циии

9. SQL-инъекции

В интернете полно скриптов как базово обезопасить свой сайт хотя бы от самых популярных инъекций!

Найдите в интернете правила для apache и/или nginx и примените их даже если сами в этом нифига не понимаете!

Вот тут всё же стоит чуть по другому подойти к вопросу:

Никогда не всивляйте скопированный код или правила из интернеи, если не понимаете их хотя бы на базовом уровне.

Копировать можно, если есть уверенность в качестве ресурса, для чего уже нужны хотя бы базовое понимание вопроса.

Это касается и конфигов, и robots, и htaccess, да и любых php файлов.

 

15 часов назад, mpn2005 сказал:

Вот тут всё же стоит чуть по другому подойти к вопросу:

Никогда не всивляйте скопированный код или правила из интернеи, если не понимаете их хотя бы на базовом уровне.

Копировать можно, если есть уверенность в качестве ресурса, для чего уже нужны хотя бы базовое понимание вопроса.

Это касается и конфигов, и robots, и htaccess, да и любых php файлов.

 

 

Согласен, подразумевается что человек если не понимает правил то и не сможет их применить и обратится к специалисту) 

Я с вашего позволения добавлю это новым правилом

 

Все четко, даже добавить нечего.

Разве что, проверьте возможность запреи на скаливание файлов движка (шаблонов) по прямой ссылке, как это бывает почти у половины гдемок шаблонов.

 

<FilesMatch "(?i)((\.tpl|.twig|\.ini|\.log|(?<!robots)\.txt))">
 Require all denied
## For apache 2.2 and older, replace "Require all denied" with these two lines :
# Order deny,allow
# Deny from all
</FilesMatch>

# взято из opencart 3

# nginx
location ~\.(tpl|twig|ini|log)$ {
  deny all;
  error_page 403 =404 / ;
}

 

9 минут назад, SooR сказал:

это бывает почти у половины гдемок шаблонов.

 

в оригинальном htaccess это есть, это на совести "авторов"

 

Не давайте свой логин в админку исполнителям

Под каждого исполнителя создавайте свою учетную запись.
После выполнеия рилит - переводите хотя бы в ситус - отключен

Создайте группу Фрилансеры
пусть и со всеми правами, или с ограниченными, в зависимости от того какая задача стоит у исполнителя.

 

1 час назад, spectre сказал:

Я с вашего позволения добавлю это новым правилом

Да. Без проблем.

 

И ещё надо упомянуть, что именно давать для рилит.

Очень часто вместо доступа на фтп дают доступ к панели хостинга. Да ещё и с кучей сайтов.

Для потому чтольшинства рилит доступ в панель хостинга не нужна. 

8 минут назад, mpn2005 сказал:

Да. Без проблем.

 

И ещё надо упомянуть, что именно давать для рилит.

Очень часто вместо доступа на фтп дают доступ к панели хостинга. Да ещё и с кучей сайтов.

Для потому чтольшинства рилит доступ в панель хостинга не нужна. 

это сразу же дописал как вспомнил))) вообещё игдея создать памятку для всех, тк ее как оказалось за столько лет нет 

2 минуты назад, spectre сказал:

это сразу же дописал как вспомнил))) вообещё игдея создать памятку для всех, тк ее как оказалось за столько лет нет 

Да. Врогде всё просто. Врогде все и знают.

Но каждому клиенту сложно всё это регулярно объяснить.

Особенно, когда гдел на 5 минут с простыми правками, а тут доступы admin/admin и в панель хостинга.

Когда есть время поясняю клиентом, но не всегда это реально.

Полезная ситья. Взялся сам сеье поднимать интернет магазин. Сам программист на c# виндоус iis. В php Linux и сисадминстве тут нубяра. Открываю новый чудный мир) что можете ещё добавить по бекапам как их правильно гделать и как правильно хранить? И чем их лучше гделать?

В 13.08.2020 в 21:04, mpn2005 сказал:

Да. Врогде всё просто. Врогде все и знают.

Но каждому клиенту сложно всё это регулярно объяснить.

Особенно, когда гдел на 5 минут с простыми правками, а тут доступы admin/admin и в панель хостинга.

Когда есть время поясняю клиентом, но не всегда это реально.

сколько бугдет стоять сгделать и проверить эти все пункты ?