Безопасность сайтов на Joomla

или Как не допустить взлома

article62rВ последнее время участились случае взломов сайтов, как на Joomla, так и на других движках.
В данной статье я кратко опишу метода противодействия взлому, то есть превентивные меры.
Что делать, если сайт уже взломан, постараюсь написать в следующей статье.

Итак, чтобы эффективно противостоять методам взлома, надо, хотя бы в общих чертах представлять методы взлома и атак.

1) Варез - клубные шаблоны, "бесплатно" выложенные на разных, так называемых порталах, а точнее варезниках.

В них почти наверняка зашиты рекламные ссылки, которые понижают сайт в выдаче, но частенько бывают и шеллы и бэкдоры, которые позволяют злоумышленникам получить доступ к сайту и размещать на нём дорвеи (а это может быть и порно и фишинг (кража банковских карт)).

То есть потенциальный убыток от такой "экономии" гораздо больше, так что, я надеюсь, варез Вы не используете и этот пункт здесь лишь для галочки.

2) Кража доступы к фтп через заражение компьютера вебмастера (или любого другого человека, у кого есть доступ к сайту).

Здесь рекомендации ничем не отличаются от стандартных рекомендации для операционной системы - обновляться, ставить антивирусы, файрволы, корректно распределять права итд итп..

Тем не менее, даже если рекомендации выше соблюдены, риск заражения все равно имеется

3) Взлом через уязвимость движка и его расширений.

В частности, недавно была обнаружена уязвимость в редакторе JCE, позволяющая заливать на сервер шеллы.
Решение - обновить JCE, но не многие следят за актуальностью версии редактора.
Кстати, если у Вас много сайтов и есть ssh можно временно удалить уязвимый файл командой
find . -name "file.php" | grep "com_jce" | xargs rm -f

Итак, чтобы не допустить заражения, необходимо обновлять своевременно как движок, так и все расширения к нему.
А также не ставить неизвестные и непроверенные расширения (вероятность наличия в них дырок гораздо выше чем в известных и проверенных).