WordPress için PHP Sertleştirme
WordPress PHP’de çalışır ve WordPress sitenizi sertleştirirken dikkate alınması gereken temel bir bileşendir. Bu makale, WordPress için PHP güvenliği ile ilgili tartışabileceğiniz en yaygın şeylerden bazılarını tartışacaktır. PHP ayarlarınızda değişiklik yaparken dikkatli olun. Yanlış ayarlar ve sözdizimi web sitenize zarar verebilir. Üretimde değişiklikler yapmadan önce daima geliştirme ortamındaki veya evrelemedeki değişikliklerinizi test edin. İçerik Listesi
En son PHP sürümünü kullanın
PHP sürümüne bastığım
Tüm Phpinfo dosyalarını silin ()
PHP hatalarının ve uyarıların bastırılması
Sınır dahil
Dahil olmak üzere uzun mesafeli dosyaları devre dışı bırakın
Tehlikeli işlevleri devre dışı bırakın veya sınırlayın
Hassas dizindeki PHP yürütmeyi engelleyin
Çözüm
İşletim sisteminize, MySQL Server, Web sunucunuza (örn. Nginx, Apache, IIS …) yama yapmanızı sağlamak için en son PHP sürümünü kullanın 1 Tamamen desteklendi. .
PHP internete maruz kaldığından (WordPress PHP tercümanlarında çalıştığı için), PHP’de güvenlik açığının kullanılması bulunursa bu saldırıya uğramak için daha büyük bir risktir. Şimdiye kadar, PHP’yi güncel tutmak (ve daha da fazlası, PHP sürümünden uzak durmak için. WordPress (örneğin WordPress eklentisindeki güvenlik açığından yararlanarak). PHP sürümüne çoğu web sunucusu yazılımı gibi basıldığında, varsayılan olarak PHP, HTTP X destekli başlıktan çalıştığı sürümü ortaya çıkarır. Bu kendisi bir güvenlik açığı olmasa da, diğer durumlarda olduğu gibi, yazılım sürümü numaralandırması genellikle saldırının gözetim aşamasında saldırgan için yararlıdır. Bu nedenle, PHP sürümünü devre dışı bırakarak, saldırıyı başarılı olmak biraz daha zor hale getireceksiniz. Neyse ki, Expose_php ayarlarını kullanarak devre dışı bırakmak kolaydır. Php.ini yapılandırma dosyanızda, aşağıdakileri ekleyin.
Hata ayıklama için kullanılan phpinfo () işlevini kullanarak PHP dosyaları yapmak için tüm phpinfo () dosyalarını silin, birçok PHP sistemi yöneticisinin yaygın olarak sahip olduğu kötü bir alışkanlıktır. Saldırgan ‘phpinfo’ dosyasını bulursa (genellikle ad şaşırtıcı değil, phpinfo.php), sadece sunucuda çalışan PHP sürümü değil, aynı zamanda web sitesinin diğer yönleri hakkında birçok bilgi ve ayrıntı verilir. bir web ve veritabanı sunucusu gibi.
Gerçekten phpinfo () çalıştırmanız gerekiyorsa, bunu komut satırından yapmak çok daha iyidir.
PHP -i
Sisteminizde birden fazla PHP yapılandırmanız varsa (çok yaygın), PHP’yi belirlemek için aşağıdaki komutu kullanabilirsiniz. Sunucu yapılandırması, uygulama düzeni ve bileşenler hakkında bilgi edinmek için bu bilgileri genellikle kullanır.
Hata mesajları, bilgilerin ifşa edilmesi için en yaygın yollardan bazılarıdır, genellikle uygulama yükleme yolları ve veritabanı bağlantı ayrıntıları gibi bilgileri sızdırmaz. Hatalar ve uyarılar görüntülemek yerine, bu bilgilerin kaydedildiğinden emin olun. Bu konu hakkında daha fazla bilgi resmi PHP belgesinde bulunabilir. Neyse ki, bu, Display_errors ayarları kullanılarak devre dışı bırakılması kolaydır. Php.ini yapılandırma dosyanızda, aşağıdakileri ekleyin. Display_errors = kapalı
log_errors = açık
Dosyanın katılımının güvenlik açığı dahil sınır, saldırganın dahil () PHP deyimini kontrol etmesini sağlar. PHP, dahil edilen dosyalarda herhangi bir PHP kodu yürütürken, herhangi bir şey yazdırır (düz metin varsayılarak). Bu, dosyanın katılımının güvenlik açığını kontrol eden saldırganın, aşağıdakilere benzer bir şey çalıştırabileceği ve hassas sistem dosyalarına erişim sağlayabileceği anlamına gelir. Dosyaların katılımı hakkında daha fazla bilgi için bu makaleye bakın.
“../../../../eetc/passwd” ekleyin
PHP.ini’deki Open_basir ayarlarını ayarlayarak, PHP’ye yalnızca belirli dizinlere ve altındaki katılımlara izin vermesini öğretebilirsiniz. Bu, dosya katılımının güvenlik açığını ortadan kaldırmasa da, bu elbette daha sınırlı hale getirir ve ayrıca kod yürütmeye neden olabilecek bazı sürekli saldırıları engeller (saldırgan sunucunuzda komutları çalıştırabildiğinde). Open_baseir PHP ayarlarını php.ini.open_baseir dosyanızda = /var/www/html/example.com’da aşağıdaki gibi ayarlayabilirsiniz. Uzun mesafeli dosya içerme saldırıları (RFI) yerel dosya içerme saldırılarına benzer şekilde çalışır, ancak saldırganlar sistemdeki dosyalara bağlı değildir, uzun mesafeli dosya içermesi, saldırganın dosyayı ağdan girmesine izin verir. Bu çok tehlikelidir ve RFI saldırısının çoğu, kodu web sunucunuzda keyfi olarak yürütebilen bir saldırganla biter (uzun mesafeli kodun yürütülmesi veya RCE).
Uzun Dürüstlük dosyalarının dahil edilmesini devre dışı bırakmak için, PHP dosyanızdaki LERSE_URL_FOPEN ve LELAPLUDE_URLUDE PHP seçeneklerini aşağıdaki gibi kullanın.
Algl_url_include = kapalı
Tehlikeli işlevleri devre dışı bırakın veya sınırlandırırsa, saldırgan, tüm güvenlik eylemlerinizden bağımsız olarak, WordPress PHP güvenliğinizde güvenlik açığı bulmayı başardıysa, isteyebileceğiniz son şey, sunucunuzda hakem kodunu çalıştırabilmeleridir. Saldırgan sunucunuzda Rakber Kodunu çalıştırabilirse, sunucunuzu daha fazla kontrol etmek ve kötü tekliflerini (kötü amaçlı yazılımları yaymak, kimlik avı için web sitenizi kullanmak gibi bir kabuk yükleyebilir veya baş aşağı bir kabuk yapabilirler. Kampanyalar veya hizmet saldırısı reddi, hatta kripto para birimi). Shell_exec () ve System () gibi işlevleri devre dışı bırakarak, kullanıcıların ve saldırganların bu tehlikeli işlevi kullanmasını önleyebilirsiniz. Bu işlevleri kullanmak için geçerli bir neden olsa da, çok küçük ve uzaklardır ve genellikle aynı sonuçları elde etmenin daha güvenli yolları vardır. Aşağıdaki endişeler, bunu üretimde çalıştırmadan önce test ortamında veya evrelemede kapsamlı bir şekilde yer alır, çünkü çalıştırdığınız bazı yazılım/eklentiler bu işleve bağlı olarak (umarım meşru) olabilir. Aşağıda, PHP.ini dosyanızdaki DISABLE_FUNCTIONS ayarlarını kullanarak PHP’de devre dışı bırakmak isteyebileceğiniz potansiyel tehlikeli işlevlerin bir koleksiyonu bulunmaktadır.
disable_functions = php_uname, getMyuid, getMypid, passthru, sızıntı, dinleme, diskfreespace,
TMPFile, Link, IGNore_USER_ABORD, Shell_exec, DL, Exec, System, Stuplight_file, Kaynak,
show_source, fpaththru, sanal, posix_ctermid, posix_getcwd, posix_tgid, posix_teteuid,
POSIX_GETGID, POSIX_GETGRGID, POSIX_GETGRNAM, POSIX_GETGROUPS, POSIX_GETLOGIN, POSIX_GETPGID, POSIX_GETPGRP, POSIX_GETPID, POSIX_GETPPID, POSIX_GETPWNAM, POSIX_GETPWUID, POSIX
POSIX_STESID, POSIX_GETUID, POSIX_ISATTY, POSIX_KILL, POSIX_MKFIFO, POSIX_SETEGID, POSIX_SETEUID,
Posix_setgid, posix_setpgid, posix_setsid, posix_setuid, posix_times, posix_ttyname, posix_uname,
Proc_open, Proc_close, Proc_get_Status, Proc_nice, Proc_Terinate, Phpinfo
Hassas Dizindeki PHP Yürütme Blok Varsayılan olarak, Web sitenize temaları, eklentileri, resimleri, videoları ve diğer dosyaları yüklemek için kullanılan WP-Content/Yükleme dizini PHP kodunu yürütmesine izin verilir. Bu biraz risklidir – saldırgan bir şekilde eklenti veya temaya dosya yüklemenin güvenlik açığından yararlanabilirse, web kabuklarını veya benzer arka kapı türlerini yükleyebilirler. PHP yürütülmesine WP-Content/Yükleme Dizini’nde izin verileceğinden, saldırgan gerçekten kötü tekliflerini yapmak için PHP kodunu yürütebilir.
Önlemek aslında WP-Concent/Uploads ve Dizin’de PHP’nin yürütülmesini oldukça basit bir şekilde bozar. Naif yol, yalnızca .htaccess kullanma gibi *.php dosyasına erişimi engellemektir.
Hepsinden inkar
Ancak, yukarıdaki yapılandırmanın geçmesi nispeten kolaydır – PHP birçok durumda .phtml .php3 dosyasını yürütmekten mutluluk duyacaktır. En antiplete yolu aslında php motorunu dizindeki devre dışı bırakmaktır. Aşağıdaki .htaccess yapılandırması WP-Content/Yükleme ve WP-Incomptures Dizini’ne (genellikle saldırgan tarafından hedeflenen diğer dizinler) yerleştirilmelidir.
PHP_FLAG MOTORU KAPALI
WordPress için PHP Güvenliği – WordPress’in kendisi güçlü ve güvenli bir platform olarak kabul edilirken, WordPress kurulumunuzun çalıştığı çevre ve altyapı, web sitenizin güvenliğini sağlamak için çok yararlıdır.Bu PHP güvenlik kılavuzunda yer alan konuları uygulamak size ikinci bir savunma hattı verecektir, böylece WordPress sitenizdeki güvenlik açığını kötüye kullandıktan sonra saldırganların saldırıları artırması önemli ölçüde daha zordur.WordPress sitenizi nasıl sertleştireceğiniz hakkında daha fazla bilgi edinmek istiyorsanız, WordPress’in Güvenliği ve Sertleşmesi hakkındaki kesin kılavuzumuzu okuyun. Bu makalede kullanılan referanslar [+]
bu makalede kullanılan referans
