רוטר - המלצה כללית לכל בעלי האתרים

יומן פעילות	לוח שנה	מבזקי חדשות	תקנון	RSS	כותרות	כותרות לפי תגובה	ניקוי קוקיז	IP	להורדת אפליקציה
eBay	AliExpress	GearBest	Amazon	Booking	Kiwi	SkyScanner	Trip Advisor

"המלצה כללית לכל בעלי האתרים"

גירסת הדפסה

קבוצות דיון בניית אתרים נושא #10203	מנהל סגן המנהל מפקח Winner צל"ש מומחה

אשכול מספר 10203

code_blue

חבר מתאריך 5.7.06
21280 הודעות, 7 פידבק

19:44 28.06.11

המלצה כללית לכל בעלי האתרים

כבר רשמתי את זה בעבר אבל זה הזמן לחזור על זה,
האיום של הערבים להוריד אתרים ישראלים אולי נשמע לחלקככם קקיוני
אבל מניסיון שלי בחוות שרתים קיבלתי אחרי המרמרה לפחות 4 טלפונים ביום
על חבר'ה שהרסו להם את האתר פרצו את השרת וכדו .
אז איך מגנים
א. מוודאים שהגישה לשרת (לבעלי גישה) היא ספציפית לפי IP למי שצריך להגיע ! לא משאירים RDP פתוח לכל העולם . אפשר ליצור שרת VPN על השרת
ואז להתחבר אליו מכל מקום באמצעות חיוג של VPN תחילה
ב. משנים את הססמאות לססמאות קשות ! נתקלתי בלקוחות עם
administrator
1q2w3e4r! זה לא סיסמא חזקה !!!
אז קודם כדאי לבטל את היוזר administrator וליצור יוזרים אישיים
או יוזר אדמין אחר
לקבוע סיסמא חזקה הכוללת ספרות , אותיות גדולות , אותיות קטנות , תווים מיוחדים כמובן כדאי להחליף לפחות אחת למס' חודשים
ג. למי שיש מערכות DB , לוודא שהגישה ל DB היא אך ורק לשרתים שהוגדרו מראש מורשים לגשת , להגדיר סיסמא חזקה ל ROOT המלצה שלי
אפילו לבטל את ROOT ולשים יוזר אחר שהוא אדמין
ד. גישת FTP לשרת /חבילת האירוח , לוודא שרק מי שצריך לקבל את הגישה יקבל וגם שם לתת יוזר וסיסמא קשים ולא לזלזל
ה. לכל מי שעובד עם דפים דינמיים שכוללים קלט של טקסט לעולם ובדיקה ב DB (לדוגמא שם משתמש וסיסמא) !! לא לעשות השוואה ישירה ל DB !!! תמיד לעשות בדיקה של הקלט , לבדוק עם REGEX שאכן המידע שמתקבל מתאים לתבנית שאמורה ליהיות , שלא יהיו סימנים מיוחדים !
ו. תמיד תמיד תמיד שיהיה לכם גיבוי של כל החומר , כל ה DB
שלא יתפסו אתכם עם המכנסיים למטה

מקווה שתעבדו לפי זה ותגנו על האתרים שלכם
אישית עזרתי לכמה פה מהפורום שאכלו אותה בנגלה האחרונה של ההתקפה
הטורקית זה לא כייף שאתה מעלה את האתר שלך ורואה כתובת נאצה

שתף

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

האשכול	מחבר	תאריך כתיבה	מספר
תודה רבה על האזהרה, אשתדל לזכור :)	asco88	28.06.11 20:32	1
תודה רבה רבה!	dvir8	03.07.11 11:52	2
UP ... זה מאוד רלוונטי להיום	code_blue	19.07.11 15:24	3
הכי חשוב זה סיסמא חזקים	Sylver	19.07.11 16:37	4
הכי חשוב לדעתי, להביא למפתח מנוסה שיודע את הבאגים הנפוצ	CaTz	19.07.11 22:53	5
תודה רבה על העצות, אכן מכה קשה	LoVe2KiLL	27.07.11 02:16	6
toda	Sagittarius	13.08.11 23:24	7
לפחות יש מי שמחזיר להם...... תודה על העזרה :)	afroman50	15.08.11 22:32	8

asco88
חבר מתאריך 17.6.04
26757 הודעות

20:32 28.06.11

1. תודה רבה על האזהרה, אשתדל לזכור :)
בתגובה להודעה מספר 0

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

dvir8
חבר מתאריך 13.5.02
5929 הודעות

11:52 03.07.11

2. תודה רבה רבה!
בתגובה להודעה מספר 0

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

code_blue

חבר מתאריך 5.7.06
21280 הודעות, 7 פידבק

15:24 19.07.11

3. UP ... זה מאוד רלוונטי להיום
בתגובה להודעה מספר 0

קיבלתי כבר 2 שיחות בנושא אנשים שפרצו להם לשרתים ולאתר
אז שימו לב !

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Sylver
חבר מתאריך 1.7.02
11915 הודעות, 2 פידבק

16:37 19.07.11

4. הכי חשוב זה סיסמא חזקים
בתגובה להודעה מספר 0

הערבים הפרימיטיבים האלה יושבים ברמאללה ומשחקים אותה סקריפט קידיז שמים איזה בוט שרץ על כתובות של אתרים ישראלים ומנסה לפרוץ סיסמאות קלות.

הפתרון : סיסמא חזקה שהם בחיים לא יפרצו.

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

CaTz
חבר מתאריך 2.10.04
14537 הודעות

22:53 19.07.11

5. הכי חשוב לדעתי, להביא למפתח מנוסה שיודע את הבאגים הנפוצ
בתגובה להודעה מספר 0

כמו SQLI או XSS או CSRF או LFI וכל האחים הקיצוריים האפשריים...
עדיף לשלם 100 ש"ח יותר אבל האתר שלך יהיה מוגן יותר.
יחסוך ממך המון כאב ראש.
מנסיון אני רואה מפתחים שבכלל אבל בכלל לא מודעים לעניינים האלו...
קוראים לעצמם מפתחים...ואחרי שכתבו מערכת שלמה, לשבת ולסדר משנה משתנה
ולבדוק הכל זה פשוט סיוט (שוב לצערי מנסיון!)

אז במיוחד היום, לחפש מתכנתים מנוסים שמבינים גם באבטחת האתר!