Textpattern - на русском языке

форум общения русскоязычных пользователей CMS Текстпаттерн

Вы не зашли.

#1 11-03-2007 15:57:29

Evgeny
ять
Зарегистрирован: 15-03-2005
Сообщений: 1869

Лекарство против страха - доп.заслон от злоумышленника

Не раз уже на форуме возникал вопрос про взломоустойчивость ТхП
И ответ всегда один - Пока взломов не отмечено.

Не забываем, что ТхП не позволяет свободную регистрацию всех подряд и это само по себе придает устойчивость системе.
Доступ к любой из страниц сайта ничего не дает агрессору, т.к. страницы сайта отделены от администрирования.

И тем не менее червячок сомнения всегда имеет место быть.

Давно зрел вопрос - как поставить дополнительный заслон для админ.панели ТхП, используя средства сервера?
Вот здесь было предложено 2 пути:
1. доступ по IP
2. дополнительная серверная авторизация.

Жаль, что кроме предложения ничего не последовало.

По первому варианту вопрос остался открытым, а вот по второму есть работающий вариант.

Необходимо, чтобы сервер, где установлен ТхП, поддерживал паролирование директорий, т.н. базовую аутентификацию.

Итак - решение.
1. создаем файл .htpasswd (если не знаем как создавать - можно просто скопировать уже готовый, если где на сервере применяется паролирование директорий и Вы знаете какой там прописан логин-пароль.) Через ftp заливаем этот файл в каталог /textpattern/
2. создаем файл .htaccess (в любом текстовом редакторе), куда вносим следующие строки:

Код:

AuthType Basic
AuthUserFile /polnyi/absolutnyi/put`/k_vashemu_saitu_na_servere/textpattern/.htpasswd
AuthName "vrag ne proidet!"
require valid-user

и заливаем через ftp этот файл в каталог .../textpattern/...
Важно!  в строке переменной AuthUserFile должен быть указан ПОЛНЫЙ АБСОЛЮТНЫЙ путь на сервере к вашему сайту

проверяем: заходим через броузер в админ.панель - должно выскочить окошко, предлагающее ввести логин-пароль.

Если все ок, то после ввода логина-пароля входим в админку ТхП.

P.S. Если что непонятно, прежде чем начать экспериментировать - лучше спросите здесь.
Успехов!

Неактивен

 

#2 12-03-2007 02:54:42

AngryCAT
ферт
Откуда: Германия
Зарегистрирован: 18-04-2006
Сообщений: 486
Вебсайт

Re: Лекарство против страха - доп.заслон от злоумышленника

Только, нужно еще не забыть залить туда е файл .htpasswd, который можно сгенерить, например ЗДЕСЬ
А то без этого файлика все вышеописанное работать не будет.


TextPattern строить и жить помогает! Кстати, пишу плагины на заказ. ICQ 155-08-081. В асю, пожалуйста, по поводу заказов или платных консультаций (10$ час). Остальные вопросы в форум или на почту.

Неактивен

 

#3 12-03-2007 10:25:21

Evgeny
ять
Зарегистрирован: 15-03-2005
Сообщений: 1869

Re: Лекарство против страха - доп.заслон от злоумышленника

Похоже - я слегка поторопился...
Решение не идеально...
следствия экспериментов вызывают вот такой эффект: http://textpattern.ru/forum/viewtopic.php?id=1172

причина понятна (к сожалению-  только сегодня дошло :-( )
на textpattern.ru вызываются стили через файл: http://textpattern.ru/textpattern/css.php
который, вследствии вышеприведенных манипуляций, оказывается запароленным.

вывод - либо выносить css файл отдельно, либо дальше разбираться с htaccess и искать способ исключить из авторизации файл .../textpattern/css.php

Неактивен

 

#4 08-05-2008 14:24:55

Conwell
глаголь
Зарегистрирован: 14-05-2007
Сообщений: 36

Re: Лекарство против страха - доп.заслон от злоумышленника

По поводу ограничения доступа по IP, можно добавить в .htaccess такие строки:

Код:

Order Deny,Allow
Deny from all
Allow from 10.10.0.1

Что позволит сначала все запретить доступ к директориям находящимся внутри и разрешить доступа только с ip 10.10.10.1
Плюс к этому можно добавить запрет на доступ к файлам:

Код:

<FilesMatch "\.(html|php)$">
Order Deny,Allow
Deny from all
Allow from 10.10.0.1
</FilesMatch>

Что запретит доступ всем пользователям за исключением тех, чей IP 10.10.0.1, ко всем файлам, имеющим расширение html или php. Можно указать неограниченное количество расширений, разделяя их знаком < | >.

Неактивен

 

#5 08-05-2008 14:54:11

Evgeny
ять
Зарегистрирован: 15-03-2005
Сообщений: 1869

Re: Лекарство против страха - доп.заслон от злоумышленника

Conwell написал:

позволит сначала все запретить доступ к директориям находящимся внутри и разрешить доступа только с ip 10.10.10.1

аккуратнее с этим.
файл css.php лежит внутри директории textpattern
к нему доступ тоже будет ограничен у всех пользователей, кроме ip 10.10.10.1

P.s. замечание относится к верхнему коду

Отредактированно Evgeny (08-05-2008 14:55:08)

Неактивен

 

#6 08-05-2008 15:18:39

Conwell
глаголь
Зарегистрирован: 14-05-2007
Сообщений: 36

Re: Лекарство против страха - доп.заслон от злоумышленника

Evgeny, в таком случае правильнее использовать только вторую часть, по маске файлов уже там задавая исключения.
Чтобы получилось что-то вроде:

Код:

<FilesMatch "css.php">
Order Allow, Deny
Allow from all
</FilesMatch>
<FilesMatch "\.(html|php)$">
Order Deny,Allow
Deny from all
Allow from 10.10.0.1
</FilesMatch>

Неактивен

 

#7 10-05-2008 14:53:27

Evgeny
ять
Зарегистрирован: 15-03-2005
Сообщений: 1869

Re: Лекарство против страха - доп.заслон от злоумышленника

Conwell, спасибо за код! обязательно попробую.

Неактивен

 

#8 16-08-2008 22:59:01

80689248440
земля
Откуда: Симферополь
Зарегистрирован: 07-08-2008
Сообщений: 112
Вебсайт

Re: Лекарство против страха - доп.заслон от злоумышленника

Пробую


Хочешь заработать - спроси меня как!

Неактивен

 

Board footer

RSS   Rambler's Top100
Powered by PunBB
Textpattern.ru