Site icon Knowledge Base| Kiến thức Dịch vụ P.A Việt Nam

Bảo mật website mã nguồn mở trên hosting Linux

Vừa qua, trên máy chủ hosting Chúng tôi nhận được khá nhiều yêu cầu về trường hợp website bị hack, bị local acktack, chèn mã độc hoặc bị fishing, sau khi kiểm tra một lượt, Chúng tôi phát hiện trên các web hosting có rất nhiều lỗ hỏng hầu hết đều được xây dựng từ các mã nguồn mở như Joomla, WordPress…

Chúng tôi đã kiểm tra, một vài thông tin có thể trợ giúp cho các bạn về trường hợp trên như sau:

1. Thứ nhất

Thư mục gốc của website (và các thư mục con bên trong) đang được phân quyền với chmod=750 và 755, các file php là chmod=644, với quyền trên các items này là rất kém bảo mật, các website khác hoàn toàn có thể thấy được và đọc được nội dung (code) của các file php.

2. Thứ hai

File config.php / configuration.php / wp-config.php có chmod=644 ngay cả các web “hàng xóm” khác cũng có thể đọc và biết được thông tin kết nối đến database. Nên việc hacker tấn công từ đây quá dễ dàng và một khi họ đã vào được database thì việc đăng nhập vào quản trị (admin của website) là điều không khó.

3. Thứ ba

Sau khi đã vào được quản trị. Các hacker thường không để lại dấu tích gì trên log của hệ thống nên không thể xác định được, ngoài ra hacker sau khi xâm nhập vào admin thì ngay lập tức upload các công cụ, shell lên để vào một thư mục nào đó để dễ điều khiển cho lần sau. Chính vì lẽ đó mà một khi web đã bị hack thì khả năng tái diễn hack là rất cao.

4. Thứ tư

+ Các file trong template / theme dễ bị điều chỉnh.

+ Tất cả các cấu hình đều để mặc định (VD: database vẫn để tiếp đầu ngữ là: jos_, file configuration.php vẫn để tại thư mục gốc và không mã hoá…).

+ Mật khẩu Backend (tức Administrator) quá đơn giản.

+ Các bugs của mã nguồn mở chưa được vá.

Các biện pháp nhằm tăng cường bảo mật :

4.6 / 5 ( 32 bình chọn )
Exit mobile version