আপনার প্রশ্নের সুনির্দিষ্ট উত্তরের জন্য /magento//a/72700/361 দেখুন
পটভূমি
প্রথমত, কোনও নির্দিষ্ট শোষণ নেই - এই মুহুর্তে কয়েকটি ধারাবাহিক নিবন্ধ রয়েছে যা উত্স নিবন্ধটি ভুল বুঝে এবং ভুল বোঝে।
মূল নিবন্ধ নিছক বলেন (এবং আমি paraphrasing করছি),
যদি একটি হ্যাকার ছিলেন আপনার Magento ফাইলগুলিতে অ্যাক্সেসের পেতে সক্ষম, তারা পারে আপনার গ্রাহক থেকে তথ্য ক্যাপচার
হ্যাকার হবার মূল অংশটি আসলে আপনার সার্ভারটি অ্যাক্সেস করতে এবং ফাইলগুলি সংশোধন করার প্রয়োজন।
আতঙ্কিত হবেন না ... এটি ম্যাজেন্টোর নির্দিষ্ট কিছু নয়
তথ্য ক্যাপচারের ক্ষেত্রে, অন্য কোনও ওয়েবসাইট / প্ল্যাটফর্মের তুলনায় ম্যাজেন্টোর নির্দিষ্ট কিছু নেই। যদি কোনও হ্যাকার আপনার ফাইলগুলিতে অ্যাক্সেস পান, তবে কার্যকরভাবে এটি শেষ হয়ে যায় - তারা যা যা চান তথ্য তারা ক্যাপচার করতে সক্ষম হবে।
আপনি যা করতে পারেন সর্বোত্তম (এবং শেষ অবধি, আপনার করা উচিত সর্বনিম্ন) হল একটি ভাল সুরক্ষা নীতি বজায় রাখা যা অর্থপ্রদান প্রক্রিয়াজাতকরণ শিল্পের পিসিআই সুরক্ষা মানকে মেনে চলে আপনি এখানে তালিকাটি পেতে পারেন, https://www.pcisecuritystandards.org /documents/Prioritized_Approach_for_PCI_DSS_v3_.pdf
আপনার স্টোরকে শক্ত করুন
আপনি সত্যিই আপনার স্টোরের এমন দিকগুলি লক করতে পারেন যা কোনও হ্যাকারের জন্য পৃষ্ঠতল আক্রমণ অঞ্চলকে ব্যাপকভাবে হ্রাস করে বা কমপক্ষে, যদি তারা / এ প্রবেশ করার ব্যবস্থা করে তবে তাদের অগ্রগতি ধীর করে দেয় /
অনুমতি লক ডাউন
আপনি কেবলমাত্র প্রয়োজনীয় ডিরেক্টরি ( /varএবং /media) রচনার জন্য ডকুমেন্টের রুটে অনুমতিগুলি সীমাবদ্ধ করতে পারেন
আমরা ম্যাগস্ট্যাকে ডিফল্টভাবে এটি করি ,
echo -n "Fixing ownership"
chown -R $SSH_USER:$WEB_GROUP $INSTALL_PATH && echo " ... OK" || echo " ... ERROR"
INSTALL_PATH="/path/to/public_html"
chmod 750 $INSTALL_PATH
find $INSTALL_PATH -type d ! -perm 750 -exec chmod 750 {} \; && echo " ... OK" || echo " ... ERROR"
echo -n "Fixing file permissions"
find $INSTALL_PATH -type f ! -perm 740 -exec chmod 740 {} \; && echo " ... OK" || echo " ... ERROR"
echo -n "Fixing cron permissions"
find $INSTALL_PATH/*/cron.sh -type f ! -perm 750 -exec chmod 750 {} \; && echo " ... OK" || echo " ... ERROR"
echo -n "Fixing media/var file permissions"
chmod -R 760 $INSTALL_PATH/*/media $INSTALL_PATH/*/var && echo " ... OK" || echo " ... ERROR"
echo -n "Fixing media/var directory permissions"
find $INSTALL_PATH/*/media $INSTALL_PATH/*/var -type d ! -perm 770 -exec chmod 770 {} \; && echo " ... OK" || echo " ... ERROR"
INSTALL_PATH,SSH_USER,WEB_GROUPমামলা অনুসারে সামঞ্জস্য করুন। গুরুত্বপূর্ণটি হ'ল SSH_USERপিএইচপি ওয়েব সার্ভার প্রক্রিয়াটির জন্য আপনার একই ব্যবহারকারী নয়, অন্যথায় আপনি মূলত ওয়েব সার্ভারে সম্পূর্ণ লেখার অ্যাক্সেস সরবরাহ করবেন (কোনও সুবিধা হ্রাস করা)।
আপনার প্রশাসক / ডাউনলোডার অ্যাক্সেস লক করুন
ম্যাজস্ট্যাকে, আপনি এটি সেট করবেন ___general/x.conf
set $magestack_protect_admin true;
set $magestack_protect_downloader true;
এনগিনেক্সে, আপনি এটি ব্যবহার করতে পারেন,
location ~* ^/(index.php/)?admin{
satisfy any;
allow x.x.x.x;
auth_basic "Login";
auth_basic_user_file /microcloud/data/domains/x/domains/x/___general/.htpasswd;
deny all;
location ~* \.(php) {
include fastcgi_params;
}
try_files $uri $uri/ /admin/index.php ;
}
সেখানে কিভাবে প্রস্তুত করতে উপর একটি বিট আরো ডকুমেন্টেশন .htpasswdফাইল এখানে
মোড়ানো cron.shপ্রক্রিয়া
ক্রোন / অ্যাডমিন ব্যবহারের জন্য ডেডিকেটেড মেশিনগুলি ব্যবহার করে আমি অন্যান্য হোস্টিং সরবরাহকারীদের জুড়ে এসেছি - যার অর্থ এটি পরিবর্তন করে cron.sh ফাইলটি এটির অ্যাক্সেসের প্রয়োজন ছাড়াই ক্রোন / অ্যাডমিনে রিমোট কোড প্রয়োগের অনুমতি দেওয়া হবে। কোনও ফেকচেআরটে সঠিক ব্যবহারকারীর সাথে প্রক্রিয়াটি গুটিয়ে ফেলা প্রক্রিয়াটি লক করতে আরও খানিকটা এগিয়ে যেতে পারে।
আমার পোস্ট করার জন্য অনেক বেশি কোড রয়েছে তবে এখানে একটি স্ক্রিপ্ট রয়েছে । এটি ম্যাজস্ট্যাকের সাথে নির্দিষ্ট, তবে কম মার্জিত সার্ভার কনফিগারেশনে ব্যবহারের জন্য সামঞ্জস্য করা যেতে পারে :)
নিরীক্ষা, নিরীক্ষা, নিরীক্ষা
লগিন করার ক্ষেত্রে লিনাক্স দুর্দান্ত এবং এতে ট্যাপ করার ক্ষেত্রে আপনাকে আপনার সার্ভারটি কী করছে সে সম্পর্কে একটি সম্পূর্ণ অন্তর্দৃষ্টি দেবে।
ম্যাজস্ট্যাকের একটি দুর্দান্ত বৈশিষ্ট্য হ'ল অডিটিং সরঞ্জাম যা দৈনিক ভিত্তিতে সমস্ত ধরণের অ্যাক্সেস এবং এমনকি ফাইল পরিবর্তনগুলিকে লগ করে। আপনি এখানে লগগুলি খুঁজে পেতে পারেন,
/microcloud/logs_ro
|-dh[0-9]+
|---access-YYYY-MM-DD.log.gz
|---backup-YYYY-MM-DD.log.gz
|---magescan-YYYY-MM-DD.log.gz
|---php-differential-YYYY-MM-DD.log.gz
|-acc[0-9]+
|---access-YYYY-MM-DD.log.gz
আপনি যদি ম্যাজস্ট্যাক ব্যবহার করছেন না, আপনি এটির rsyncসবচেয়ে সহজ সরঞ্জাম হওয়ায় আপনি সহজেই নিজের হোস্টিং সরবরাহকারীর সাথে এর কয়েকটি প্রতিলিপি করতে পারেন ।
যেমন। যদি আপনার ব্যাকআপগুলি স্থানীয়ভাবে উপলব্ধ থাকে তবে আপনি নিম্নলিখিতগুলি করতে পারেন। এটি শুকনো রান দুটি ডিরেক্টরি তুলনা এবং একটি পৃথক প্যাচ তালিকা উত্পাদন করবে।
rsync -na /path/to/public_html/ /path/to/backup/public_html/ > change.log
grep -E '\.php$' change.log | while read FILE; do
diff -wp /path/to/public_html/$FILE /path/to/backup/public_html/$FILE >> php-differential.log
done
পিএইচপি পরিবর্তনগুলি খুব কমই ঘটে থাকে যে আপনি এটি প্রতিদিন চালানোর জন্য নির্ধারিত করতে পারেন (বা প্রতিদিন একাধিক বার) এবং যদি কোনও পিএইচপি ফাইলের পরিবর্তন থাকে তবে আপনাকে ইমেলের মাধ্যমে অবহিত করতে পারেন।
সংক্ষেপে
- সংস্করণ নিয়ন্ত্রণ ব্যবহার করুন, পরিবর্তনগুলি ট্র্যাক করা সহজ
- আপনার সাইটের সুরক্ষিত করার জন্য কেবল একটি এসএসএল শংসাপত্র থাকা যথেষ্ট নয়
- সুরক্ষা বিবেচনা করতে হ্যাক হওয়ার জন্য অপেক্ষা করবেন না
- কেবলমাত্র আপনি আপনার অর্থ প্রদানের গেটওয়ে সরবরাহকারীর কাছে পুনঃনির্দেশ করেছেন (বনাম। তথ্য ক্যাপচার করে) - এর অর্থ এই নয় যে আপনি পিসিআই সম্মতি এড়াতে পারবেন, আপনার এখনও মেনে চলতে হবে
- সক্রিয় হন, নিরাপদে থাকুন এবং পুরোপুরি হন - ইনস্টল করার আগে মডিউল কোডটি পরীক্ষা করুন, প্রতিদিন পিএইচপি ফাইলগুলি পরীক্ষা করুন, লগগুলি পর্যালোচনা করুন, এফটিপি / এসএসএইচ অ্যাক্সেস পরীক্ষা করুন, নিয়মিত পাসওয়ার্ড পরিবর্তন করুন
আপনার গ্রাহকরা তাদের সমস্ত ব্যক্তিগত তথ্য পাস করার সময় আপনার উপর প্রচুর পরিমাণে ভরসা রাখছেন - এবং যদি আপনি কোনও সুরক্ষিত ব্যবসা পরিচালনা না করে সেই বিশ্বাসের সাথে বিশ্বাসঘাতকতা করেন তবে আপনি তাদের রীতিনীতি এবং ভবিষ্যতের সমস্ত রীতিনীতি হারাবেন।
পিসিআই ফরেনসিক তদন্তগুলি অবিশ্বাস্যরূপে ব্যয়বহুল, সময় সাপেক্ষ এবং শেষ পর্যন্ত আপনার কার্ডের পুনরায় পেমেন্ট নিতে সক্ষম হওয়ার ঝুঁকিটি শেষ পর্যন্ত। নিজেকে কখনই সেই অবস্থানে ফেলতে দেবেন না!
প্যাচ করা
ম্যাজেন্টো থেকে ইদানীং একধরণের প্যাচ প্রকাশিত হয়েছিল যা স্থির গর্তগুলি স্থির করেছিল, এমন কয়েকটি সহ যা দূরবর্তী-কোড-কার্যকর করার অনুমতি দেয়। আপনি এগুলি এখানে আনতে পারেন, https://www.magentocommerce.com/products/downloads/magento/
তবে এই নতুন নিবন্ধগুলি কোনও নতুন শোষণের কথা উল্লেখ করছে না, তারা কেবল উল্লেখ করছে যে কীভাবে হ্যাকাররা holdতিহাসিক শোষণগুলি (বা অন্য কোনও আক্রমণকারী ভেক্টর) কার্ডধারীর তথ্য ক্যাপচার করতে সক্ষম হবে।
সোর্স