Статьи из рубрики «Безопасность»

Безопасность, о которой все так много говорят

Борьба с ботами-взломщиками средствами rsyslogd

В предыдущих частях статей цикла «Скажи «Нет!» взломщику» со взломщиками мы боролись при помощи связки swatch + iptables: swatch проводил анализ системного журнала сообщений, iptables использовался для блокировки непрошеных гостей.

Тем не менее, используя swatch на нескольких серверах, я не могу сказать, что я полностью им доволен: слишком уж он хрупок. Завершение дочернего tail приводит к тихой гибели самого swatch, в системе могут оставаться зомби и т.п.

Одна из альтернатив — использование rsyslogd. Далее »

Автор: Vladimir, опубликовано в: Администрирование, Безопасность, комментариев: 5

21
Апр
2010

Серьёзная уязвимость в osCommerce 2.2 RC 2a

Сегодня один из моих клиентов пожаловался, что его online-магазин (на базе osCommerce) в очередной раз взломали и записали закодированный файл q_boot.php в каталог images. Хотя с osCommerce я сталкивался только один раз в жизни (подчищал вирус наподобие этого), меня этот случай очень заинтересовал: уязвимость, которая позволяет злоумышленнику залить на сервер произвольный файл — это очень серьёзно. Далее »

Автор: Vladimir, опубликовано в: Безопасность, комментариев: 8

18
Дек
2009

Скажи «Нет!» взломщику: часть 2

Продолжение статьи Скажи «Нет!» взломщику.

Прошлый раз мы использовали swatch и iptables для защиты от нехороших ботов, пытающихся сделать наш компьютер частью ботнета. У приведённого способа был существенный недостаток: IP-адреса блокировались навсегда. Это плохо, так как IP-адреса можно подделывать.

Tamdiu discendum est, quamdiu vivas, поэтому сегодня рассмотрим вариант с блокированием атакующего на заданный промежуток времени. Далее »

Автор: Vladimir, опубликовано в: Linux, Безопасность, комментариев: 2

8
Дек
2009

Безопасный логин в WordPress с использованием nginx

WordPress, начиная с версии 2.6, имеет улучшенную поддержку работы с HTTPS.

У администратора есть две возможности:

Использование HTTPS для работы в панели управления (wp-admin).
Использование HTTPS только для входа в систему.

Первое достигается путём добавления строки

[-]

View Code PHP

define('FORCE_SSL_ADMIN', true);

в wp-config.php, второе — путём добавления строки

[-]

View Code PHP

define('FORCE_SSL_LOGIN', true);

Добавляем одну из этих двух строк в wp-config.php и проблема решена? Но в действительности всё не так, как на самом деле
Далее »

Автор: Vladimir, опубликовано в: WordPress, Безопасность, комментариев: 2

5
Дек
2009

Простой DoS для PHP

Копался сегодня во внутренностях PHP, и обнаружил такую вещь: функция zend_hash_sort() (она вызывается из функций типа usort() и прочих) сортирует не сам массив (в терминах Zend Engine), а массив (в терминах языка C) указателей на элементы массива (в терминах Zend Engine), а потом по отсортированному C-массиву пересоздаёт PHP-массив. Далее »