אבטחה

לחברת סטארט אפ דרוש תותח דרופל ומתחנת-מפתח וויב .
אזור ת"א עד אשקלון/שדרות/נתיבות

עם או בלי קשר לדרופל, אתמול דווח על פריצה לשרתי חברת DremHost.

<

p>בתקופה האחרונה פונים אלי יותר ויותר אנשים במייל וכן אתר הפניות שלנו ומבקשים ייעוץ לגבי הצעה שהם קיבלו בתחום אבטחה ותחזוקה של השרת שלהם, והנה סיפור לדוגמה, ב' ביקש מחברת תחזוקה טכנית בארץ לבצע על השרת שלו אבטחה צד שרת "Security Hardening" מכיוון שלאחרונה היו לא מאט פריצות לאתרים שלו ויותר מדי SQL Injections (ראו בגווגל),  ב' התבקש לשלם 150 ש"ח דמי בדיקה ו-1200 ש"ח עבור הליך ה"אבטחה". אותו ב' קיבל דו"ח שירות לאחר 48 שעות כי האבטחה התבצעה וכי השרת שלו כעת מאובטח" ....

ב' ביקש על הדרך האם אפשרי להתקין לו מודול PDO שרת ה-web שלו (apache) ונענה בחיוב כי הפעולה אפשרית בהחלט בתמורה לעלות חד פעמית נוספת של 750 ש"ח בעבור שעתיים עבודה (בנק שעות תחזוקה).

לאחר כ- 24 שעות של המתנה ב' קיבל מייל ובו אישור כי המודול הותקן בהצלחה והכרטיס אשראי שלו חויב בהתאם.

ב' לא חיכה הרבה וישר הלך ובדק האם המודול אכן עובד לאחר ההתקנה (לפני זה הוא היה מקבל שגיאה לא נעימה מהאתר שלו), ואכן המודול עובד. כל הכבוד! ענה להם במייל והודה להם על הכל!

עברו יומיים ושוב מרבית האתרים של ב' נפרצו, בפנייה חוזרת לחברת הייעוץ והתחזוקה שלו,  נאמר לו "בצענו עבורך אבטחה בסיסית הבעיה הינה באתרים שלך תתמודד עם זה"....

אותו ב' חיפש בגוגל ושאל חברים על מנת למצוא גורם נוסף (צד ג') שיבדוק בשנית את השרת שלו ויספק דעה נוספת,  וכך ב' פנה אלינו לקבלת ייעוץ חוזר ונענה בחיוב,  שמענו את הסיפור שלו והצענו לו בדיוק את מה שהיינו מציעים בדרך כלל : תספק לנו פרטי גישה לשרת, במהלך 24 שעות
נבצע בדיקה יסודית של השרת ונחזיר לך תשובה פשוטה האם יש לנו את היכולת לסדר את זה ומה פחות או יותר עשו לך בחברה הקודמת" ואת הבדיקה נעשה ללא עלות מצידו של ב'.

הלקוח ביקש כמה שעות לחשוב על ההצעה וחזר אלינו עם פרטי השרת, לאחר מספר שעות בודדות חזרנו אליו עם תוצאות:
- קרנל לא עדכני ופריץ
- שירותי web לא עדכניים
- פאנל ניהול לא עבר עדכון לגרסה בטוחה יותר

באתר אוברקארט שעדיין בבנייה לכן נמצא במצב תחזוקה אוף ליין, הבלוק המראה כמה אורחים ומשתמשים אונליין באופן עקבי מראה לי מספר אורחים אונליין.
מספר האורחים משתנה מפעם לפעם בתווך בין 0 ל20 בערך.
בדקתי ב text-diff את קבצי settings.php ו .htaccess
כדי לראות אם הושתל קוד זר ושני הקבצים נקיים.
האתר מאוחסן בDreamhost ואני פונה אליהם במקביל בסוגייה הזו.
ליבה ומודולים באתר מעודכנים בכל עדכוני האבטחה.

יחד עם זה, אני מקבל כ3 פעמים בדקה לוגים באופן הזה:
CAPTCHA 10/18/2010 - 13:05 user_login post blocked by CAPTCHA module: ... Anonymous
מחסום ה Captcha פועל (נסיונות כניסה) גם כאשר האתר באופליין.

בנוסף ה Top 'page not found' errors מראה הפניות מאתרים כמו :
2 blog/women-seeking-safe-women-sex-florida
1 blog/women-seeking-safe-women-sex-florida
1 1 blog/john-cusack-bdsm-personals
1 blog/dating-my-vintage-desk
1 blog/download O A R iPod music
1 blog/download-idea-nuova-mp3-music-downloading-mp3-music

האם מישו כבר נתקל בתופעות כאלה?
אשמח לאצות והצעות.

אני בודק בימים אלה את האפשרות ליצור אתר "בכמעט חינם" עבור בית ספר דמוקרטי בצפון שעושה את צעדיו הראשונים (עמותה במימון ההורים בלבד ללא תמיכה).
האתר הוא כלי חשוב לתקשורת, דיון ומידע בין ההורים, התלמידים ואנשי הצוות.
אני בעל נסיון תכנות אך ללא רקע בבנית אתרים. נתקלתי בדרופל באתר הזה, ולאחר קריאה של המדריכים נראה לי כי זוהי הפלטפורמה המתאימה לצרכים שלי.
מצ"ב קובץ קונספט לתכנים ולמודולים הדרושים.

אשמח לשמוע את דעתכם האם הצעדים הבאים ניתנים לביצוע לפני שאני מתחיל בבניית אתר:

1. הקמת אתר על מחשב מקומי בדרופל בעזרת מידע מהאינטרנט ומהפורומים
   • בהתקנת החבילות בעזרת Acquia וקינפוגים ראשוניים כבר התנסתי על XP
2. לקנות דומיין ב-80 ש"ח לשנה - https://domains.livedns.co.il/ (זו ההוצאה היחידה כרגע - עבור org.il)
3. למקם את המחשב המקומי בבית פרטי עם חיבור מהיר (לפחות 4M/400K)
4. כיוון שכתובת IP בחיבור פרטי עלולה להשתנות, חשבתי לבצע הפנייה דינמית בעזרת אתר כמו: no-ip.com ו\או dyndns.com

http://www.no-ip.com/services/managed_dns/free_dynamic_dns.html
http://www.dyndns.com/services/dns/dyndns/

שאלות פתוחות:
1) האם אכן ניתן לעשות חיבור כזה בעזרת no-ip.com ו\או dyndns.comלמחשב ביתי עם IP משתנה? למישהו יש ניסיון דומה?

2) "לייבדנס" מציין באתר ש"רישום הדומיין אינו מאפשר הפניית דומיין לכתובת אינטרנט. ההפניות היחידות שניתן לבצע הן לרשומות "דנס" בלבד ולא לכתובות אינטרנט או לכתובות אייפי." האם זה ימנע ממני לרשום את האתר לפי התוכנית למעלה?
livedns, DNS, IP

3) האם יש חסרונות (כגון מהירות ,אבטחה, וכו')? ואיך מתמודדים איתן?

בתודה מראש,

גיל

האתר שלי הותקף ונפרץ.
כנראה כל ההתקפה מסתימת במחיקת index.php.
עושה רושם שהעלתו חזרה לאתר פתרה את הבעיה.
אבל צצו לי כמה שאלות
האם נבון להשאיר כל מני דפי התקנה על השרת או אולי כדאי למחוק דפים כמו install.php?
עוד רעיונות ל"הקשחת" האתר יתקבלו בברכה

שלום לכולם, הבעיה שלי היא פחות דורפל ויותר קשורה לנושאיי שרת.

הקמתי לחבר אתר (בדרופל כמובן) איכסנתי בחו"ל www.hostmaster.com
ולצערי החבר לא מצליח לשלוח מילים, הוא תמיד נחסם כספאמר בכל מני שרתים.

איך אני מוציא אותו מרשימות שחורות? איך אני מונע את הכניסה שלו לרשימות שחורות?

אשמח לעזרה

שלום לכולם,
שמי לירון ולאחרונה במקום העבודה שלי הטילו עליי להרים לאוויר אתר אינטרנט כולל כל מה שמתקשר לנושא.

להחלט בדיקות ודיונים החלטנו להתקין את דרופל (בעבר עבדתי עם מערכות Nuke למיניהם, ג'ומלה ושות').

מכיוון שזאת הפעם הראשונה שאני מתקין את המערכת ברצוני לשאול מספר שאלות קצרות שיסייעו בידי לבצע הקתנה חלקה ושימוש מוצלח.

1. הספק ממנו רכשתי את חבילת האחסון (שרת לינוקס עם CPANEL) מספק את החבילה עם רכיב בשם: Fantastico De-lux
   http://cpanel-host.com/fantastico/
   לפי התיאור באתר שלהם זה רכיב סטייל הAPPS באתר של GODADDY שמאפשר להתקין אוטומטית מגוון של מערכות על החבילת אחסון כולל כל מה שצריך בכמה לחיצות כפתור.
   השאלה היא האם זה בסדר לבצע את ההתקנה עם הרכיב ולהתעצל או שהכי טוב יהיה להוריד מהאתר את הגרסא העדכנית ולהתקין לבד?

2. מכיוון שחשוב למקום העבודה שלי שיהיה לנו אתר באוויר הם רוצים שקודם אני אבנה את המערכת של דרופל ויסדר את כל האתר לרמה בסיסית של אתר בעברית (בהמשך מתוכנן להוסיף גרסה באנגלית לאתר - זה בית מלון) ורק אז לבצע העברה של הדומיין מהשרת אחסון הישן אל השרת אחסון החדש, איזה עדכונים אני אצטרך לבצע במערכת כדי לבצע את ההעברת דומיין לאחר שהאתר כבר בנוי?

3. מבחינת מיילים, האם דרופל צריכה שיגדירו לה תיבת מייל כלשהי שבאמצעותה היא תשלח את המיילים או שיש רכיב מובנה במערכת שישר שולח בלי להגדיר וכל מה שאני צריך זה לספק מייל יצירת קשר שיופיע שם לתשובות?

4. מבחינת אבטחה של המערכת יש צעדים חשובים שצריך לעשות אשר המשתמש המתחיל במערכת (כמוני :) בד"כ מפספס בהתקנה?

5. וכמובן כל טיפ עצה ועזרה תתקבל בברכה.

תודה מראש לכולם,
לירון

 חברת הוסטדאיים ישראל מציעה ללקוחותיה שירותי איחסון אתרים במחירים נוחים עם דגש על בצועים, מהירות, שירות ויחס אישי לכל לקוח ולהיות שם בשבלך שאתה באמת צריך!. 

חברת הוסט-דאיים הוקמה על מנת להוות מענה ללקוחות אשר מחפשים פתרונות אחסון אתרים ושרתים ייעודיים שמסופקים על ידי עסק מקצועי ואמין. במיוחד עבור קהילת הדרופל בארץ יצאנו במבצע בלעדי עבור לקוחות חדשים אשר עושים שימוש בקוד הפתוח ונהנים מטכנולוגיית הדרופל.

פרטי מבצע:

קובץ PDF להורדה: http://crackingdrupal.com/sites/crackingdrupal.com/files/filtering_text.pdf

מתוך: http://crackingdrupal.com/blog/greggles/drupal-text-filtering-decision-c...

הוצג היום כחלק מוובינר של אקווייה שהעביר Greg Knaddison -
הקלטה תימצא תחת http://acquia.com/community/resources/recorded-webinars
שם ההרצאה: Cracking Drupal: Proven Strategies for Uncovering Security Threats and Protecting Your Site