Útmutatók: PHP- és szerverbiztonság
Szakcikkek rendszergazdáknak és fejlesztőknek: webshellek felismerése, a php.ini megerősítése, naplók elemzése, biztonságos programozás.
PHP2Shell idővonal: kronológia 2026. október 17-től 25-ig
A PHP2Shell összes igazolt dátuma egy áttekintésben, az első megfigyelt támadási kísérlettől a 2026. 10. 25-i állapotig, és hogy mi következik ebből a vizsgálatára nézve.
Tovább olvasom →02A tárhelyszolgáltató PHP-frissítési igazolása: így kérdezzen rá a javítási állapotra
A kijelzett PHP-verzió a PHP2Shell után keveset bizonyít. Ezzel a mintával olyan igazolást kérhet a tárhelyszolgáltatójától, amelyet dokumentálni tud.
Tovább olvasom →03Webshell felismerése és eltávolítása
Hogyan találja meg a hátsó ajtókat PHP-s webszervereken a nyomok megsemmisítése nélkül, és miért ritkán elég önmagában a törlés.
Tovább olvasom →04WordPress backdoor keresése: a hátsó ajtók módszeres felderítése
Hol szoktak elrejtőzni a hátsó ajtók a WordPressben, és hogyan deríthetik fel módszeresen az adminok WP-CLI-vel és néhány paranccsal.
Tovább olvasom →05A php.ini biztonságos beállítása
Mely php.ini-beállítások csökkentik a támadási felületet, hogyan védheti meg őket a felülírástól, és mi érvényes a PHP2Shell után még.
Tovább olvasom →06A PHP disable_functions helyes használata
A disable_functions-szal kockázatos PHP-függvényeket tilt le. Hogyan állítsa be a listát az alkalmazásához illően, anélkül hogy megbénítaná a weboldalt.
Tovább olvasom →07open_basedir és weboldalankénti elkülönítés
Hogyan akadályozhatja meg az open_basedirrel, saját rendszerfelhasználókkal és külön PHP-FPM-poolokkal, hogy egy weboldal feltörése a szerver összes többi oldalát is érintse.
Tovább olvasom →08Fájljogosultságok a webszerveren
Miért nem módosíthatja a webszerver a saját kódját, mely jogok célszerűek fájlokra és mappákra, és hogyan ellenőrizheti gyorsan a pillanatnyi állapotot.
Tovább olvasom →09composer audit: a függőségek ellenőrzése résekre
Hogyan találják meg a fejlesztők a composer audit-tal a könyvtárakban lévő ismert biztonsági réseket, hogyan automatizálják az ellenőrzést, és kerülik el a tipikus deployment-hibákat.
Tovább olvasom →10PHP End of Life: az elavult verziók kockázatai
Mit jelent egy PHP-verzió támogatásának megszűnése, mely ágak kapnak a PHP2Shell után még hivatalos javításokat, és hogyan teheti tervezhetővé a migrációt.
Tovább olvasom →11SQL-injection megelőzése PHP-ban
Hogyan zárják ki a fejlesztők megbízhatóan az SQL-injectiont a PHP-alkalmazásokban Prepared Statementekkel, engedélylistákkal és minimális adatbázisjogokkal.
Tovább olvasom →12XSS megelőzése PHP-ban: a Cross-Site Scripting biztonságos kivédése
Hogyan előzik meg a fejlesztők a Cross-Site Scriptinget PHP-alkalmazásokban: környezethez illő kódolás, automatikus escape-elés a sablonokban, a HTML megtisztítása és egy Content Security Policy.
Tovább olvasom →13Fájlfeltöltések biztonságos megvalósítása PHP-ban: PHP-feltöltés biztonsága
A feltöltési űrlapok a webshellek gyakori útja. Így ellenőrizze helyesen a fájltípusokat, tárolja biztonságosan a fájlokat, és akadályozza meg, hogy a szerver végrehajtsa a feltöltött szkripteket.
Tovább olvasom →14Munkamenetek védelme PHP-ban: a PHP-munkamenet biztonsága a gyakorlatban
A munkamenetek bejelentkezve tartják a felhasználókat, ezért értékes célpontok. Így állítsa be biztonságosan a cookie-kat, a session-azonosítókat és a tárolási helyeket, és hajtsa végre a PHP2Shell upload progress figyelmeztetését.
Tovább olvasom →15Nem biztonságos deszerializáció PHP-ban: unserialize és biztonság
Az unserialize() idegen adatokkal a legrosszabb esetben kódfuttatáshoz vezethet. Így cserélje JSON-ra, korlátozza, ahol maradnia kell, és találja meg a kockázatos helyeket a kódban.
Tovább olvasom →16Local File Inclusion megelőzése PHP-ban: LFI és RFI
Ha az include vagy a require a kérésből veszi át az útvonalakat, a támadók idegen fájlokat tölthetnek be. Így építse fel biztonságosan az oldalválasztást és a sablonokat, és védje meg ezen felül a szervert.
Tovább olvasom →17Admin bejelentkezések védelme brute force ellen: brute force védelem minden bejelentkezéshez
Az automatizált jelszópróbálkozások minden elérhető bejelentkezési oldalt érintenek. Így lassíthatja a támadókat rate limitinggel és Fail2bannel, védheti a fiókokat második faktorral, és tárolhatja helyesen a jelszavakat.
Tovább olvasom →18DDoS vagy hackertámadás? A támadások helyes besorolása
Lassú weboldal, magas terhelés, furcsa fájlok: hogy mögötte DDoS vagy behatolás áll-e, az dönti el a helyes reakciót. Így sorolja be a helyzetet néhány ellenőrzéssel.
Tovább olvasom →19Webszerver-naplók kiértékelése egy támadás után: az access-napló helyes olvasása
A naplófájlok egy támadás után gyakran a legfontosabb nyomok. Így mentse helyesen az access-, error- és PHP-naplókat, találja meg a feltűnő kéréseket, és kerülje el a kiértékelés tipikus hibáit.
Tovább olvasom →20Kétfaktoros hitelesítés beállítása admin hozzáférésekhez
Egy ellopott jelszó nem lehet elég ahhoz, hogy átvegyék a szerverét vagy a webshopját. Így választhatja ki a megfelelő eljárást, védheti az összes admin hozzáférést, és tervezheti meg a vészhozzáféréseket.
Tovább olvasom →21Mentési stratégia szerverhez: mentések a 3-2-1 szabály szerint
Egy mentés csak akkor segít, ha túléli a támadást, és visszatölthető. Így valósítsa meg a 3-2-1 szabályt webszerverekhez, és tervezze helyesen a megőrzést és a teszteket.
Tovább olvasom →22Biztonsági fejlécek weboldalakhoz: security header helyes beállítása
A biztonsági fejlécek utasítják a böngészőt, hogy jobban védje a látogatóit. Így állítsa be a legfontosabb fejléceket Nginxben és Apache-ban, vezesse be fokozatosan a Content Security Policyt, és ellenőrizze az eredményt.
Tovább olvasom →23A Google „Ezt a weboldalt feltörték“ figyelmeztetésének eltávolítása
A keresési találatokban megjelenő feltörés-figyelmeztetés látogatókba és bizalomba kerül. Így tisztítsa meg alaposan a weboldalt, találja meg a rejtett spam-oldalakat, és kérjen felülvizsgálatot a Search Console-ban.
Tovább olvasom →24Ellenőrzőlista egy feltörés után: 20 pont az utómunkához
Egy támadás után a helyes sorrend számít. Ez az ellenőrzőlista 20 pontban vezet végig a megfékezésen, a bizonyítékmentésen, a megtisztításon, az új hozzáféréseken, a kötelezettségeken és a dokumentált lezáráson.
Tovább olvasom →Minden óra számít. Írjon nekünk most.
Ismertesse röviden a rendszert, a PHP-verziót és a megfigyelését. Jelentkezünk, tisztázzuk a helyzetet, és távolról dolgozunk, amíg az incidens le nem zárul és dokumentálva nem lesz.