بالا بردن امنيت مامبو

[vb]

سلام
من میدونم امنیت مامبو خیلی بالاست . اما چطوری میشه این امنیت رو بالاتر برد .پیشنهادهای شما چیست ؟

سکوتی

[firoozmandan]

جناب سکوتی سلام ...

حق با شماست . مامبو یکی از امن ترین CMS های موجود هست . اما میشه با تنظیماتی که اعمال میشه امنیت اون رو دوچندان کرد .

- RegisterGlobal باید Off باشه ( البته این مشکل در مامبو 4.5.3 حل شده اما باز برای امنیت کامپوننت هایی که مورد استفاده قرار میدین اگر OFF باشه دیگه خیالتون راحته )

- پرمیشن فولدر ها پیشنهاد میشه 755 و فایلها 644 باشه

- از کامپوننت های Stable استفاده کنید .

- کامپوننت ، ماژول و مامبوت ها را از سایت های معتبر دانلود کنید .

- حتما در انتخاب سرورتون دقت کنید ( مشخصات سرور خوب رو در قسمت سوالهای عمومی ذکر کردیم )

- از هر جایی وارد قسمت مدیریت مامبو و یا Cpanel نشید ( مخصوصا کافی نت ها )

و ...

یا علی

[Siamak]

با اجازه محسن جان :-[

میتونید برای امنیت بیشتر روی فولدر administrator پسورد بزارید.

در حد امکان از پسوردهای ایمن استفاده کنید. (مخلوط عدد و حرف و بدون کلمات با معنی مثلا میتوانید یک سری کاراکتر اتفاقی تایپ کنید و بعد به عنوان پسورد استفاده کنید)

[ahmadzadeh]

سلام
البته سیامک و محسن خان نکات را کامل اشاره کردند
اما اگه تو مامبویی که نصب کردید مطالب پیشفرضش را می دیدید یک مطلب در همین مورد وجود دارد
ترجمه متن پیش فرض مامبو

جواب دادن به اين سوال كمي پيچيده است.پيچيده براي اينكه امنيت تنها به يك عامل وابسته نیست بلكه به مجموعه اي از عوامل مانند كلمه عبور هاست شما , سرور سايت شما , ساير نرم افزارهايي كه روي سرور در حال اجرا مي باشند , كاربران وب سايت شما ، تنظیمات PHP.INI و ....
با اين حال مي توان گفت مامبو از امنيت نسبي برخوردار مي باشد كه تا اين لحظه در شرايط صحيح و استاندارد به هسته مامبو نفوذ نشده است ولي شما مي توانيد با رعايت برخي مسائل ، امنيت مامبو و وب سايت خود را به حداكثر برسانيد.

برخي از مواردي كه بايد رعايت شود عبارتند از :

سطح دسترسي به فایلها و پوشه هاي سايت را هرگز ۷۷۷ قرار ندهيد خصوصاْ سطح دسترسي به فايل configuration.php را ۶۴۴ قرار دهيد.
سطح دسترسی فایلها را ۶۴۴ و پوشه ها را ۷۵۵ قرار دهید . ( آموزش مربوط به تغییر سطح دسترسی در سایت Mambolearn موجود است )
پوشه نصب مامبو را بعد از نصب بطور كامل حذف نماييد از تغيير نام آن و نگه داشتن در هاستينگ خود جداْ خودداري نماييد.
براي دسترسي به پوشه مديريت و ورود به مديريت از مركز كنترل هاستينگ خود كلمه عبور تعيين كنيد.
كلمه عبور مديران سايت را كمتر از ۸ كاراكتر انتخاب نكنيد . همچنین كلمه عبوري انتخاب نماييد كه ترکیبی از حروف و اعداد باشد.
در صورت ارائه پچ هاي تكميلي كه از طرف مامبو فارسي ارائه مي شود آنها را به طور كامل اعمال نماييد.
اگر با مشكلي برخورد نموديد مي توانيد در انجمن تخصصی مامبو مطرح نماييد .

یا علی/خداحافظ

[trueend5]

البته نمیدونم متن بالا چه زمانی نوشته شده ولی تو سالهای اخیر بعد از ناک, مامبو جز معدود محصولاتی معروفی بود که وب سایت سازندش به خاطر باگ محصولش هک شد. به هر حال همونطور که گفته شد امنیت نسبیه و البته مامبو جزء بهترین و امن ترین CMS هاست. شک نکنید.

[firoozmandan]

این نکته لازم به ذکر هست که علیرضا (trueend5 ) مدیر سایت امنیتی Irannetjob ( پرشین هکرز سابق ) و kapda هستند .

یا علی

[trueend5]

با اجازت آقا محسن یه کم اصلاحش کنم.
مدیر ایران نت جاب و عضو کپدا (پرشین هکرز سابق)

[mehdi_org]

سلام

RegisterGlobal باید Off باشه ( البته این مشکل در مامبو 4.5.3 حل شده اما باز برای امنیت کامپوننت هایی که مورد استفاده قرار میدین اگر OFF باشه دیگه خیالتون راحته )

اين گزينه اصلا كارش چيه كه بايد آف باشه

سطح دسترسی فایلها را ۶۴۴ و پوشه ها را ۷۵۵ قرار دهید .

وقتي ميخوايم اين كارو كنيم گزينه Apply to existing files هم بايد تيك بخوره؟

از کامپوننت های Stable استفاده کنید .

اين يعني چه ؟

آماتوري هم بد درديه

[firoozmandan]

* در مورد Register Global

If you're not interested in uploading files but use a lot of forms in your PHP application, there are two variables that will be of particular interest to you�first, the register_globals variable, the cause of much heartache to longtime PHP developers. In PHP 3.x, this variable was On by default, leading form variables to be automatically converted to PHP variables when a form was submitted.

Security concerns led to this variable being set to Off in PHP 4.x. As a result, form variables could only be accessed through the special $_GET and $_POST arrays. This broke many scripts written in PHP 3.x, and forced developers to rewrite and retest their scripts. For example, the value entered into the field <input type="text" name="email"> would be available as $email in a PHP 3.x script, but as $_POST['email'] or $_GET['email'] in a PHP 4.x script.

You should generally set this variable to Off, as that offers greater security against script attacks through forms. For compatibility with older PHP 3.x scripts, turn it On

اطلاعات بیشتر : [مهمان/کاربر گرامی برای دیدن لینک ها ابتدا باید عضو سایت شوید و لاگین کنید برای ثبت نام اینجا کلیک کنید]

* بله ... باید تیک خورده باشه .

* منظور نسخه های نهایی است . نسخی که چک شده و تمام باگها و مشکلات اون گرفته شده .

یا علی

[mehdi_org]

ممنون :