Limistéir riaracháin a scagadh le IP, VPN nó cosaint bhreise

Go achomair: Cosnaíonn tú an limistéar riaracháin is éifeachtaí trí gan é a oscailt ach do líonraí aitheanta: le liosta ceadaithe IP sa fhreastalaí gréasáin, trí VPN le seoladh amach seasta nó le dara logáil isteach roimh ré. Tá tábhacht ag liosta iomlán de na seoltaí bainistíochta go léir, láimhseáil cheart seachfhreastalaithe agus CDNanna, agus tástáil ón taobh amuigh. Cuireann an scagadh le fíordheimhniú dhá fhachtóir agus le nuashonruithe; ní thagann sé ina n-ionad.

Cén fáth a bhfuil an cúlra oscailte ar chor ar bith?

I a lán cuideachtaí, rinne riarthóirí PHP a nuashonrú an tseachtain seo caite agus atosaigh siad oibrithe. An té a bhreathnaíonn ar na logaí rochtana ina dhiaidh sin, aimsíonn sé rud eile go minic: bíonn leathanach logála isteach an CMS, an uirlis bunachair sonraí agus painéal an óstála á n-iarraidh ó gach cearn den domhan, de lá is d'oíche. Ach níl siad de dhíth ach ar dornán daoine san fhoireann féin.

Is dromchla ionsaithe gach ceann de na seoltaí seo. Triailtear foirmeacha logála isteach, bíonn leochaileachtaí dá gcuid féin in uirlisí riaracháin, agus is minic nach ndéantar forlíontáin don chúlra a sheiceáil chomh maith le croí CMS. Mura sroicheann strainséirí na limistéir seo ar chor ar bith, téann a lán ionsaithe in aisce sula dtosaíonn siad.

Go hionraic: i gcoinne PHP2Shell féin ní chabhraíonn sé seo mórán. Tá na leochaileachtaí san ateangaire agus, de réir php.net, is féidir iad a spreagadh gan logáil isteach trí leathanaigh PHP phoiblí. Is cruatú buan é an cúlra a scagadh, ní paiste éigeandála.

Limistéar riaracháin a chosaint le IP, VPN nó dara logáil isteach

Níl aon mhodh ceart amháin ann. Is é an rud a chinneann é ná an chaoi a n-oibríonn d'fhoireann agus cá ritheann an suíomh gréasáin.

Sa chleachtas oibríonn meascán go maith: ceadú don VPN nó don líonra cuideachta amháin, móide dara logáil isteach mar chúltaca. Fanann an fíorlogáil isteach sa CMS le fíordheimhniú dhá fhachtóir, mar a thuairiscítear sa treoir Fíordheimhniú dhá fhachtóir do rochtain riaracháin.

Cé na seoltaí a bhaineann leis an gcúlra, i ndáiríre?

Ní an teicneolaíocht an laige is minice, ach liosta neamhiomlán. Dá bhrí sin lean an t-ord seo:

1. Leathanaigh logála isteach an CMS nó an tsiopa a thaifeadadh, seoltaí logála isteach malartacha a chruthaíonn forlíontáin san áireamh.
2. Uirlisí riaracháin a lorg: comhéadain bunachair sonraí, bainisteoirí comhad, scripteanna suiteála, leathanaigh stádais agus monatóireachta.
3. Painéil óstála agus freastalaí a chur san áireamh, a ritheann go minic ar phoirt dá gcuid féin.
4. Cásanna tástála agus stáitseála a sheiceáil, a úsáideann na sonraí logála isteach céanna go minic leis an suíomh beo.
5. Comhéadain a theorannú: Glaoitear ar chosáin áirithe cúlra ón tosach poiblí freisin, mar shampla le haghaidh iarratais Ajax. Ní ceart duit iad a bhlocáil go dall, nó brisfear foirmeacha nó cártaí siopadóireachta.

Is é pointe a cúig an chúis a gcaithfear scagadh a thástáil i gcónaí. In WordPress, mar shampla, úsáidtear comhad san fhillteán riaracháin le haghaidh feidhmeanna poiblí freisin.

Cumraíocht: liosta ceadaithe IP móide dara logáil isteach

Faoi Nginx is féidir an dá choinníoll a chomhcheangal. Le satisfy all caithfidh iarratas teacht ó líonra ceadaithe agus an dara logáil isteach a rith ina theannta sin. Is sealbhóirí áite iad an cosán, na seoltaí agus an tarchur PHP:

location ^~ /backend/ {
    satisfy all;

    allow 192.0.2.0/24;      # líonra na cuideachta (sealbhóir áite)
    allow 198.51.100.10;     # slí amach VPN (sealbhóir áite)
    deny  all;

    auth_basic           "Interner Bereich";
    auth_basic_user_file /etc/nginx/htpasswd-backend;

    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass unix:/run/php/php-fpm.sock;
    }
}

Tá an location PHP neadaithe tábhachtach: le ^~ ní mheastar rialacha eile do .php a thuilleadh. Faoi Apache baineann tú an toradh céanna amach le bloc inar gá don dá choinníoll a bheith fíor:

<Location "/backend">
    AuthType Basic
    AuthName "Interner Bereich"
    AuthUserFile /etc/apache2/htpasswd-backend
    <RequireAll>
        Require ip 192.0.2.0/24 198.51.100.10
        Require valid-user
    </RequireAll>
</Location>

Is ceart an comhad pasfhocal a bheith lasmuigh den webroot. Seolann an dara logáil isteach sonraí rochtana lena iarratas gach uair, mar sin ní úsáid ach thar HTTPS.

Na ceapacha: CDN, seachfhreastalaí, IPv6 agus obair sa bhaile

Má tá do shuíomh gréasáin taobh thiar de CDN ar nós Cloudflare nó de chothromóir ualaigh, ní fheiceann an freastalaí gréasáin ar dtús ach a sheoltaí. Ansin bhacfadh liosta ceadaithe IP gach duine nó cheadódh sé gach duine. Caithfidh an freastalaí gréasáin an fíorsheoladh a ghlacadh ó cheanntásc, faoi Nginx le set_real_ip_from agus real_ip_header, faoi Apache le mod_remoteip.

Is é an riail: ná glac leis an gceanntásc ach ó sheoltaí do sheachfhreastalaí féin. Seachas sin is féidir le gach cuairteoir bunús ar bith a ligean air. Tá sé chomh tábhachtach céanna nach bhfuil an bunfhreastalaí inrochtana go díreach, mar seachas sin is féidir an seachfhreastalaí lena rialacha a sheachbhóthar. Tá nótaí faoi seo ag Balla dóiteáin do fhreastalaithe gréasáin.

Is minic a fhágtar dhá phointe eile as an áireamh. Má tá an freastalaí inrochtana trí IPv6, teastaíonn iontráil ó sheoltaí IPv6 do líonra freisin, nó tagann riarthóirí le IPv6 roimh bhac. Agus athraíonn naisc idirlín phríobháideacha a seoladh go rialta. Do obair sa bhaile agus do sholáthraithe seirbhíse seachtracha is minic gurb é VPN an réiteach is cobhsaí.

Conas a sheiceálann tú an n-oibríonn an scagadh

Ní mheastar riail nár tástáladh mar riail curtha i bhfeidhm. Seiceáil ó nasc lasmuigh de líonra na cuideachta, mar shampla thar an líonra soghluaiste:

# Ag súil le: 403 (bactha) nó 401 (dara logáil isteach á héileamh)
curl -s -o /dev/null -w "%{http_code}\n" https://www.example.de/backend/
# Seiceáil comhaid PHP go díreach freisin, ní hamháin an eolaire
curl -s -o /dev/null -w "%{http_code}\n" https://www.example.de/backend/index.php

Ina dhiaidh sin na glaonna céanna ó líonra na cuideachta nó ón VPN: ansin caithfidh an leathanach a bheith inrochtana. Ansin seiceáil an tosach poiblí, is é sin foirmeacha, cuardach agus cairt siopadóireachta. Sna logaí sna laethanta ina dhiaidh sin ba cheart nach dtaispeánfar rochtain ar sheoltaí riaracháin ach amháin le stádas 401 nó 403 beagnach.

Más rud é go raibh an limistéar oscailte go dtí seo, is fiú breathnú ar na cuntais atá ann cheana. Conas riarthóirí anaithnide a aimsiú, déanann Cuntais riaracháin choimhthíocha a aimsiú sa CMS agus ar an bhfreastalaí cur síos air. Mar fhorlíonadh, moillíonn cosaint i gcoinne iarrachtaí mórchóirithe, féach Logálacha isteach riaracháin a chosaint i gcoinne brute force.

Conas a chabhraíonn PHP SOS go nithiúil?

• Taifeadaimid seoltaí bainistíochta do shuíomhanna gréasáin, painéal agus uirlisí go léir agus scarann muid iad ó na cosáin a bhfuil gá leo go poiblí.
• Roghnaímid leat an modh ceart, ag brath ar mhéid na foirne, obair sa bhaile agus óstáil.
• Cuirimid na rialacha i bhfeidhm sa fhreastalaí gréasáin, cuirimid CDN, seachfhreastalaí agus IPv6 san áireamh agus coinnímid cúlbhealach oscailte.
• Déanaimid tástáil ón taobh amuigh agus ón taobh istigh agus tugaimid cáipéisíocht ghairid duit leis na líonraí ceadaithe.

Tá scagadh limistéar riaracháin mar chuid dár gcruatú freastalaí do fhreastalaithe gréasáin PHP.

Ceisteanna coitianta

Foinsí

• OWASP Cheat Sheet Series
• Doiciméadú Nginx
• Freastalaí HTTP Apache: doiciméadú