سوالها و مشکلات : آموزش قدم به قدم امنیت وردپرس

[mr.browser 24]

نه ضرر نداره بلکه مفید هم است شما میتونید در اون فایل سطح دسترسی و خیلی چیزهای دیگه ببندید تا برای امنیت مناسب باشد

هر عدد نشان دهنده یک سطح دسترسی به اون فایل میباشد

خواندن / نوشتن / اجرا شدن

و شامل 3 دسته میباشد / گروه / شخص / دیگران

و هر عدد شامل یک از موارد بالا میباشد

درضمن شما با 444 کردن تغییرات برای گروه های دیگر میگیرید و فقط به خود و اجرا شدن میدهید

خوب اینجوری برای

فایل wp-config.php

سطح دسترسی 640 بهتر نیست ؟ کاربر نمیتونه بخونه، وردپرس میتونه بخونه، مدیر هم میتونه بخونه.

اما سوال: فایل ها دیگه هم نیاز سطح دسترسی رو تغییر داد منظور برای اینکه سطح دسترسی

wp-config.php رو تغییر بدم برای سازگاری و ... ؟

[سیدرضا بازیار 257]

خوب اینجوری برای

فایل wp-config.php

سطح دسترسی 640 بهتر نیست ؟ کاربر نمیتونه بخونه، وردپرس میتونه بخونه، مدیر هم میتونه بخونه.

اما سوال: فایل ها دیگه هم نیاز سطح دسترسی رو تغییر داد منظور برای اینکه سطح دسترسی

wp-config.php رو تغییر بدم برای سازگاری و ... ؟

[Black_Sky 6,315]

خوب اینجوری برای

فایل wp-config.php

سطح دسترسی 640 بهتر نیست ؟ کاربر نمیتونه بخونه، وردپرس میتونه بخونه، مدیر هم میتونه بخونه.

اما سوال: فایل ها دیگه هم نیاز سطح دسترسی رو تغییر داد منظور برای اینکه سطح دسترسی

wp-config.php رو تغییر بدم برای سازگاری و ... ؟

640 یعنی 6 نوشتن هم دادید به یکی از گروه ها اما 400 یا 444 کلا سطح دسترسی از هر گروهی میگیرید (توضیحات گروه ها داده شده است)

درضمن شما میتونید توی آموزش ها اسم wp-config.php به mahdi.php تغییر بدید و یک فایل تقلبی در داخل اون wp-config.php قرار دهید

[mr.browser 24]

خوب این 6 از 4 و 0 جداست، 6 ماله بوزر اصلی هست یعنی بالاترین سطح دسترسی در هاست که فقط مدیر داره.

حال سوال من اینه که چه فایل هایی (فایل های اصلی و مهم) ار وردپرس را تغییر سطح دسترسی بدم برای امنیت و اگر باید تنظیم خاص دیگری انجام بدم برای اینکه مشکلی در اجرای وردپرس و فراخوانی فایل ها و بارگذاری سایت پیش نیاد، لطفا دراین باره راهنمایی و توضیح دهید.

[mr.browser 24]

دوستان اگه امکان داره سوال قبلی منو جواب بدیدو درباره کدهای

TRACE and TRACK بکی از کاربرا پرسیده بود این قابلیت چیه و چرا باید اون تغییرات رو انجام بدیم اما کسی توضیحی نداده بود اینم جواب بدید.

- با تشکر

[Black_Sky 6,315]

خوب این 6 از 4 و 0 جداست، 6 ماله بوزر اصلی هست یعنی بالاترین سطح دسترسی در هاست که فقط مدیر داره.

حال سوال من اینه که چه فایل هایی (فایل های اصلی و مهم) ار وردپرس را تغییر سطح دسترسی بدم برای امنیت و اگر باید تنظیم خاص دیگری انجام بدم برای اینکه مشکلی در اجرای وردپرس و فراخوانی فایل ها و بارگذاری سایت پیش نیاد، لطفا دراین باره راهنمایی و توضیح دهید.

قبلا در قسمت آموزش امنیت سطح دسترسی ها توضیح داده شده است

تغییر دادن فایل ها مثل تغییر نام برای امنیت مناسب است اما چون وردپرس همیشه نسخه جدید دارد با آپدیت به مشکل میخورید و باید تغییرات دوباره انجام بدید و یا سطح دسترسی به کمترین حالت برسونید تا فایل تغییر نکند

دوستان اگه امکان داره سوال قبلی منو جواب بدیدو درباره کدهای

TRACE and TRACK بکی از کاربرا پرسیده بود این قابلیت چیه و چرا باید اون تغییرات رو انجام بدیم اما کسی توضیحی نداده بود اینم جواب بدید.

- با تشکر

trace and track http methods

یک روش هک که مشابه و جز روش XSS بوده که میتوان داده های ارسال شده از Client و به server دریافت کرد

و برای جلوگیری از این باگ از آن روش استفاده میکنند

آموزش هم در لینک زیر :

https://publib.bould...http_trace.html

ویرایش شده در اردیبهشت 93 توسط Black_sky
تکمیل شد

[mr.browser 24]

ممنون از راهنماییتون، فقط یک سوال کدهای که اون دوست عزیز قرار دادن به این صورت است.

# disable TRACE and TRACK in the main scope of httpd.conf
RewriteEngine On
RewriteCond %{REQUEST_METHOD} ^TRACE
RewriteRule .* – [F]
RewriteCond %{REQUEST_METHOD} ^TRACK
RewriteRule .* – [F]
<VirtualHost www.example.com># disable TRACE and TRACK in the [url]www.example.com[/url] virtual host
RewriteEngine On
RewriteCond %{REQUEST_METHOD} ^TRACE
RewriteRule .* – [F]
RewriteCond %{REQUEST_METHOD} ^TRACK
RewriteRule .* – [F]
</VirtualHost>
#

و کدهای لینکی که دادید به این صورت:

...
# disable TRACE and TRACK in the main scope of httpd.conf
RewriteEngine On 
RewriteCond %{REQUEST_METHOD} ^TRACE 
RewriteRule .* - [F] 
RewriteCond %{REQUEST_METHOD} ^TRACK
RewriteRule .* - [F] 
...
<VirtualHost www.example.com>
...
# disable TRACE and TRACK in the www.example.com virtual host
RewriteEngine On 
RewriteCond %{REQUEST_METHOD} ^TRACE 
RewriteRule .* - [F] 
RewriteCond %{REQUEST_METHOD} ^TRACK
RewriteRule .* - [F] 
</VirtualHost>

کدام کد صحیح است، و آیا به جای این آدرس www.example.com لینک سایت خود یا میزبان رو باید گذاشت ؟

- با تشکر

ویرایش شده در اردیبهشت 93 توسط wp_old

[mr.browser 24]

سلام

اگر امکان دارد سوال رو جواب بدید، چند روز گذشته از آخرین پاسخم.

و سوال دیگر آیا کدهای زیر مانع بارگذاری و یا مشکلی نمیشوند؟ (چون از طریق google/webmasters چک کردم ز قسمت Crawl Errors دو ارور Access denied داشتم اونم به فایل تصاویر بود، حال برای همین این سوال را کردم آیا مربوط میشود یا خیر) از جمله کد آخر

مثلا به این لینک ارور داده بود:

sitename.com/image/Software/

403 Forbidden

Access to this resource on the server is denied!

Powered By LiteSpeed Web Server

LiteSpeed Technologies is not responsible for administration and contents of this web site!

امنیت پوشه wp-includes را بکمک قرار دادن کدهای زیر (در .htaccess) بالاتر ببرید:

# Block the include-only files.
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]

امنیت فایل wp-config.php را بکمک قرار دادن کدهای زیر (در .htaccess) بالاتر ببرید:

<files wp-config.php>
order allow,deny
deny from all
</files>

امنیت فایل

htaccess

را بکمک قرار دادن کدهای زیر (در .htaccess) بالاتر ببرید:

<Files .htaccess>
order allow,deny
deny from all
</Files>

دسترسی به پوشه ها را ببندید

این فرمان را به فایل .htaccess اضافه کنید و کاربر با دسترسی به هر دایرکتری در سایت شما با صفحه ۴۰۴ مواجه می شود:

# Stop Directory listening
Options -Indexes

- با تشکر

ویرایش شده در اردیبهشت 93 توسط wp_old

[Black_Sky 6,315]

آیا به جای این آدرس

www.example.com لینک سایت خود یا میزبان رو باید گذاشت ؟

بله

کدام کد صحیح است،

توضیحات قبلش بخوانید منظور بنده متوجه میشید

هر 2 خط مشابه همدیگر هستند و باز نویسی ها تکرار شده است

و سوال دیگر آیا کدهای زیر مانع بارگذاری و یا مشکلی نمیشوند؟

نه مشکلی ایجاد نمیکنه چون فولدر که امنیت گذاری کردیم ارتباطی با تصاویر ندارد

درضمن موارد بالا که گفتید در بخث آموزش داده شده است

[mr.browser 24]

ممنون از پاسختونبله در آموزش اشاره شده بود، فقط من متوجه نشدم اگر آدرس سایت من با http باشه باید به صورت http در لینک جایگزین کرد یا www و با http://www ؟ و بجای هر دو لینک example.com باید آدرس سایت باشه یا میزبان/سرور ؟

و این کد زیر دلیل این ارور زیر نبوده است ؟

sitename.com/image/Software/

403 Forbidden

Access to this resource on the server is denied!

Powered By

LiteSpeed Web Server

LiteSpeed Technologies is not responsible for administration and contents of this web site!

دسترسی به پوشه ها را ببندید

این فرمان را به فایل .htaccess اضافه کنید و کاربر با دسترسی به هر دایرکتری در سایت شما با صفحه ۴۰۴ مواجه می شود:

# Stop Directory listening
Options -Indexes

ویرایش شده در اردیبهشت 93 توسط wp_old

[عبدالماجد 3,190]

این دستور دایرکتوری لیستینگ رو متوقف میکنه.

یعنی مثلا آدرس یک پوشه از سایت رو بزنید تا محتویاتش رو ببینید و اون پوشه فایل ایندکس نداشته باشه به جای مشاهده محتوای موجود داخل اون، با ارور 403 یعنی عدم دسترسی مواجه میشه و نمیتونه محتوا رو بررسی کنه.

[mr.browser 24]

ممنون از راهنماییتون، این یعنی خوبه دیگه این کد فایل ها و پوشه هایی که دلیل نداره کاربر ببینه رو خودش میبنده درسته ؟

فقط این سوال کد TRACE and TRACK رو جواب بدید ممنون میشم.

اگر آدرس سایت من با http باشه باید به صورت http در لینک جایگزین کرد یا www و با

http://www ؟ و بجای هر دو لینک example.com باید آدرس سایت باشه یا آدرس میزبان/سرور ؟

ویرایش شده در اردیبهشت 93 توسط wp_old

[Black_Sky 6,315]

نباید بتونه چون ممکنه بتونه فایل های شما به راحتی کپی کنه و ......

اگر آدرس سایت من با http باشه باید به صورت http در لینک جایگزین کرد یا www و با

http://www ؟ و بجای هر دو لینک example.com باید آدرس سایت باشه یا آدرس میزبان/سرور ؟

فرقی نمیکند معمولا با www میباشد اما این کدها همیشه با مثال هستند و طبق مثال انجام دهید

[iman64 32]

دسترسی به پوشه wp-content رو با این دستورات محدود کنید!

یک فایل به اسم .htaccess در wp-content ایجاد کرده و دستورات زیر رو درون او قرار دهید!

Order Allow,Deny
Deny from all
<files ?.(jpg|gif|rar|jpge|mp3|zip|png|js|css)$? ~>
Allow from all
</files>

با این کار استایل سایتم لود نمیشه . سطح دسترسی پوشه مورد نظر هم 755 هست

[iman64 32]

دسترسی به پوشه wp-content رو با این دستورات محدود کنید!

یک فایل به اسم .htaccess در wp-content ایجاد کرده و دستورات زیر رو درون او قرار دهید!

Order Allow,Deny
Deny from all
<files ?.(jpg|gif|rar|jpge|mp3|zip|png|js|css)$? ~>
Allow from all
</files>

این کار رو انجام دادم اما استایل لود نمیشود

[\.:MbOy2050:./ 5]

دوستان این دو کد زیر رو که گفتید تو htaccess بزارم ، مشکلی برای گوگل و ... پیش نمیاره ؟

<files wp-config.php>
order allow,deny
deny from all
</files>


<Files .htaccess>
   order allow,deny
   deny from all
</Files>

[حسین شفیعیان 898]

خیر مشکلی برای گوگل پیش نمیاد

[Black_Sky 6,315]

گوگل نیار به اطلاعات مربوط به دیتابیس و ... شما ندارد و مشکلی پیش نمیاد اما اگر به صورت صحیح کدها قرار نگیرد برای شما مشکل پیش میاد

البته این کد فقط مخفی کردن و یا کم کردن سطح دسترسی هست و چیز خاصی نیست

[mostafaamiri1361 1]

سلام

بر همه دوستان

من میخواهم برای سایت ام از یک افزونه امنیتی استفاده کنم. با جستجو در گوگل به این افزونه افزونه iThemes Security (با نام قبلی Better WP Security) رسیدم

این هم آموزش کامل افزونه ؟

http://mrcode.ir/%D8%A7%D9%85%D9%86-%DA%A9%D8%B1%D8%AF%D9%86-%D8%B3%D8%A7%DB%8C%D8%AA-%D9%88%D8%B1%D8%AF%D9%BE%D8%B1%D8%B3%DB%8C-%D9%82%D8%B3%D9%85%D8%AA-2

سوال:

آیا این افزونه خوب است؟ آیا برای سایت مشکلاتی ایجاد نخواهد کرد؟

[Black_Sky 6,315]

سلام

بر همه دوستان

من میخواهم برای سایت ام از یک افزونه امنیتی استفاده کنم. با جستجو در گوگل به این افزونه افزونه iThemes Security (با نام قبلی Better WP Security) رسیدم

این هم آموزش کامل افزونه ؟

http://mrcode.ir/امن...-وردپرسی-قسمت-2

سوال:

آیا این افزونه خوب است؟ آیا برای سایت مشکلاتی ایجاد نخواهد کرد؟

قبلا هم بارها بحث کردیم که افزونه ها هم خود دارای حفره های امنیتی هستند و تا جایی که میتونید از کدها و... استفاده کنید

[محمد امین 49]

اقا جسارتاً تا الان پنج بار هک شدم امروز صبح هم باز هک شدم نمی دونم چرا

طرف هم فایل index.php رو دستکاری کرده بود هم فایل single.php

و هم اینکه دیگه نمی تونستم با یوزر admin وارد وارد پرس بشم

تنها کاری که کردم رفتم توی phpmay admin چون یک یوزر معمولی هم درست کرده بودم به اسم internet

اودم پسورد hash شده اون رو که می دونستم چی هست رو برداشتم به جای پسورد admin در دیتابیس جایگزین کردم

در ضمن ایمیل ادمین رو هم هکره حذف کرده بود

و با این حال وارد سایت شدم ولی باز هم استرس دارم که شاید چیزی رو دستکاری کرده باشه به هاستینگم تماس گرفتم که اگه بک آپ اخیر رو دارن ریستور کنند

با تشکر

دوست عزیز مشکل شما احتمالا از یک باگ خاص روی یکی از افزونه هاتون هست

یا امنیت پایین سرور

[asia1 0]

من وقتی سایتمو توی فایرفاکس باز میکنم یه خط نوشته بالای سایت میاد و وارد یه صفحه از سایتم میشه که اصلا وجود نداره

آدرس سایت : خرید و فروش مسکن

وقتی سورس صفحه رو باز میکنیم یه چند خط کد وجود داره که اصلا تو قالب نیست

من همین قالبو روی دامنه دیگه نصب میکنم بدون مشکل بالا میاد . در ضمن من تمام افزونه ها و کل قالب رو بررسی کردم مشکلی نداره

احتمال میدم ویروس باشه میشه لطفا شما بررسی کنید

• 
  

• پاسخ
  
• نقل قول چندگانه
  
• ویرایش
  

[Black_Sky 6,315]

اگر منظورتون خط های آخر میباشد کتفیه به متن زیر دقت میکردید :

<!-- Performance optimized by W3 Total Cache. Learn more: http://www.w3-edge.com/wordpress-plugins/

[آریارامن 252]

این فایل مشکل دارد آیا؟

• /wp-includes/js/jquery/jquery.js
  

Parameter ver in /wp-includes/js/jquery/jquery.js?ver=1.11.1 revealed ../etc/passwd test file.

ویرایش شده در آبان 93 توسط آریارامن

[Saeed Fard 4,731]

نه خیر دوست عزیز ، فایل‌های وردپرس اگر دستکاری نشده باشند هیچ مشکلی ندارند .