अपने प्रश्न के विशिष्ट उत्तर के लिए, /magento//a/72700/361 देखें
पृष्ठभूमि
सबसे पहले, कोई विशिष्ट शोषण नहीं है - ऐसे लेखों की एक श्रृंखला है जो इस समय राउंड कर रहे हैं जिन्होंने स्रोत लेख को गलत और गलत समझा है।
मूल लेख केवल इतना कहा है (और मैं टीका कर रहा हूँ),
अगर एक हैकर थे अपने Magento फ़ाइलों तक पहुँच प्राप्त करने में सक्षम हैं, वे सकता है अपने ग्राहकों से जानकारी पर कब्जा
वास्तव में आपके सर्वर तक पहुंचने और फ़ाइलों को संशोधित करने के लिए आवश्यक हैकर का महत्वपूर्ण हिस्सा है।
घबराओ मत ... यह मैगनेटो के लिए कुछ खास नहीं है
सूचना कैप्चर के संदर्भ में, किसी भी अन्य वेबसाइट / प्लेटफॉर्म की तुलना में मैगनेटो के लिए कुछ भी विशिष्ट नहीं है। यदि कोई हैकर आपकी फ़ाइलों तक पहुँच जाता है, तो इसका प्रभावी खेल खत्म हो जाता है - वे जो भी जानकारी चाहते थे उसे कैप्चर कर सकेंगे।
सबसे अच्छा आप कर सकते हैं (और अंत में, न्यूनतम आपको जो करना चाहिए) एक अच्छी सुरक्षा नीति बनाए रखना है जो भुगतान प्रसंस्करण उद्योग के पीसीआई सुरक्षा मानकों का पालन करता है, आप यहां सूची पा सकते हैं, https://www.pcisecuritystandards.org /documents/Prioritized_Approach_for_PCI_DSS_v3_.pdf
अपनी दुकान को कठोर किया
आप वास्तव में अपने स्टोर के पहलुओं को बंद कर सकते हैं जो हैकर के लिए सतह हमले के क्षेत्र को बहुत कम कर देते हैं, या कम से कम उनकी प्रगति को धीमा कर देते हैं यदि वे / में प्राप्त करने का प्रबंधन करते हैं
अनुमतियाँ लॉक करें
आप दस्तावेज़ रूट पर अनुमतियों को केवल आवश्यक निर्देशिकाओं ( /varऔर /media) को लिखने की अनुमति दे सकते हैं
यह वही है जो हम MageStack पर डिफ़ॉल्ट रूप से करते हैं ,
echo -n "Fixing ownership"
chown -R $SSH_USER:$WEB_GROUP $INSTALL_PATH && echo " ... OK" || echo " ... ERROR"
INSTALL_PATH="/path/to/public_html"
chmod 750 $INSTALL_PATH
find $INSTALL_PATH -type d ! -perm 750 -exec chmod 750 {} \; && echo " ... OK" || echo " ... ERROR"
echo -n "Fixing file permissions"
find $INSTALL_PATH -type f ! -perm 740 -exec chmod 740 {} \; && echo " ... OK" || echo " ... ERROR"
echo -n "Fixing cron permissions"
find $INSTALL_PATH/*/cron.sh -type f ! -perm 750 -exec chmod 750 {} \; && echo " ... OK" || echo " ... ERROR"
echo -n "Fixing media/var file permissions"
chmod -R 760 $INSTALL_PATH/*/media $INSTALL_PATH/*/var && echo " ... OK" || echo " ... ERROR"
echo -n "Fixing media/var directory permissions"
find $INSTALL_PATH/*/media $INSTALL_PATH/*/var -type d ! -perm 770 -exec chmod 770 {} \; && echo " ... OK" || echo " ... ERROR"
INSTALL_PATH,SSH_USER,WEB_GROUPके अनुरूप समायोजित करें। यह महत्वपूर्ण है कि आपका SSH_USERवही उपयोगकर्ता नहीं है जो PHP वेब सर्वर प्रक्रिया के लिए उपयोग करता है, अन्यथा, आप अनिवार्य रूप से वेब सर्वर तक पूर्ण लेखन पहुंच प्रदान करेंगे (किसी भी लाभ को कम करके)।
अपना व्यवस्थापक / डाउनलोडर एक्सेस लॉक करें
MageStack पर, आप इसे इसमें सेट करेंगे ___general/x.conf
set $magestack_protect_admin true;
set $magestack_protect_downloader true;
Nginx पर, आप इसका उपयोग कर सकते हैं,
location ~* ^/(index.php/)?admin{
satisfy any;
allow x.x.x.x;
auth_basic "Login";
auth_basic_user_file /microcloud/data/domains/x/domains/x/___general/.htpasswd;
deny all;
location ~* \.(php) {
include fastcgi_params;
}
try_files $uri $uri/ /admin/index.php ;
}
यहाँ.htpasswd फ़ाइल तैयार करने के बारे में थोड़ा और प्रलेखन है
cron.shप्रक्रिया को लपेटें
मैं क्रोन / व्यवस्थापक उपयोग के लिए समर्पित मशीनों का उपयोग करके अन्य होस्टिंग प्रदाताओं के पास आया हूं - जिसका अर्थ है कि cron.shफ़ाइल को संशोधित करना क्रोन / व्यवस्थापक पर दूरस्थ कोड निष्पादन के लिए कभी भी इसकी आवश्यकता के बिना उपयोग करने की अनुमति देगा। एक नकलीचोट में सही उपयोगकर्ता के साथ प्रक्रिया को लपेटना प्रक्रिया को लॉक करने के लिए उस बिट को आगे बढ़ा सकता है।
मेरे लिए पोस्ट करने के लिए बहुत अधिक कोड है, लेकिन यहां एक स्क्रिप्ट है । MageStack के लिए इसका विशिष्ट, लेकिन कम सुरुचिपूर्ण सर्वर कॉन्फ़िगरेशन पर उपयोग के लिए समायोजित किया जा सकता है :)
ऑडिट, ऑडिट, ऑडिट
लिनक्स लॉगिंग और उस में टैप करने के मामले में शानदार है, जो आपके सर्वर को क्या कर रहा है, इसकी पूरी जानकारी देगा।
MageStack पर एक शानदार विशेषता ऑडिटिंग टूल है जो सभी प्रकार की पहुंच को लॉग करता है और यहां तक कि दैनिक आधार पर फ़ाइल परिवर्तन भी करता है। आप लॉग यहां पा सकते हैं,
/microcloud/logs_ro
|-dh[0-9]+
|---access-YYYY-MM-DD.log.gz
|---backup-YYYY-MM-DD.log.gz
|---magescan-YYYY-MM-DD.log.gz
|---php-differential-YYYY-MM-DD.log.gz
|-acc[0-9]+
|---access-YYYY-MM-DD.log.gz
यदि आप MageStack का उपयोग नहीं कर रहे हैं, तो आप इसे अपने स्वयं के होस्टिंग प्रदाता के साथ आसानी से कर सकते हैं, rsyncइसे करने के लिए सबसे सरल उपकरण है।
उदाहरण के लिए। यदि आपके बैकअप स्थानीय रूप से उपलब्ध हैं, तो आप निम्न कार्य कर सकते हैं। यह दो निर्देशिकाओं की तुलना करेगा और एक अलग पैच सूची तैयार करेगा।
rsync -na /path/to/public_html/ /path/to/backup/public_html/ > change.log
grep -E '\.php$' change.log | while read FILE; do
diff -wp /path/to/public_html/$FILE /path/to/backup/public_html/$FILE >> php-differential.log
done
PHP परिवर्तन इतने निराले हैं कि आप इसे दैनिक (या कई बार दैनिक) चलाने के लिए शेड्यूल कर सकते हैं और अगर कोई PHP फ़ाइल परिवर्तन है तो आपको ईमेल द्वारा सूचित कर सकता है।
संक्षेप में
- परिवर्तनों को ट्रैक करने के लिए आसान संस्करण संस्करण नियंत्रण का उपयोग करें
- आपकी साइट को सुरक्षित बनाने के लिए बस एक SSL प्रमाणपत्र होना पर्याप्त नहीं है
- सुरक्षा पर विचार करने के लिए हैक होने की प्रतीक्षा न करें
- सिर्फ इसलिए कि आप अपने भुगतान गेटवे प्रदाता (बनाम जानकारी कैप्चरिंग) में अनुप्रेषित करते हैं - इसका मतलब यह नहीं है कि आप पीसीआई अनुपालन से बच सकते हैं, आपको अभी भी अनुपालन करने की आवश्यकता है
- सक्रिय रहें, सुरक्षित रहें और पूरी तरह से रहें - इसे स्थापित करने से पहले मॉड्यूल कोड की जाँच करें, दैनिक PHP फ़ाइलों की जाँच करें, लॉग की समीक्षा करें, एफ़टीपी / एसएसएच एक्सेस की जाँच करें, पासवर्ड नियमित रूप से बदलें।
जब वे अपनी सभी निजी सूचनाओं को पार कर लेते हैं, तो आपके ग्राहक आप पर बहुत अधिक भरोसा करते हैं - और यदि आप उस विश्वास को धोखा देते हैं, जो सुरक्षित व्यवसाय का संचालन नहीं करते हैं, तो आप अपने कस्टम और भविष्य के सभी कस्टम खो देंगे।
PCI फोरेंसिक जांच अविश्वसनीय रूप से महंगी होती है, समय लगता है और अंततः कभी भी कार्ड से भुगतान लेने की आपकी क्षमता को जोखिम में डाल देता है। कभी भी अपने आप को उस स्थिति में न आने दें!
फटा हुआ हो
मैगेंटो से हाल ही में जारी किए गए पैच की एक श्रृंखला थी, जिसमें निश्चित छेद शामिल थे, जिनमें से कुछ रिमोट-कोड-निष्पादन के लिए अनुमत थे। आप उन्हें यहां ला सकते हैं, https://www.magentocommerce.com/products/downloads/magento/
लेकिन ये नए लेख एक नए कारनामे का जिक्र नहीं कर रहे हैं, वे केवल यह कह रहे हैं कि हैकर्स ऐतिहासिक शोषण (या किसी अन्य हमले के वेक्टर) का लाभ कैसे उठा रहे हैं ताकि कार्डधारक जानकारी हासिल कर सकें।
सूत्रों का कहना है