نکته ای که اینجا هست(حداقل برای ما جالب بود) اینه که یک نفوذ گر محترم تونسته به فایل php.ini دسترسی پیدا کنه و محتویات اون رو کمی تغییر بده. خیلی ساده اومده و به ویژگی auto_append_file مثلا مقدار “bad_script” رو اضافه کرده.

اتفاقی که اینجا افتاده: از این به بعد, به انتهای تمام اسکریپت های شما این فایل append می شه. به کمک همین فایل می شه کلی کارهای جالب انجام داد که اون رو به خلاقیت مثبت و منفی شما واگذار می کنیم. نکته ای که نفوذ گر باید به اون دقت کنه اینه که فایل مخرب رو باید جایی قرار بده که جزو include_path های آپاچی باشه.

خلاصه ماجرا از این قراره:

; UNIX: "/path1:/path2"
;include_path = ".:/php/includes"

; Zend Type
; UNIX: "/path1:/path2"
;include_path = ".:/usr/local/zend/share/ZendFramework/library:/usr/local/zend/share/pear"
include_path = ".:/php/includes:/usr/share/pear"

در تنظیمات بالا که مربوط به php.ini هستش, سه مکان ‘ . ‘ , ‘ /php/includes ‘ , ‘ /usr/share/pear ‘ به عوان
include_path شناخته شده و هکر کافیه تا فایل مخرب خودش رو در یکی از این ۳ دایرکتوری قرار بده و به کمک دستکاری زیر اون فایل رو به اسکریپت های شما append کنه.

; Automatically add files after PHP document.
; http://php.net/auto-append-file
auto_append_file = "bad_script"

این قایل مخرب هم می تونه هر چیزی باشه مثل یک تابع خوب که خوراک خوشمزه دوستان هکره:

//bad_script
phpinfo();

یک راه حل: بعد از اتمام بلوک ها در اسکریپت خودتون از تابع ()exit استفاده کنید تا فایل مخرب append نشه.

از آنجایی که این هکر توانایی rewrite کردن php.ini رو داشته بهتره یک فکر اساسی به حال سرور خود بکنیم.
اصولا خاموش کردن اون بهترین راه حل برای تامین امنیت هست, خصوصا اگر که ویندوزی باشه.

اگر به سایت no-www  سر بزنید اونجا دلایل کافی برای عدم استفاده از www در url ها به صورت پیش فرض آورده شده, و می تونید مطالعه کنید. ما از دستورات زیر داخل فایل htaccess. برای این کار استفاده می کنیم:

RewriteEngine On
RewriteCond %{HTTP_HOST} ^www.(.+)$ [NC]
RewriteRule ^(.*)$ http://%1/$1 [R=301,L]

برای تنظیم دسترسی به خود وب سایت یا برنامه می تونیم از دستورات زیر استفاده کنیم.همچنین باید دسترسی به خود فایل htaccess. رو محدود کنیم.

<Limit GET POST PUT>
    order deny,allow
    allow from all
</Limit>

<Files .httaccess>
    order allow,deny
    deny from all
</Files>

یکی از مواردی که هم برای امنیت و هم برای بهینگی اهمیت داره بحث Canonical هستش. Bot  ها و یا مرورگر های مختلف ممکنه درخواست های مختلفی رو برای دسترسی به sitemap, favicon, robots.txt  با هدف های متفاوتی ارسال کنند. حالا کاری که ما باید بکنیم اینه که تمامی درخواست ها به این فایل ها رو از طریق هر مدل url به فایل های اصلی که معمولا در root directory هستند redirect کنیم.

# CANONICAL ROBOTS.TXT

 RewriteBase /
 RewriteCond %{REQUEST_URI} !^/robots.txt$ [NC]
 RewriteCond %{REQUEST_URI} robots.txt [NC]
 RewriteRule .* http://sample.ir/robots.txt [R=301,L]

# CANONICAL FAVICONS
 RewriteEngine On
 RewriteBase /
 RewriteCond %{REQUEST_URI} !^/favicon.ico$ [NC]
 RewriteCond %{REQUEST_URI} /favicon(s)?.?(gif|ico|jpe?g?|png)?$ [NC]
 RewriteRule (.*) http://sample.ir/images/icon.png [R=301,L]

# CANONICAL SITEMAPS
RedirectMatch 301 /sitemap.xml$ http://sample.ir/site_map.xml

Error Handling کلا یکی از مواردی بسیار با اهمیت هست. تاثیر این موضوع بر SEO, Security, Readabilty, Extending, etc کاملا مشهود هستش و البته برای کلاس کار برنامه نویس هم بسیار مهمه. دستورات زیر امکان کنترل کردن این خطا ها رو از سمت سرور و یا ناشی از داده های غلط رو به ما می دهد.
( یه تجربه مشترک: هممون Error های هر چند وقت یکبار پرتال نما های دانشگاهی رو دیدیم )

## Custom error messages
	ErrorDocument 400 http://sample.ir/error.php?n=400
	ErrorDocument 401 http://sample.ir/error.php?n=401
	ErrorDocument 402 http://sample.ir/error.php?n=402
	ErrorDocument 403 http://sample.ir/error.php?n=403
	ErrorDocument 404 http://sample.ir/error.php?n=404
	ErrorDocument 405 http://sample.ir/error.php?n=405
	ErrorDocument 406 http://sample.ir/error.php?n=406
	ErrorDocument 407 http://sample.ir/error.php?n=407
	ErrorDocument 408 http://sample.ir/error.php?n=408
	ErrorDocument 409 http://sample.ir/error.php?n=409
	ErrorDocument 410 http://sample.ir/error.php?n=410
	ErrorDocument 411 http://sample.ir/error.php?n=411
	ErrorDocument 412 http://sample.ir/error.php?n=412
	ErrorDocument 413 http://sample.ir/error.php?n=413
	ErrorDocument 414 http://sample.ir/error.php?n=414
	ErrorDocument 415 http://sample.ir/error.php?n=415
	ErrorDocument 416 http://sample.ir/error.php?n=416
	ErrorDocument 417 http://sample.ir/error.php?n=417
	ErrorDocument 422 http://sample.ir/error.php?n=422
	ErrorDocument 423 http://sample.ir/error.php?n=423
	ErrorDocument 424 http://sample.ir/error.php?n=424
	ErrorDocument 426 http://sample.ir/error.php?n=426
	ErrorDocument 500 http://sample.ir/error.php?n=500
	ErrorDocument 501 http://sample.ir/error.php?n=501
	ErrorDocument 502 http://sample.ir/error.php?n=502
	ErrorDocument 503 http://sample.ir/error.php?n=503
	ErrorDocument 504 http://sample.ir/error.php?n=504
	ErrorDocument 505 http://sample.ir/error.php?n=505
	ErrorDocument 506 http://sample.ir/error.php?n=506
	ErrorDocument 507 http://sample.ir/error.php?n=507
	ErrorDocument 510 http://sample.ir/error.php?n=510

بعد از این قست ما نیاز به یک فایل به نام error.php  داریم که اونو به صورت زیر در آوردم:

<?php

$GP_flag = true;

if( isset($_GET['n']) ){
	$error = $_GET['n'];
	$error = addslashes($error);
}

$code = array(
  111 => 'Invalid Data',
  222 => 'Access Denied!',
  400 => 'Bad Request',
  401 => 'Unauthorized',
  402 => 'Payment Required',
  403 => 'Forbidden',
  404 => 'Not Found',
  405 => 'Method Not Allowed',
  406 => 'Not Acceptable',
  407 => 'Proxy Authentication Required',
  408 => 'Request Timeout',
  409 => 'Conflict',
  410 => 'Gone',
  411 => 'Length Required',
  412 => 'Precondition Failed',
  413 => 'Request Entity Too Large',
  414 => 'Request-URI Too Long',
  415 => 'Unsupported Media Type',
  416 => 'Requested Range Not Satisfiable',
  417 => 'Expectation Failed',
  422 => 'Unprocessable Entity',
  423 => 'Locked',
  424 => 'Failed Dependency',
  426 => 'Upgrade Required',
  500 => 'Internal Server Error',
  501 => 'Not Implemented',
  502 => 'Bad Gateway',
  503 => 'Service Unavailable',
  504 => 'Gateway Timeout',
  505 => 'HTTP Version Not Supported',
  506 => 'Variant Also Negotiates',
  507 => 'Insufficient Storage',
  510 => 'Not Extended'
  );

 $msg = array(
  111 => "Sending Data is not Valid",
  222 => "URL is not Valid",
  400 => "Your browser sent a request that this server could not understand.",
  401 => "This server could not verify that you are authorized to access the document requested.",
  402 => "The server encountered an internal error or misconfiguration and was unable to complete your request.",
  403 => "You don't have permission to access here on this server.",
  404 => "We couldn't find <acronym>that uri</acronym> on our server, though it's most certainly not your fault.",
  405 => "The requested method is not allowed for the URL.",
  406 => "An appropriate representation of the requested resource could not be found on this server.",
  407 => "An appropriate representation of the requested resource could not be found on this server.",
  408 => "Server timeout waiting for the HTTP request from the client.",
  409 => "The server encountered an internal error or misconfiguration and was unable to complete your request.",
  410 => "The requested resource is no longer available on this server and there is no forwarding address. Please remove all
  		   references to this resource.",
  411 => "A request of the requested method GET requires a valid Content-length.",
  412 => "The precondition on the request for the URL evaluated to false.",
  413 => "The requested resource does not allow request data with GET requests, or the amount of data provided in the request
  		  exceeds the capacity limit.",
  414 => "The requested URL's length exceeds the capacity limit for this server.",
  415 => "The supplied request data is not in a format acceptable for processing by this resource.",
  416 => "Requested Range Not Satisfiable",
  417 => "The expectation given in the Expect request-header field could not be met by this server. The client sent <code>Expect:
 </code>",
  422 => "The server understands the media type of the request entity, but was unable to process the contained instructions.",
  423 => "The requested resource is currently locked. The lock must be released or proper identification given before the method can
  		  be applied.",
  424 => "The method could not be performed on the resource because the requested action depended on another action and that other
  		  action failed.",
  425 => "The server encountered an internal error or misconfiguration and was unable to complete your request.",
  426 => "The requested resource can only be retrieved using SSL. Either upgrade your client, or try requesting the page using

https://",

  500 => 'The server encountered an internal error or misconfiguration and was unable to complete your request.",
  501 => "This type of request method is not supported.",
  502 => "The proxy server received an invalid response from an upstream server.",
  503 => "The server is temporarily unable to service your request due to maintenance downtime or capacity problems. Please try again
  		  later.",
  504 => "The proxy server did not receive a timely response from the upstream server.",
  505 => 'The server encountered an internal error or misconfiguration and was unable to complete your request.",
  506 => "A variant for the requested resource is itself a negotiable resource. This indicates a configuration
  		  error.",
  507 => "The method could not be performed.  There is insufficient free space left in your storage allocation.",
  510 => "A mandatory extension policy in the request is not accepted by the server for this resource."
  );

echo $code[$error];
echo $msg[$error];

?>

برای فعال کردن SSI هم از دستورات زیر استفاده می کنیم.

## Enable SSI
AddType text/html .html
AddType text/html .shtml

AddHandler server-parsed .html
AddHandler server-parsed .shtml

اگه شما یک Developer باشید و از افزونه هایی مثل YSlow, Firebug و … استفاده کنید می بینید که به عدم فشرده شدن داده ها و بحث Caching و Expire حسابی گیر می دن. یکی از راه های ساده برای Optimize کردن این موارد استفاده کردن از دستورات زیر هستش.

## Adding an Expires Header

    Header set Expires "Thu, 15 Apr 2012 20:00:00 GMT"

    #Compress
    SetOutputFilter DEFLATE

علاوه بر این که به کمک خود PHP هم می تونیم داده ها رو Compress کنیم, این دستورات وب سرور رو وادار می کنه تا فایل هایی رو که ما در پایین مشخص کردیم به صورت فشرده شده به سمت کاربر ارسال کنه.

# compress text, html, javascript, css, xml:
AddOutputFilterByType DEFLATE text/plain
AddOutputFilterByType DEFLATE text/html
AddOutputFilterByType DEFLATE text/xml
AddOutputFilterByType DEFLATE text/css
AddOutputFilterByType DEFLATE application/xml
AddOutputFilterByType DEFLATE application/xhtml+xml
AddOutputFilterByType DEFLATE application/rss+xml
AddOutputFilterByType DEFLATE application/javascript
AddOutputFilterByType DEFLATE application/x-javascript

سعی کردم چند تا از مهم ترین موارد رو ذکر کنم.
در مورد منابع هم چند تا سایت مختلف رو معرفی می کنم که احتمالا شما دوستان اون ها رو قبل از من شناختید.
http://www.securityplanet.com
http://www.askapache.com
phpmaster.com

من خودم برای پیوند یکتای وردپرس از %postname% استفاده می کنم. یعنی آدرس هام رو از این حالت:

http://www.phpdevelopers.ir/?p=123

تغییر می دم به این حالت:

http://www.phpdevelopers.ir/sample-post/

برای تغییر دادن پیوند یکتا می تونید به بخش تنظیمات > پیوند یکتا برید و هر حالت دیگه ای که مد نظرتونه رو انتخاب کنید.

قبل از این کار برای اینکه در وردپرس فارسی به مشکل بر نخوریم باید در شاخه ی root یه فایل بسازیم به نام htaccess. و بعد به بخش پیوند یکتا بریم و اون حالتی رو که می خوایم انتخاب کنیم و کلید ذخیره کنید رو بزنیم. پس از به روز شدن و ذخیره شدن تنظیمات در پایین صفحه یه کد بهتون داده می شه که باید اون رو در فایل htaccess. اضافه کنید. کدی شبیه به این:

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase root
RewriteRule ^index.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /q-fa/index.php [L]
</IfModule>

مشکل شما حل شد.
دقت کنید که اگر به صورت لوکال ار وردپرس استفاده می کنید به این پست مراجعه کنید
موفق باشید

همان طور که می دانید، آن مشخصه ی شناسایی یک کاربر در جهان وب، IP فرد متصل شده به اینترنت می باشد. در نتیجه هنگامی که می خواهیم دسترسی را به کاربران خاصی محدود کنیم، باید از مشخصه این افراد که همان IP می باشد، استفاده کنیم.

به صورت کلی، دلایل استفاده از این روش در htaccess عبارت است از:

• جلوگیری از دسترسی نفوذگر یا بوت به وب سایت
• اجازه دادن فقط به خود شما برای دسترسی به وب سایت (برای مثال در هنگام گسترش یا ساخت وب سایت)
• اجازه دادن فقط به کاربران مورد اعتماد برای دسترسی به وب سایت (اگر IP کاربران ثابت باشد، این روش بسیار امن تر از استفاده از نام کاربری و رمز عبور برای دسترسی کاربران است)
• جلوگیری از دسترسی کاربران از کشور ها یا موقعیت های خاص به وب سایت
• منع کاربران دلخواه از وب سایت (Banning)

ممنوعیت دسترسی کاربران خاص

برای جلوگیری از دسترسی کاربران خاص و نفوذگران به وب سایت مان از کد زیر استفاده می کنیم:

order deny,allow
deny from 10.12.13.15
deny from 123.11.15.4
allow from all

با استفاده از این دستورات، تمام کاربران اجازه ی دسترسی به وب سایت را دارند؛ به جز افرادی که یکی از IP های ۱۰٫۱۲٫۱۳٫۱۵ یا ۱۲۳٫۱۱٫۱۵٫۴ را داشته باشند.

اعطای دسترسی به کاربران خاص

همچنین برای دسترسی تنها کاربران خاصی به وب سایت مان از دستور زیر استفاده می کنیم:

<limit GET POST PUT>
order deny,allow
deny from all
allow from 64.71.22.10
</limit>

با این دستور تنها کاربری که IP آن ۶۴٫۷۱٫۲۲٫۱۰ باشد اجازه دسترسی به وب سایت را دارد و سایر کاربران قادر به بارگذاری سایت شما نخواهند بود. همچنین بوت ها و موتورهای جستجوگر نیز دسترسی به سایت نخواهند داشت.

محدودیت دسترسی برای گروهی از کاربران

ما در برخی موارد می خواهیم به جای یک یا چند IP خاص، محدودیت خود را برای گروهی از کاربران با یک بازه(رنج) مشخصی از IP داشته باشیم. برای این کار از دستور زیر استفاده می کنیم:

<limit GET POST PUT>
order deny,allow
deny from all
allow from 64.71.20.
</limit>

با استفاده از این دستورات، اجازه دسترسی را به کاربرانی که بازه ی ۶۴٫۷۱٫۲۰x از IP ها را داشته باشند، می دهیم. به جای x هر مقدار معتبری از ارقام IP می تواند قرار گیرد.

به همین ترتیب برای جلوگیری از ورود کاربران یک کشور به وب سایت خود، می توانید از ابزار زیر کمک بگیرید:
IP Range

آموزش سوم از سری دیوار آتش با htaccess. در اینجا به پایان می رسد.
ادامه دارد

محافظت از فایل ها و پوشه ها با رمز عبور

این موضوع یکی از ساده ترین روش های تشخیص هویت کاربران می باشد. برخی از موارد استفاده از این روش عبارت است از:

• هنگامی که شما در حال ساخت و گسترش وب سایت هستید
• هنگامی که نیاز است تا روبات های موتورهای جستجوگر صفحات سایت شما را ایندکس نکنند
• هنگامی که می خواهید صفحه یا پوشه ای از سایت شما، از دید کاربران عادی مخفی بماند

دقت داشته باشید که هیچ گاه از این روش برای تشخیص هویت اصلی کاربران خود استفاده نکنید. بلکه می توانید از این روش در کنار تشخصی هویت اصلی استفاده کنید تا امکان نفوذ را تا حد زیادی کاهش دهید. به عنوان مثال شما می توانید بر روی پوشه ی مدیریت (Administrator) سایت خود از این روش استفاده کنید. زیرا با انجام این کار، کاربران غیر مدیر حتی امکان دیدن صفحه ورود به مدیریت را نخواهند داشت و نفوذگران با استفاده از دیکشنری ها، امکان حدس رمز عبور های آسان مدیران را نخواهد داشت.

محافظت از پوشه ها

برای محافظت از یک پوشه، کد زیر را به کار می بریم:

AuthUserFile /YourPath/.htpasswd
AuthType Basic
AuthName "Protected Area"
Require valid-user

در کد بالا باید به جای YourPath آدرس کامل مسیر فایل.htpasswd قرار گیرد. در مورد این فایل در ادامه مقاله توضیح داده ام.

تمام فایل ها و پوشه هایی که فایل htaccess. در آن پوشه قرار داشته باشد، توسط این دستورات محافظت می شوند. همچنین این دستورات، برای تمام زیر پوشه های موجود اعملا می گردد. بنابر این اگر می خواهید کل سایت را با این روش محافظت کنید، باید فایل htaccess. بالا را در پوشه ی اصلی سایت(root) قرار دهید.

محافظت از فایل

برای محافظت از یک فایل، کد زیر را به کار می بریم:

AuthUserFile /YourPath/.htpasswd
AuthType Basic
AuthName "Protected Area"

<Files "secret.html">
  Require valid-user
</Files>

با استفاده از دستورات بالا، از فایل secret.html محافظت صورت می گیرد.

فایل htpasswd.

فایل htpasswd. حاوی اطلاعات کاربری برای ورود است و شامل مجموعه ای از نام کاربری(username) و رمز عبور(password) است. بر روی هر خط یک نام کاربری به همراه رمز عبور قرار می گیرد. نام کاربری و رمز عبور با یک دو نقطه(:) از یکدیگر جدا می شوند. در ضمن رمز عبور باید به صورت رمزنگاری شده(encrypted) باشد. مثالی از این فایل را در زیر مشاهده می کنید:

phpdevelopers:87210ms3k2lj.

در فایل htpasswd بالا یک کاربر وجود دارد و نام کاربری آن phpdevelopers است و رمز عبور مربوط به آن ۱۲۳۱۲۳ می باشد که به صورت ۸۷۲۱۰ms3k2lj. رمزنگاری شده است. برای ایجاد رمز عبور های رمزنگاری شده، می توانید از یکی از ابزارهای زیر استفاده کنید:

• Htaccess Tools
• 4WebHelp
• ALTERLINKS
• htmlite

همچنین یادآور می شوم در قسمت File Manager کنترل پنل CPanel، می توانید بر روی پوشه ها راست کلیک کنید و با انتخاب گزینه ی Password Protect مراحل بالا را به راحتی اجرا کنید.

آموزش دوم از سری دیوار آتش با htaccess. در اینجا به پایان می رسد.
ادامه دارد

در ابتدا ذکر این نکته ضروری است که سطح دسترسی(Chmod) امن برای فایل htaccess. مقدار ۶۴۴ و برای فایل htpasswd. مقدار ۶۴۰ می باشد.

مباحثی که ما در این سری آموزش دنبال می کنیم عبارت است از:

• غیرفعال نمودن لیست کردن پوشه ها
• محافظت از فایل ها و پوشه ها با رمز عبور
• ممنوعیت کاربران خاص
• جلوگیری از Hotlink فایل ها و تصاویر
• جلوگیری از اجرای انواع اسکریپت
• جلوگیری از مرورگرهای آفلاین و بوت های مزاحم
• محافظت از فایل htaccess.
• جلوگیری از ارجاعات ناخواسته
• تغییر پسوند فایل ها

• اجبار به استفاده از اتصال مطمئن (SSL)

غیرفعال نمودن لیست کردن پوشه ها (Directory Listing)

با غیرفعال نمودن لیست کردن پوشه ها، امکان مشاهده ی فایل های موجود در یک پوشه توسط کاربران گرفته می شود. برای این کار، کد زیر را به فایل htaccess. اضافه کنید:

IndexIgnore *

با استفاده از این دستور از لیست کردن کلیه فایل های موجود در پوشه ها، جلوگیری می شود. حرف * در دستور بالا اشاره به همین موضوع دارد.

همچنین شما می توانید تنها لیست کردن برخی فایل ها را غیرفعال کنید:

IndexIgnore *.php *.cgi *.jsp

با این دستور لیست کردن تمام فایل ها به جز فایل هایی که پسوند cgi، php و jsp دارند، صورت می گیرد.

همان طور که می دانید فایل htaccess. پوشه ی حاضر در آن و تمام زیر پوشه ها(subfolders)، را تحت تاثیر قرار می دهد. با توجه با این موضوع، اگر بخواهیم در زیرپوشه ای خاص همچنان لیست کردن فایل ها صورت بگیرد، کافی است کد زیر را در فایل htaccess. موجود در آن زیرپوشه قرار دهیم:

Options +Indexes

علامت مثبت (+) در کد بالا به معنای این است که لیست کردن پوشه ها، در آن پوشه و تمام زیر پوشه های آن انجام می پذیرد، در غیر این صورت می توان از علامت منفی(-) به جای مثبت استفاده کرد تا این قانون تنها برای پوشه ی حاضر اعمال گردد.

آموزش اول از سری دیوار آتش با htaccess. در اینجا به پایان می رسد.
ادامه دارد