12 خطوات لينكس اباتشي الخلية الجذرية LAMP الويب PHP خادم آمن

وتيرة القرصنة قد ارتفعت بشكل حاد في الأشهر الأخيرة. خاصة ويمكن الحصول على الكثير من البيانات التي تصل الخارقة على خوادم الشبكة. حتى أخذت سوني PSN الإختراق الاستفادة من نقطة ضعف في غير المصلحة خادم الويب Apache. ولذلك أقوم بجمع العمل هنا ، يمكن للخادم الخاص قليلا أكثر أمنا ضد الهجمات من الخارج. بطبيعة الحال ، فإن هذا أيضا لا يوفر حماية بنسبة 100 ٪ ، ولكن من الأفضل لجعل الأشرار اللعبة قليلا أكثر صعوبة. بعض التدابير تتطلب سوى تثبيت الحد الأدنى ، والصيانة. آخرون في حاجة الى الكثير من الوقت والمعرفة للحاق بي. ينبغي للمرء أن يبحث دائما عن نسبة التكاليف والمنافع في اختيار التدابير الأمنية. فإنه لا معنى لحماية الصغيرة ، موقع خاص مثل البنك الاحتياطي الفيدرالي. ومع ذلك ، تغييرات محددة قليلة لديها بالفعل نظام كبير يعني المزيد من الأمن. وأنه يجب علاج حتى قبل فوات الأوان....

جميع النصائح وCodesnips الرجوع إلى مربع ديبيان الحالية.

الأول جدار الحماية -- كل شيء مرة واحدة تحظر

معظم توزيعات لينكس في المنشآت الافتراضية الخاصة بهم فتح أي منافذ على الخارج التي لا تشكل ضرورة مطلقة. هذا الوضع يمكن أن يتغير بسرعة ، ولكن ، حتى عندما يكون الخادم
حول اللعب ومحاولة الأشياء. فجأة وسائل الاعلام الخادم هو الاستماع على الإنترنت أو قاعدة البيانات
يقبل الاتصالات من الإنترنت. ولذلك ، فإنه ليس من الخطأ أن يضبطوا أنفسهم واقامة جدار تقييدية جدا الذي يحظر بشكل أساسي مرة واحدة كل الاتصالات من الخارج ويسمح فقط (الذاتي) مركبات المحدد. لحسن الحظ ، يتم ذلك بسرعة مع إيبتبلس. بهذه الطريقة يمكن للمرء أن لم تعد توفر الخدمات لجعل الوصول الى العالم بأن ليس لديهم عمل هناك. للأسف ، كنت تدفع القليل من الراحة -- يجب أن يتم ضبط جدار الحماية في كل مرة عندما كنت ترغب في تقديم خدمات جديدة. ومع ذلك ، فإن الجهد صغيرة وكبيرة من الفوائد.

 # / بن / سحق

 # حذف الجداول الموجودة
 إيبتبلس - F

 # لا سمح كافة الاتصالات الواردة
 إيبتبلس - P INPUT DROP
 إيبتبلس - P FORWARD DROP

 # السماح الصادرة عن
 إيبتبلس - P OUTPUT ACCEPT

 اسمحوا # SSH
 إيبتبلس - A - INPUT ACCEPT ي ف TCP -- 22 dport 

 # السماح HTTP
 إيبتبلس - A INPUT - J - P نقبل التعاون الفني -- dport 80 

 وعلاوة على ذلك # ، خدمة (UDP) تسمح ، على سبيل المثال خادم اللعبة
 إيبتبلس - A INPUT - J - P نقبل التعاون الفني -- dport 4534 

 اسمحوا # كل من المضيف المحلي.  (ومن أجل أن الخادم نفسه الوصول دون عائق إلى خدماتها ،
 # للPHP المثال إلى قاعدة البيانات المحلية
 إيبتبلس - A INPUT - S - 127.0.0.1 ي اعقد

 سيتم قبول اتصالات # أنشئت بالفعل في أي ميناء
 # (المطلوبة لبعض الشياطين)
 إيبتبلس - A INPUT - M الدولة -- دولة المنشأ ، ذات الصلة ي اعقد

هذا قليل العمود الفقري يمكن أن نستمر ببساطة لتوسيع وإضافة خدمات خاصة بهم. عند العمل على جدار الحماية ، يجب عليك دائما الأحكام في القضية ان اقفال بها أنفسهم. خصوصا في خدمة المناطق النائية التي لا يوجد لديك الوصول المادي ، وهو أمر مزعج جدا لانقاص وصول فاشلة الخاصة لسيادة جدار الحماية. من أجل تجنب هذه المشكلة للخروج من الطريق ، يمكن للمرء مجرد بداية مهمة كرون ان يعيد جدار الحماية كل بضع دقائق أو إعادة تشغيل الملقم. بالعمل على جدار الحماية مؤقتا ويتم اختبار النظام في وقت لاحق ، وأحب ، وسيتم إلغاء تنشيط cronjob والقواعد الجديدة لا تزال نشطة بشكل دائم.

لمعرفة ما هي الخدمات مجرد الاستماع إلى الخادم الخاص بك ، يمكنك استخدام NETSTAT :

 # للحصول على مآخذ TCP :
 NETSTAT - LPN | GREP TCP

 وبالمثل # لUDP :
 NETSTAT - LPN | GREP UDP

لاختبار إذا كان يعمل حقا جدار الحماية ، يمكنك تفحص منفذ الملقم الخاص بك من كمبيوتر آخر. انها عملت كل خارجا ، يجب أن تظهر في النتيجة الوحيدة حتى المنافذ التي تكون مفتوحة :

 # للحصول على برنامج التعاون الفني :
 nmap - P1 - 65 535 meinserver.de

 # للUDP :
 nmap - SU - P1 - 65 535 meinserver.de

ثان سه تسجيلات الحظر

على الخادم الجذرية الخاصة وغير المقيد SSH الوصول. هذا مفيد جدا ، حيث يمكنك من أي عميل SSH إلى خادم مرات فقط للعمل على ذلك. الجانب السلبي من هذا هو أن أي شخص يمكن بالطبع للأسف اتخذت بطريقة أو بأخرى على كلمات السر الخاصة بهم. انها أكثر أمانا للسماح تسجيلات SSH فقط مع ملف مفتاح صالح. هذا هو المفتاح العمومي من العميل إلى الخادم وتسجيلات تفاعلية يتم تعطيل نسخ عن طريق إدخال كلمة المرور.

 # على العميل ، إنشاء المفتاح العمومي
 # إذا المحدد عند إنشاء كلمة مرور ، يحتاج المرء إلى
 # تسجيل الدخول في وقت لاحق ملف المفتاح وكلمة السر.  وإلا
 # يحتاج فقط المفتاح.

 سه كجن - T - RSA

 # مفتاح ولدت ثم نسخ إلى ملقم

 سه النسخ معرف - I ~ /. سه / root@meinserver.de id_rsa.pub

 ثم ضبط sshd_config # على سه / الخادم / الخ /
 .
 .
 لا PasswordAuthentication
 .
 .

 # بداية جديدة ثم SSH
 / الخ / تشغيله بواسطة / SSH إعادة تشغيل

حتى هنا ينبغي للمرء أن اتخاذ الاحتياطات اللازمة لعدم استبعادها حتى لو كان هناك شيء لا يعمل.
المفتاح العمومي على عصا USB مع كلمة السر المقابلة في رأسك يجعل من العسير على الأشرار من الحصول على قذيفة.

ثالث SSH Bruteforcing منع denyhosts

إذا لم يتم تقديم المشورة العملية واحد اثنين التخلي عن راحة كلمة السر القائم على تسجيلات تريده ، يمكنك على الأقل منع مرور معدلات الآلي من المهاجمين على الخادم. وهناك الكثير من السير على شبكة الانترنت كل يوم أبحث عن أن تفعل شيئا أكثر من أن ملقمات SSH ومحاولة الخروج في كلمات المرور المختلفة. مع مرور آمن ومستقر ليست مشكلة كبيرة ، ولكن هناك شعور أفضل ، حتى لو كان ذلك ممكنا. بالإضافة إلى ذلك ، لأنه يحمي أيضا مستخدميها ، إذا موجود على الخادم وحسابات المستخدم. هنا ، لا يمكنك ثقة من أن المستخدمين يستخدمون كلمات مرور آمنة. denyhosts فحصها باستمرار على تسجيلات سه وأقفال المستخدم لفترة معينة ، والتي دخلت كلمة المرور الخاصة بهم المتكررة بشكل غير صحيح. والملكية الفكرية للمستخدمين انتقل مؤقتا إلى / الخ / hosts.deny ، بحيث لم يعد لديهم إمكانية الحصول على أمر ممكن. هذا SSH Bruteforcing لمهمة طويلة جدا وليس واعدا جدا.

 الرابطة بين الحصول على تثبيت denyhosts

 # Denyhosts يعمل مباشرة بعد التثبيت.  يمكن أن يكون
 # في ضبط الملف / الخ / denyhosts.conf غرامة

4 استخدام القوائم السوداء لحجب المتكاملة مشكلة معروفة

في القوائم السوداء الإنترنت المختلفة والحفاظ عليها ، والتي قائمة على عدد كبير من خوادم الجنائية / المفروم / مرغوب / احتيالية. ويمكن ادخال هذه القوائم الملكية الفكرية مباشرة في جدار الحماية ، بحيث يعرف من هو هذا لا إلى ملقمات موثوق لا علاقة لم يعد من الممكن الخادم الخاص بك. بحيث يمكنك تقليل كمية الرسائل غير المرغوب فيها على الخادم الخاصة بها ، وأيضا بشكل جذري شيئا أو النصي كيدي قفل بها ، لأن وكيل الرئيس الروسي توقف فجأة عن العمل. كيف نفعل ذلك لقد كنت في مقال آخر بلوق وصفت سبيل المثال من القائمة السوداء للInfiltrated.net.

5 لا تستخدم FTP للعمل على الملقم

FTP هو من بقايا أوقات أفضل عندما كانت الإنترنت قرية صغيرة لا يزال موثوق. مدراء العديد من المواقع لا تزال تستخدم FTP لنقل الملفات إلى الخادم أو للعمل على موقعك. للأسف ، وهذا غير مؤكد جدا ، ومنذ FTP ينقل جميع البيانات غير المضمونة. يمكن قراءة كلمات المرور والبيانات دون أية مشاكل في كل مرحلة بين الملقمات والعملاء. وهو أكثر أمانا بكثير مع sshfs. يسمح لتحميل الدليل عبر SSH على النظام الخادم البعيد الملفات المحلية. يمكن للمرء أن يعمل بعد ذلك على الملقم كما لو كان على الكمبيوتر المحلي. الوصول إلى الملفات على كافة الملفات الموجودة على الخادم وشفافة تماما ، بحيث يمكنك أيضا فتح البرنامج ، ورسم صورة محلية على الملقم وتحرير وحفظ مرة أخرى. المزيد من الراحة والأمان دون بذل الكثير من الجهد.

 # تثبيت sshfs
 الرابطة بين الحصول على تثبيت sshfs

 # إنشاء mountpoint على نظام الملفات المحلي
 MKDIR / وسائل الإعلام / MYSERVER

 # لخادم جبل ملف النظام المحلي
 www-data@mein-server.de sshfs : / فار / على شبكة الاتصالات العالمية / وسائل الإعلام / MYSERVER

 الآن # الدليل هو / فار / على شبكة الاتصالات العالمية في خدمة بلدي المحلية تحت / وسائل الإعلام / MYSERVER المتاحة

6 تثبيت التحديثات

وهناك نظام آمن السوبر لن تساعد إذا كان النظام نفسه هو معيب ويمكن استغلالها ثغرة أمنية معروفة. في معظم الحالات ، فإن هذه الثغرات الامنية بسرعة ، وغالبا ما ينسى ، ولكن ، وتحديثات منتظمة لمدراء النظام لجعل. ما إذا كان يجب تمكين التحديثات التلقائية على خوادم لينكس أم لا هي مسألة مثيرة للجدل. وبعض يفعل ذلك أبدا لأنه يعمل بشكل طبيعي مع الكثير من الحظ السيئ قد تكون التحديثات التي تجعل النظام قابل للاستخدام. هذا حدث لي في أكثر من 10 سنوات من العمل على نظم ديبيان ، ولكن ابدا وانا اقدر فوائد التحديثات في الوقت المناسب وبصورة منتظمة ، وهو أعلى بكثير من المخاطر الناجمة عن ذلك.

 # هذا الخط في التحديثات / الخ / crontab ، ساعة النظام كل يوم في 06:00
 0 6 * * * * * الجذر الرابطة بين الحصول على التحديث & & الرابطة بين الحصول على ترقية ذ

عملت هذه طريقة سريعة وقذرة بالنسبة لي حتى الآن دائما جيدة. لقد قرأت مؤخرا أنه في مستودع حزمة ديبيان موجودة أيضا غير المراقب ، ترقيات ، والذي يحل هذه المهمة ربما أكثر من ذلك بقليل أنيقة ، لكنني لم يتم اختباره.

حتى مع وجود تحديثات النظام الآلي بالكامل ، وهذا تماما هو واحد لا ورطتها. إذا كان قد تم تسليم عملية تحديث النواة ، لديك لتمهيد النظام مرة أخرى من جهة ، وإلا فإن التغييرات لن تصبح نشطة.

إذا كان أحد الاستخدامات غير رمز PHP على الخادم ، مثل CMS مفتوحة المصدر أو منتدى ، فمن الضروري للغاية ، بطبيعة الحال ، هذا الرمز أيضا مع إصدارات جديدة محدثة. منذ ديبيان لا تغييرات على التحديث مع تطبيقاتها في هذه القواعد تغطي ، هناك حاجة إلى العمل اليدوي هنا. في أحسن الأحوال ، تقرأ القوائم البريدية من المنتجات ذات الصلة لنكون دائما حتى الآن.

7 PHP open_basedir مع سجن

الخارقة كثيرة استنادا إلى حقيقة أن يستخدم ثغرة في رمز PHP للوصول إلى الملفات في الوصول إلى نظام الملفات التي لا تنتمي إلى الموقع ، ولكن النظام نفسه هو لماذا يجب أن حبس PHP بحيث أنه للقراءة فقط في دلائل معينة على وجه التحديد والكتابة يمكن. لهذا ، فإن الخيار php.ini open_basedir التكوين. PHP لديه خيار الوصول إلى وضع يسمح فقط إلى الدلائل هناك. ملفات مثل passwd / / وما هي بعيدة المنال. استضافة مواقع متعددة على ملقم واحد يجب تعيين open_basedir في كل تكوين VirtualHost لكل صفحة.

 # php.ini العالمية عن طريق :
 # / Etc/php5/apache2/php.ini
 open_basedir = / فار / على شبكة الاتصالات العالمية / : / TMP /

 # لكل موقع في التكوين VirtualHost :
 php_value open_basedir / فار / على شبكة الاتصالات العالمية / موقع / : / TMP /

فمن المهم النظر في ما إذا كان قد تم إضافة كافة المواقع إلى البرامج النصية وعادة ما تحتاج إلى الوصول ، وإلا فإنه قد يكون من أنك وظائف المعوقين والمشروعة للتطبيق PHP.

8 إنشاء المواقع الخاصة بك لمستخدمي ماي

Benutzt die eigene PHP-Applikation MySQL, sollte man unbedingt für die Apllikation einen eigenen MySQL-Benutzer anlegen und auf keinen Fall den MySQL-root-Benutzer für Zugriffe nutzen. Außerdem sollte man die Rechte des Benutzers so weit einschränken, dass wirklich nur noch Operationen erlaubt sind, die das PHP-Skript benötigt. CREATE TABLE und DROP TABLE werden zum Beispiel häufig bei SQL-Injections genutzt und werden in den meisten PHP-Applikationen nie benötigt. Hostet man mehrere Websites mit mehreren Datenbanken auf einem Server, sollte man für alle Datenbanken eigene Benutzer anlegen. So hat ein Angreifer nach einem erfolgreichen Angriff nur Zugriff auf eine der Datenbanken und nicht direkt auf alle. Wenn man nicht die Kommandozeile bemühen möchte, um die MySQL-Useraccounts zu verwalten, funktioniert das Usermanagement auch recht einfach mit PHPmyAdmin unter der Registerkarte "Rechte".

9 PHP Fehlermeldungen abschalten

PHP-Fehlermeldungen können einem Angreifer viel über den eigenen Server verraten: Verzeichnisstrukturen, Datenbankstrukturen, Konfigurationsfehler, etc. Außerdem sehen sie für den Benutzer sehr unprofessionell aus. Aus diesem Grund sollte man sie auf einem Live-Webserver grundsätzlich abschalten, da man sie ohnehin weiterhin in den Logs sehen kann.

# Global per php.ini:
# /etc/php5/apache2/php.ini
display_errors = Off

# Per Site in der VirtualHost Config:
php_flag display_errors Off

# Fehlermeldungen trotzdem lesen:
cat /var/log/apache2/error.log | grep PHP

10 Angriffsfläche für SQL-Injections einschränken mit modSecurity

SQL-injections sind die wohl am häufigsten genutzte Angriffsmethode auf Webserver. Der Zugriff erfolgt direkt über die Webapplikation und es genügt ein Browser um sie durchzuführen. Dabei werden über vom User übermittelte Variablen geschickt SQL-Abfragen eingebaut, die mit den Rechten des Datenbankbenutzers alles an der eigenen Datenbank nach belieben auslesen, löschen oder bearbeiten können. Ein wirklicher echter Schutz gegen SQL-Injections besteht nur, wenn der PHP-Code der Site im Hinblick auf diese Angriffe geschrieben wurde. Jede Variable aus Benutzereingaben, die in eine SQL-Abfrage gelangen könnte, muss geprüft und escaped werden. PHP bietet dafür die Funktion real_mysql_escape_string().

Ist man nicht sicher, ob der Code sauber ist, kann mod_security für den Apache helfen eine große Menge dieser Angriffe trotzdem abzuwehren. mod_security überprüft ständig alle Requests an den Webserver und reagiert auf vorgefertigte Muster mit denen viele SQL-Injection-Angriffe abgewehrt werden können. Leider funktioniert auch mod_security nur gut mit manuellem Aufwand. Oft blockt mod_security nach einer frischen Installation auch gewünschte (normale) Funktionen des eigenen PHP-Codes, so dass einem nichts anderes übrig bleibt, als die komplette Applikation nach der Installation einmal durchzutesten. Nur so findet man heraus, ob mod_security nicht eventuell auch gewünscht Funktionen blockt. Ist das der Fall, muss die Filterliste angepasst werden, so dass die false-positives verschwinden.

Die Konfiguration von mod_security ist etwas komplizierter und würde den Umfang dieses Artikels sprengen, es gibt aber massenweise gute Tutorials zu mod_security im Internet.

11th Ausweiskontrolle - Der Apache sagt nicht mehr, wer er ist
Dies ist keine wirklich wirkungsvolle Methode gegen einen Hack, sie macht es automatisierten Skripten, die nach Server-Versionen suchen aber etwas schwerer. Normalerweise zeigt der Apache auf Seiten mit Fehlermeldungen (zB 404 Not Found) seine Serversignatur.

Apache/2.2.16 (Debian) Server at www.daniel-ritter.de Port 80

So erhalten potentielle Angreifer zumindest schon einmal Informationen über den eigesetzten Webserver und den Versionsstand. Die Serversignatur ist schnell ausgeschaltet:

#/etc/apache2/conf.d/security
ServerSignature Off

12TH Nicht benutze Apache-Module deaktivieren

Per default hat der Apache einige Module geladen, die fast nie benötigt werden. Unter Debian findet man die geladenen Module
als Softlinks in /etc/apache2/mods-enabled.

Fast immer entfernt werden können:

mod_cgi

Dient dem ausführen von CGI-Skripten. Diese Technik stammt noch aus den Urzeiten des Web und war der Vorvater der modernen Skriptsprachen um dynamische Webseiten zu ermöglichen. mod_cgi ist auf 99% der PHP-Websites unnötig und bei einer fehlerhaften Apache-Config eine potentielle Sicherheitslücke

a2dismod cgi

mod_status

Ermöglicht es Browsern Statusinformationen über den Apache auszulesen. Es wird so gut wie nie für "normale" Sites genutzt, bietet Angreifern aber Statusinformationen über den Apache.

a2dismod status

mod_autoindex

mod_autoindex sorgt dafür, dass Verzeichnisse auf dem Webserver aufgelistet werden können, wenn es keine gültige Index-Seite in dem entsprechenden Verzeichnis gibt. Falls diese Funktionalität nicht erwünscht ist, sollte man sie abschalten, da durch sie ganze Verzeichnisbäume auf dem Webserver nach aussen sichtbar werden können.

a2dismod autoindex