CoreSystem
-
Публикаций
17 -
Зарегистрирован
-
Посещение
Весь контент CoreSystem
-
Сделаем демо на следующей неделе, но без доступа в админку. Причина в том что после авторизации 2FA, вы как администратор получаете полный доступ к сайту, без фильтрации запросов. -
В теории даже если вы загрузили CMS в которой есть шел по запросу "/?keyword=shell" и при этом используете поиск. То пользователь действительно может получить ответ shell, но даже в этом случаи что-бы выполнить другие команды, перейти в каталог выше, сменить права и т.д, нужно будет выполнять дополнительные GET/POST запросы, которые будут запрещены, поэтому кроме как полюбоваться на свой shell, пользователь ничего не сможет. На практике скрытые шелы, а так-же как и уязвимости CMS, вызываются отдельными командами или посредством запроса к отдельному файлу.
-
Если все товары называются "Тест 56, id-7", то поиск достаточно ограничить этими символами, используя правило "/?keyword=[\w0-9,- ]+", остальные символы, такие как "<|>" будут вырезаться. 1) Пользователь запросил "/?keyword=Товар65 <>**$7" 2) Пользователя отправило на "/?keyword=Товар65 7" 3) Пользователь смотрит товары по запросу "Товар65 7"
-
Это пример, если поиск содержит уязвимость которая позволяет что-то выполнить передав запрещенные символы. Если вам просто нужно разрешить любые символы, то используется правило "keyword=[^&]+" #6 Если включен фильтр запросов и пользователь запрашивает "/?get=shell", то он получает ошибку 403, не смотря на то, что в CMS есть возможность вызвать шел через запрос "/?get=shell"
-
Для этого есть правило 302, когда пользователь запрашивает "/?keyword=<?php echo="test 1" >" то его через 302 отправляет на "/?keyword=echotest 1", то есть из запроса убираются лишние символы. Список разрешенных символов вы прописываете сами, например "[\w0-9,- ]+"
-
Нет, вы настраиваете список запросов которые быть должны, например "/" и "/news/[0-9]+", все остальные запросы считаются запрещенными и при запросах "/cat", "/?arg=1", "/news/54r" пользователь должен получить 403 (если все правильно настроено). Ответ сайта, пользователь может получить только если сделает GET запрос "/" или "/news/12", "/news/5348" и т.д
-
Мы не стремимся поставить софт всем и вся, у софта есть свой ниша (очень маленькая), это обычно вебмстера у которых уже взломали сайты и которые после очистки от вирусов, все-равно подвергаются взлому сайта, из за скрытых паскалок или не пропатченных уязвимостей. Вы можете поставить логи, отливить паскалки и пропатчить CMS, но через месяц может вылезти еще одна уязвимость через которую можно залить shell в CMS (если говорить о wp,dle то это происходит постоянно). Когда у вас сетки сайтов приносящие доход в пару сотен USD/месяц, имея при этом примитивный ЧПУ - (главная/категории/новости), то
-
a13x, Тем не менее эти CMS используют. Я уверен что и тут есть пользователи которые использую wp,dle. Цена зависит от потребностей:Если вам нужен только фильтр запросов, то цена 15$ в год.Если вам нужен еще бекап на "FTP, SFTP, WebDAV, Yandex.Disk, OneDrive" и другие компоненты, то цена 32$ в год или 3$ в месяц.
-
- Назовите мне хотя бы парочку ИМ которым нужна ваша реализация в плане безопасности? DLE, WP, посмотрите "форумы/заказы на фрилас биржах" и увидите что эти CMS постоянно ломают, кроме того вы забываете о простых вещах - "модули и шаблоны которые можно скачать с паскалкой" Даже искать долго не нужно, вторая ссылка по запросу "DLE уязвимость", http://www.dle9.com/books/poleznye-stati/4686-vzlom-dle-112-i-nizhe-stepen-opasnost-vysokaya.html
-
a13x, Мало людей вырезают с CMS код который не используют.
-
Скорее для специалистов, вы должны понимать как работает regex, а так-же уметь работать с консолью браузера. После настройки лучше проводить тесты, дописывая к url аргументы или данные которых быть не должно, если ответ будет 403, то все настроено правильно. Мы понимаем что софт специфический и сложный в освоении, поэтому вы всегда можете предоставить доступ к ISPCore и url сайта в тикет, для проверки и настройки правил. Если в списке разрешенных запросов у вас нету такого аргумента "keyword=shell" или "keyword=[a-z]+", то воспользоватся запросом "/?keyword=shell" не получится, даже если
-
Каждый сайт имеет свой уникальный ЧПУ, поэтому настройка на каждом сайте индивидуальна (за исключением сеток сайтов построенных на одной CMS с одним ЧПУ), к тому же всегда есть дополнительные модули которые нужно разрешить или наоборот лишний функционал который нужно закрыть (авторизация, комментарии и т.д) Но если брать за основу OpenCart, в котором часть url является базой, то выглядит это примерно так https://195.211.154.91:8793/requests-filter/template?Id=2 (пароль: SLX2mLwPpc09) ------------ Настройка сайта на OpenCart может занять сутки, даже с учетом базового шаблона, а вот настрой
-
Это серверный софт, он встраивается между nginx и php/apache/proxy, в CMS редактировать ничего не нужно. Если упрощено то в nginx настройка выглядит так: location / { try_files /does_not_exists @fallback; } location @fallback { proxy_pass http://unix:/var/run/ispcore.sock:/core/check/request?method=$request_method&host=$host&uri=$request_uri; include /etc/nginx/asp.net_params; proxy_intercept_errors on; error_page 303 = @backend; } location @backend { proxy_pass http://your_server_ip:8080; proxy_set_header Host $host; } Вариант 1 1) Запрос "/news/5" поп
-
п.2 - В обычном варианте да, но при фильтре запросов так сделать нельзя, запрос сначала идет в ISPCore, после чего выдается 403, либо ответ скрипта (если вы в ISPCore разрешили запрос к этому файлу) п.3 - Тут имеется веду более стандартные парсеры на php, которые используются в 90% случаев для автоматического парсинга контента на свой сайт, ну и конечно же популярные сейчас динамические клонировщики сайтов, которые делают полную копию вашего сайта всего за 5 минут. - чем cloudflare хуже? - Не все используют cloudflare, особенно владельцы sape сайтов, при этом сервера на которых расположены
-
Давайте возьмем соседнюю тему http://forum.simplacms.ru/topic/13317-%D1%81%D0%B5%D1%80%D1%8C%D1%91%D0%B7%D0%BD%D0%B0%D1%8F-%D1%83%D1%8F%D0%B7%D0%B2%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D1%8C/ и представим что уязвимость серьезней, например любой пользователь имеет доступ к файлу /simpla/design/js/tiny_mce/plugins/smexplorer/php/action.php и через POST запрос, может загрузить шел в корень сайта "/shelll.php" Добавим еще скрытый shell в шаблоне/модуле, который можно вызвать через запрос "/?get=shell", данный шел был скрыт в бесплатном шаблоне или модуле, а сам модуль/шаблон был установлен в CMS. Дл
-
a13x, 1) Вы заранее вписываете правила разрешенных запросов, например "GET: /topic/[\w0-9-]+/?". Пользователь сможет просматривать темы и не сможет выполнить любой другой запрос, например запросить страницу "http://forum.simplacms.ru/topic/13403/test". 2) Этого делать незачем, у вас может быть любая CMS с сотнями шелов, но выполнить их не получиться, смотрите пункт 1. 3) Никто не уделяет внимания клонировщикам, пока не увидят динамическую копию своего сайта в поисковой выдачи.
-
Уверен, что вы не понаслышке знаете, сколько труда стоит настроить работу сайта так, чтобы он начал стабильно приносить деньги от рекламы или продажи ссылок. А если речь идет о целой сети сайтов, то это вообще титанические усилия, ведь работать нужно над сотнями или тысячами ресурсов. Нужно создать сам сайт, наполнить его контентом, продвинуть в поисковиках, наладить стабильную монетизацию – все это месяцы (а в случае «белых» сайтов и годы) тяжелого труда. Что-бы сохранить труды и заработок, нужно постоянно обеспечивать защиту сайта, устанавливать патчи CMS, блокировать плохих ботов, сох