رفتن به مطلب

سوالها و مشکلات : آموزش قدم به قدم امنیت وردپرس


Amir.

پست های پیشنهاد شده

نه ضرر نداره بلکه مفید هم است شما میتونید در اون فایل سطح دسترسی و خیلی چیزهای دیگه ببندید تا برای امنیت مناسب باشد

هر عدد نشان دهنده یک سطح دسترسی به اون فایل میباشد

خواندن / نوشتن / اجرا شدن

و شامل 3 دسته میباشد / گروه / شخص / دیگران

و هر عدد شامل یک از موارد بالا میباشد

درضمن شما با 444 کردن تغییرات برای گروه های دیگر میگیرید و فقط به خود و اجرا شدن میدهید

خوب اینجوری برای

فایل wp-config.php

سطح دسترسی 640 بهتر نیست ؟ کاربر نمیتونه بخونه، وردپرس میتونه بخونه، مدیر هم میتونه بخونه.

اما سوال: فایل ها دیگه هم نیاز سطح دسترسی رو تغییر داد منظور برای اینکه سطح دسترسی

wp-config.php رو تغییر بدم برای سازگاری و ... ؟

لینک به ارسال

خوب اینجوری برای

فایل wp-config.php

سطح دسترسی 640 بهتر نیست ؟ کاربر نمیتونه بخونه، وردپرس میتونه بخونه، مدیر هم میتونه بخونه.

اما سوال: فایل ها دیگه هم نیاز سطح دسترسی رو تغییر داد منظور برای اینکه سطح دسترسی

wp-config.php رو تغییر بدم برای سازگاری و ... ؟

لینک به ارسال

خوب اینجوری برای

فایل wp-config.php

سطح دسترسی 640 بهتر نیست ؟ کاربر نمیتونه بخونه، وردپرس میتونه بخونه، مدیر هم میتونه بخونه.

اما سوال: فایل ها دیگه هم نیاز سطح دسترسی رو تغییر داد منظور برای اینکه سطح دسترسی

wp-config.php رو تغییر بدم برای سازگاری و ... ؟

640 یعنی 6 نوشتن هم دادید به یکی از گروه ها اما 400 یا 444 کلا سطح دسترسی از هر گروهی میگیرید (توضیحات گروه ها داده شده است)

درضمن شما میتونید توی آموزش ها اسم wp-config.php به mahdi.php تغییر بدید و یک فایل تقلبی در داخل اون wp-config.php قرار دهید

لینک به ارسال

خوب این 6 از 4 و 0 جداست، 6 ماله بوزر اصلی هست یعنی بالاترین سطح دسترسی در هاست که فقط مدیر داره.

حال سوال من اینه که چه فایل هایی (فایل های اصلی و مهم) ار وردپرس را تغییر سطح دسترسی بدم برای امنیت و اگر باید تنظیم خاص دیگری انجام بدم برای اینکه مشکلی در اجرای وردپرس و فراخوانی فایل ها و بارگذاری سایت پیش نیاد، لطفا دراین باره راهنمایی و توضیح دهید.

لینک به ارسال

دوستان اگه امکان داره سوال قبلی منو جواب بدیدو درباره کدهای

TRACE and TRACK بکی از کاربرا پرسیده بود این قابلیت چیه و چرا باید اون تغییرات رو انجام بدیم اما کسی توضیحی نداده بود اینم جواب بدید.

- با تشکر

لینک به ارسال

خوب این 6 از 4 و 0 جداست، 6 ماله بوزر اصلی هست یعنی بالاترین سطح دسترسی در هاست که فقط مدیر داره.

حال سوال من اینه که چه فایل هایی (فایل های اصلی و مهم) ار وردپرس را تغییر سطح دسترسی بدم برای امنیت و اگر باید تنظیم خاص دیگری انجام بدم برای اینکه مشکلی در اجرای وردپرس و فراخوانی فایل ها و بارگذاری سایت پیش نیاد، لطفا دراین باره راهنمایی و توضیح دهید.

قبلا در قسمت آموزش امنیت سطح دسترسی ها توضیح داده شده است

تغییر دادن فایل ها مثل تغییر نام برای امنیت مناسب است اما چون وردپرس همیشه نسخه جدید دارد با آپدیت به مشکل میخورید و باید تغییرات دوباره انجام بدید و یا سطح دسترسی به کمترین حالت برسونید تا فایل تغییر نکند

دوستان اگه امکان داره سوال قبلی منو جواب بدیدو درباره کدهای

TRACE and TRACK بکی از کاربرا پرسیده بود این قابلیت چیه و چرا باید اون تغییرات رو انجام بدیم اما کسی توضیحی نداده بود اینم جواب بدید.

- با تشکر

trace and track http methods

یک روش هک که مشابه و جز روش XSS بوده که میتوان داده های ارسال شده از Client و به server دریافت کرد

و برای جلوگیری از این باگ از آن روش استفاده میکنند

آموزش هم در لینک زیر :

https://publib.bould...http_trace.html

ویرایش شده توسط Black_sky
تکمیل شد
لینک به ارسال

ممنون از راهنماییتون، فقط یک سوال کدهای که اون دوست عزیز قرار دادن به این صورت است.


# disable TRACE and TRACK in the main scope of httpd.conf
RewriteEngine On
RewriteCond %{REQUEST_METHOD} ^TRACE
RewriteRule .* – [F]
RewriteCond %{REQUEST_METHOD} ^TRACK
RewriteRule .* – [F]
<VirtualHost www.example.com># disable TRACE and TRACK in the [url]www.example.com[/url] virtual host
RewriteEngine On
RewriteCond %{REQUEST_METHOD} ^TRACE
RewriteRule .* – [F]
RewriteCond %{REQUEST_METHOD} ^TRACK
RewriteRule .* – [F]
</VirtualHost>
#

و کدهای لینکی که دادید به این صورت:


...
# disable TRACE and TRACK in the main scope of httpd.conf
RewriteEngine On
RewriteCond %{REQUEST_METHOD} ^TRACE
RewriteRule .* - [F]
RewriteCond %{REQUEST_METHOD} ^TRACK
RewriteRule .* - [F]
...
<VirtualHost www.example.com>
...
# disable TRACE and TRACK in the www.example.com virtual host
RewriteEngine On
RewriteCond %{REQUEST_METHOD} ^TRACE
RewriteRule .* - [F]
RewriteCond %{REQUEST_METHOD} ^TRACK
RewriteRule .* - [F]
</VirtualHost>

کدام کد صحیح است، و آیا به جای این آدرس www.example.com لینک سایت خود یا میزبان رو باید گذاشت ؟

- با تشکر

ویرایش شده توسط wp_old
لینک به ارسال

سلام

اگر امکان دارد سوال رو جواب بدید، چند روز گذشته از آخرین پاسخم.

و سوال دیگر آیا کدهای زیر مانع بارگذاری و یا مشکلی نمیشوند؟ (چون از طریق google/webmasters چک کردم ز قسمت Crawl Errors دو ارور Access denied داشتم اونم به فایل تصاویر بود، حال برای همین این سوال را کردم آیا مربوط میشود یا خیر) از جمله کد آخر

مثلا به این لینک ارور داده بود:

sitename.com/image/Software/

403 Forbidden

Access to this resource on the server is denied!

Powered By LiteSpeed Web Server

LiteSpeed Technologies is not responsible for administration and contents of this web site!

امنیت پوشه wp-includes را بکمک قرار دادن کدهای زیر (در .htaccess) بالاتر ببرید:


# Block the include-only files.
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]

امنیت فایل wp-config.php را بکمک قرار دادن کدهای زیر (در .htaccess) بالاتر ببرید:


<files wp-config.php>
order allow,deny
deny from all
</files>

امنیت فایل

htaccess

را بکمک قرار دادن کدهای زیر (در .htaccess) بالاتر ببرید:


<Files .htaccess>
order allow,deny
deny from all
</Files>

دسترسی به پوشه ها را ببندید

این فرمان را به فایل .htaccess اضافه کنید و کاربر با دسترسی به هر دایرکتری در سایت شما با صفحه ۴۰۴ مواجه می شود:


# Stop Directory listening
Options -Indexes

- با تشکر

ویرایش شده توسط wp_old
لینک به ارسال

آیا به جای این آدرس

www.example.com لینک سایت خود یا میزبان رو باید گذاشت ؟

بله

کدام کد صحیح است،

توضیحات قبلش بخوانید منظور بنده متوجه میشید

هر 2 خط مشابه همدیگر هستند و باز نویسی ها تکرار شده است

و سوال دیگر آیا کدهای زیر مانع بارگذاری و یا مشکلی نمیشوند؟

نه مشکلی ایجاد نمیکنه چون فولدر که امنیت گذاری کردیم ارتباطی با تصاویر ندارد

درضمن موارد بالا که گفتید در بخث آموزش داده شده است

لینک به ارسال

ممنون از پاسختونبله در آموزش اشاره شده بود، فقط من متوجه نشدم اگر آدرس سایت من با http باشه باید به صورت http در لینک جایگزین کرد یا www و با http://www ؟ و بجای هر دو لینک example.com باید آدرس سایت باشه یا میزبان/سرور ؟

و این کد زیر دلیل این ارور زیر نبوده است ؟

sitename.com/image/Software/

403 Forbidden

Access to this resource on the server is denied!

Powered By

LiteSpeed Web Server

LiteSpeed Technologies is not responsible for administration and contents of this web site!

دسترسی به پوشه ها را ببندید

این فرمان را به فایل .htaccess اضافه کنید و کاربر با دسترسی به هر دایرکتری در سایت شما با صفحه ۴۰۴ مواجه می شود:


# Stop Directory listening
Options -Indexes

ویرایش شده توسط wp_old
لینک به ارسال

این دستور دایرکتوری لیستینگ رو متوقف میکنه.

یعنی مثلا آدرس یک پوشه از سایت رو بزنید تا محتویاتش رو ببینید و اون پوشه فایل ایندکس نداشته باشه به جای مشاهده محتوای موجود داخل اون، با ارور 403 یعنی عدم دسترسی مواجه میشه و نمیتونه محتوا رو بررسی کنه.

لینک به ارسال

ممنون از راهنماییتون، این یعنی خوبه دیگه این کد فایل ها و پوشه هایی که دلیل نداره کاربر ببینه رو خودش میبنده درسته ؟

فقط این سوال کد TRACE and TRACK رو جواب بدید ممنون میشم.

اگر آدرس سایت من با http باشه باید به صورت http در لینک جایگزین کرد یا www و با

http://www ؟ و بجای هر دو لینک example.com باید آدرس سایت باشه یا آدرس میزبان/سرور ؟

ویرایش شده توسط wp_old
لینک به ارسال

نباید بتونه چون ممکنه بتونه فایل های شما به راحتی کپی کنه و ......

اگر آدرس سایت من با http باشه باید به صورت http در لینک جایگزین کرد یا www و با

http://www ؟ و بجای هر دو لینک example.com باید آدرس سایت باشه یا آدرس میزبان/سرور ؟

فرقی نمیکند معمولا با www میباشد اما این کدها همیشه با مثال هستند و طبق مثال انجام دهید

لینک به ارسال
  • 4 هفته بعد...

دسترسی به پوشه wp-content رو با این دستورات محدود کنید!

یک فایل به اسم .htaccess در wp-content ایجاد کرده و دستورات زیر رو درون او قرار دهید!


Order Allow,Deny
Deny from all
<files ?.(jpg|gif|rar|jpge|mp3|zip|png|js|css)$? ~>
Allow from all
</files>

با این کار استایل سایتم لود نمیشه . سطح دسترسی پوشه مورد نظر هم 755 هست

لینک به ارسال

دسترسی به پوشه wp-content رو با این دستورات محدود کنید!

یک فایل به اسم .htaccess در wp-content ایجاد کرده و دستورات زیر رو درون او قرار دهید!


Order Allow,Deny
Deny from all
<files ?.(jpg|gif|rar|jpge|mp3|zip|png|js|css)$? ~>
Allow from all
</files>

این کار رو انجام دادم اما استایل لود نمیشود

لینک به ارسال

دوستان این دو کد زیر رو که گفتید تو htaccess بزارم ، مشکلی برای گوگل و ... پیش نمیاره ؟

<files wp-config.php>
order allow,deny
deny from all
</files>


<Files .htaccess>
order allow,deny
deny from all
</Files>

لینک به ارسال

گوگل نیار به اطلاعات مربوط به دیتابیس و ... شما ندارد و مشکلی پیش نمیاد اما اگر به صورت صحیح کدها قرار نگیرد برای شما مشکل پیش میاد

البته این کد فقط مخفی کردن و یا کم کردن سطح دسترسی هست و چیز خاصی نیست

لینک به ارسال
  • 2 ماه بعد...

سلام

بر همه دوستان

من میخواهم برای سایت ام از یک افزونه امنیتی استفاده کنم. با جستجو در گوگل به این افزونه افزونه iThemes Security (با نام قبلی Better WP Security) رسیدم

این هم آموزش کامل افزونه ؟

http://mrcode.ir/%D8%A7%D9%85%D9%86-%DA%A9%D8%B1%D8%AF%D9%86-%D8%B3%D8%A7%DB%8C%D8%AA-%D9%88%D8%B1%D8%AF%D9%BE%D8%B1%D8%B3%DB%8C-%D9%82%D8%B3%D9%85%D8%AA-2

سوال:

آیا این افزونه خوب است؟ آیا برای سایت مشکلاتی ایجاد نخواهد کرد؟

لینک به ارسال

سلام

بر همه دوستان

من میخواهم برای سایت ام از یک افزونه امنیتی استفاده کنم. با جستجو در گوگل به این افزونه افزونه iThemes Security (با نام قبلی Better WP Security) رسیدم

این هم آموزش کامل افزونه ؟

http://mrcode.ir/امن...-وردپرسی-قسمت-2

سوال:

آیا این افزونه خوب است؟ آیا برای سایت مشکلاتی ایجاد نخواهد کرد؟

قبلا هم بارها بحث کردیم که افزونه ها هم خود دارای حفره های امنیتی هستند و تا جایی که میتونید از کدها و... استفاده کنید

لینک به ارسال
  • 2 هفته بعد...

اقا جسارتاً تا الان پنج بار هک شدم امروز صبح هم باز هک شدم نمی دونم چرا

طرف هم فایل index.php رو دستکاری کرده بود هم فایل single.php

و هم اینکه دیگه نمی تونستم با یوزر admin وارد وارد پرس بشم

تنها کاری که کردم رفتم توی phpmay admin چون یک یوزر معمولی هم درست کرده بودم به اسم internet

اودم پسورد hash شده اون رو که می دونستم چی هست رو برداشتم به جای پسورد admin در دیتابیس جایگزین کردم

در ضمن ایمیل ادمین رو هم هکره حذف کرده بود

و با این حال وارد سایت شدم ولی باز هم استرس دارم که شاید چیزی رو دستکاری کرده باشه به هاستینگم تماس گرفتم که اگه بک آپ اخیر رو دارن ریستور کنند

با تشکر

دوست عزیز مشکل شما احتمالا از یک باگ خاص روی یکی از افزونه هاتون هست

یا امنیت پایین سرور

لینک به ارسال
  • 1 ماه بعد...

من وقتی سایتمو توی فایرفاکس باز میکنم یه خط نوشته بالای سایت میاد و وارد یه صفحه از سایتم میشه که اصلا وجود نداره

آدرس سایت : خرید و فروش مسکن

وقتی سورس صفحه رو باز میکنیم یه چند خط کد وجود داره که اصلا تو قالب نیست

من همین قالبو روی دامنه دیگه نصب میکنم بدون مشکل بالا میاد . در ضمن من تمام افزونه ها و کل قالب رو بررسی کردم مشکلی نداره

احتمال میدم ویروس باشه میشه لطفا شما بررسی کنید


لینک به ارسال

اگر منظورتون خط های آخر میباشد کتفیه به متن زیر دقت میکردید :


<!-- Performance optimized by W3 Total Cache. Learn more: http://www.w3-edge.com/wordpress-plugins/

لینک به ارسال

این فایل مشکل دارد آیا؟

  • /wp-includes/js/jquery/jquery.js

Parameter ver in /wp-includes/js/jquery/jquery.js?ver=1.11.1 revealed ../etc/passwd test file.

ویرایش شده توسط آریارامن
لینک به ارسال

نه خیر دوست عزیز ، فایل‌های وردپرس اگر دستکاری نشده باشند هیچ مشکلی ندارند .

لینک به ارسال

به گفتگو بپیوندید

هم اکنون می توانید مطلب خود را ارسال نمایید و بعداً ثبت نام کنید. اگر حساب کاربری دارید، برای ارسال با حساب کاربری خود اکنون وارد شوید .

مهمان
ارسال پاسخ به این موضوع ...

×   شما در حال چسباندن محتوایی با قالب بندی هستید.   حذف قالب بندی

  تنها استفاده از 75 اموجی مجاز می باشد.

×   لینک شما به صورت اتوماتیک جای گذاری شد.   نمایش به صورت لینک

×   محتوای قبلی شما بازگردانی شد.   پاک کردن محتوای ویرایشگر

×   شما مستقیما نمی توانید تصویر خود را قرار دهید. یا آن را اینجا بارگذاری کنید یا از یک URL قرار دهید.

×
×
  • اضافه کردن...