Новости
  06/12/2009

Системы VDI Legrand, разумное решение для сервера
  10/04/2009

Сайт дополнился интерестными статьями о Сборке компьютеров, Веб-дизайне, Сетевых технологиях...
 



Как настроить файл .htaccess для защиты сайта от взлома


Управление и настройка web-сервера Apache осуществляются путем добавления в файл .htaccess специальных директив - инструкций, предписывающих серверу, как поступать в той или иной ситуации.

Нужно знать всем!

Файл .htaccess - это обычный текстовый файл, который можно либо создать непосредственно на сервере, используя специальный текстовый редактор, либо создать на своем ПК и загрузить на сервер по протоколу FTP. Директивы файла .htaccess действуют для каталога, в котором находится этот файл, и его подкаталогов, если в них нет своих файлов .htaccess. Директивы в файле .htaccess, находящемся в подкаталоге, замещают (переопределяют) собой аналогичные директивы в вышерасположенном файле .htaccess. То есть директивы, которые были определены в каталоге и не были переопределены в подкаталоге, продолжают действовать на все нижерасположенные подкаталоги. Обычно используется один файл .htaccess для всего сайта. Как настроить файл .htaccess для защиты сайта от взлома?
• Для злоумышленников - любителей поиска скриптов с уязвимостями и других «дыр» в защите веб-сайта добавьте в файл .htaccess следующие наиболее часто используемые хакерами директивы:

redirect /admin.php http://www.microsoft. com
redirect /DOCUMENT_ROOT http://www. microsoft.com
redirect /_mem_bin http://www.microsoft. com
redirect /msadc http://www.microsoft.com
redirect /scripts http://www.microsoft.com
redirect /_vti_bin http://www.microsoft.
com
redirect /_vti_inf.html http://www. microsoft.com
redirect /phpmy/scripts/setup.php http:// www.microsoft.com
redirect /phpmyadmin/scripts/setup.php http://www.microsoft.com
redirect /php/scripts/setup.php http:// www.microsoft.com
redirect /phpMy/scripts/setup.php http:// www.microsoft.com
redirect /_phpmyadmin/scripts/setup.php http://www.microsoft.com
redirect /pma/scripts/setup.php http:// www.microsoft.com
redirect /admin/scripts/setup.php http:// www.microsoft.com
redirect /MyAdmin/scripts/setup.php http://www.microsoft.com
redirect /sql/scripts/setup.php http:// www.microsoft.com
redirect /mysql/scripts/setup.php http:// www.microsoft.com
redirect /setup.php?dir http://www. microsoft.com
redirect /MSOffice/cltreq.asp http://www. microsoft.com
redirect /(null) http://www.microsoft.com redirect ///?_SERVER[DOCUMENT_ROOT] http://www.microsoft.com
redirect //?_SERVER[DOCUMENT_ROOT] http:// www.microsoft.com
redirect /assets/snippets/reflect/snippet. reflect.php? http://www.microsoft.com redirect /pagead/test_domain.js http:// www.microsoft.com
redirect /pagead/osd.js http://www. microsoft.com
redirect /pagead/expansion_embed.js http://www.microsoft.com
redirect /pagead/render_ads.js http://www. microsoft.com
redirect /pagead/atf.js http://www. microsoft.com
redirect /.svn/entries http://www. microsoft.com
RedirectMatch (.*)\cmd.exe$ http://www. microsoft.com$1

Суть этих директив сводится к тому, что любой запрос, содержащий в строке адреса вышеуказанные параметры (например, /_vti_bin или /scripts), будет автоматически перенаправляться на сайт MICROSOFT. Вместо microsoft.com вы можете указать любой другой адрес (например, несуществующий, или адрес какого-нибудь хакерского сайта, или адрес сайта антивирусной компании). • Ставим запрет на доступ с определенных ip-адресов. Предположим, что, анализируя лог-файлы своего сайта, вы обнаружили, что с определенных ip-адресов постоянно осуществляются попытки взлома сайта. Заблокируйте доступ к сайту с этих адресов, используя директиву Deny from ip-адрес, например:
Deny from 222.227.75.100
Deny from 211.49.99.92
Deny from 94.23.2.21
Deny from 89.108.64.232
Deny from 72.51.41.229
Deny from 95.134.131.130
Deny from 95.133.246.238
Deny from 93.126.80.51

• Ставим запрет на отображение содержимого ди- ректории при отсутствии индексного файла: Options -Indexes

• Ставим запрет на доступ к файлам, начинающимся с префикса .ht: Files ~ «^\.ht»> Order allow,deny Deny from all Satisfy All Files

Примечания.

1. Исторически сложилось так, что самым популярным web-сервером в Интернете стал APACHE (по под- счетам исследовательской компании NETCRAFT, на начало февраля 2010 г. в Интернете насчитывалось 206 млн. 741 тыс. 990 сайтов. При этом доля веб-серверов APACHE составила около 53,84%, MICROSOFT IIS - 24,08%).
2. Рекомендации данной статьи предназначены для клиентов платного хостинга. На бесплатном хостинге доступ к файлу .htaccess не предоставляется.
3. Недавно анализируя лог-файлы своего сайта, обнаружил, что участились попытки несанкционированного доступа к сайту с определенных ip-адресов, зарегистрированных за французским, японским и корейским сайтами (которые являются своеобразными «школами хакеров»). Пришлось «забанить» эти ip-адреса. Короче говоря, весьма полезно (хотя бы иногда!) просматривать логи своего сайта!..

 

copyright (c) 2006-2013, ABNET Company. all right reserved

Click here Click here Click here