Информация 3 шага для защиты блога на Wordpress

Статус
В этой теме нельзя размещать новые ответы.

azs

Постоялец
Регистрация
24 Дек 2007
Сообщения
149
Реакции
147
Использование любого публичного движка для сайт имеет свои как плюсы так и минусы. Плюсы заключаются в том, что под движок появляется много документации, плагинов, бесплатных тем. А минус один, в том, что при обнаружении уязвимости в движке, под угрозой взлома оказываются сразу десятки тысяч сайтов. Wordpress не является исключением. Не так давно блог Alexf пал жертвой кулхацкера, что бы не повторять его путь выполнить ряд шагов по защите своих ресурсов:
Защитим директорию /wp-admin/. Если у вас статический IP, либо выдается с ограниченного пула то пропишем его в .htaccess и созданный файл положим в защищаемую директорию.

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName “Access Control”
AuthType Basic
<LIMIT GET>
order deny,allow
deny from all
# белый список IP для доступа
allow from 69.147.114.210
allow from 199.239.136.200
# белый список подсети IP
allow from 199.239.136
</LIMIT>
Если вы много путешествуете и при этом не пользуетесь VPN соединением (что я советую делать), то ограничение доступа по IP вам не подойдет,в этом случае воспользуемся стандартной защитой по паролю средствами Web-сервера: Для начала нам надо создать файл .htpasswd, в котором будет хранится логин и пароль это можно сделать если у вас есть доступ к шелу хостига, из папки которую хотите защитить введя команду :

htpasswd -mbc .htpasswd jones Pwd4Steve

Что создаст файл .htpasswd с логином jones и паролем Pwd4Steve (пароль будет хранится в зашифрованном по алгоритму MD5 виде) либо можно воспользоватся тулзой для генерации .htpasswd, например вот этой, введя там желаемый логин и пасс выполучите строку для вставки в ваш .htpasswd.
Создаете в текстовом редакторе .htpasswd, помещаете туда полученную строку и заливаете файл в защищаемую папку. Далее, в ту же папку положим файл .htaccess со следующим содержанием:

AuthUserFile /full/path/to/.htpasswd
AuthType Basic
AuthName “Access Control”
Require valid-user

Теперь при обращении к этой папке будет запрашиваться дополнительный логин и пароль.
Найдите в папке вашей темы вордпресса файл header.php и найдите там строчку:

<meta name=”generator” content=”WordPress <?php bloginfo(’version’); ?>” /> <!– leave this for stats please –>

Удалите ее, потенциальным взломщикам совсем не обязательно сообщать какую версию скрипта вы используете в данный момент.
Автор-kass
 

ecco

Постоялец
Регистрация
21 Апр 2007
Сообщения
63
Реакции
16
Более стандартный способ создать .htaccess со строчкой
Options -Indexes
у меня после этого динамические страницы имеющие вид site/category перестали отображаться
Я в корень сайта запихал / может неправильно сделал.
 

igrok54

Постоялец
Регистрация
22 Ноя 2006
Сообщения
87
Реакции
17
Надо было дописать эту строчку к имеющемуся в корне .htaccess, в конце, после директив WP
 
F

fetxp

Прохожие
а что если поменять стандартную категорию админки на какую нить другую, типо как в DLE.
такое реально сделать не переписывая весь двиг ?
Можно через симлинк сделать если ssh к серверу есть. Я у себя так и сделал.
 

rex1963

Гуру форума
Регистрация
19 Фев 2007
Сообщения
228
Реакции
51
Вопрос может несколько не в тему, но все же

В статистике ошибок вижу, что запрашивается страница вида
/&usg=ALkJrhijZbpGCN9wjzVNKUwrEYkJZSPhCg%2Fpage%2F23/page/32

Перекопал все. Откуда может лезть эта ерунда?
 
Статус
В этой теме нельзя размещать новые ответы.
Сверху