0

Здравствуйте всем!

Я делаю сайт на mysql и php. Есть код, но я знаю, что без настроек безопасности сайт может быть взломан. Какие файлы нужно добавлять для ограничения доступа. Буду признателен любой информации на эту тему - можно и ссылки.

Я теоретически понимаю, что наверное нужно всю структуру по папкам разложить и каждой папке какой-то особый доступ сделать. Хотелось бы понятные инструкции для новичка в этом деле. В деле безопасности. Спасибо.

Такие 3 базовых элемента: сделать первое, второе и третье и твой сайт будет безопасен максимально. Я знаю что на 100 процентов защитить нельзя. Но максимальную защиту выстроить хотелось бы. Какое шифрование лучше для пароля? Можно ли например пароль от базы хранить в md5 или другой кодировке?

Читал что пароль для доступа к базе нужно как-то секретно хранить. Как это нужно делать? И я правильно понимаю, что если взломают доступ к файлам сайта - то сама база будет не тронутой или как?

3
  • 4
    я в это вообще нечего не понимаю, но разве мало таких статей в интернете? разве сначала сложно посмотреть самому, а уже потом, если что-то не понятно или сомнительно спросить? Или разве в формате "вопрос-ответ" можно получить хорошую информацию о безопасности сайта?
    – Gorets
    14 фев 2012 в 8:38
  • 2
    Как сделать безопасный сайт? Не писать его вообще, он будет настолько безопасным что никто его не сможет взломать :)
    – Artem
    14 фев 2012 в 12:28
  • Shrek, отличный комментарий!!!! ))))))))))))))))))
    – qwerty17
    14 фев 2012 в 12:48

2 ответа 2

4

каждой папке какой-то особый доступ сделать

К примеру в файлах .tpl в папке templates/tpl могут выполняться php скрипты на примере использования Smarty. Для этого в папку tpl добавить файл .htaccess и записать в него следующее

<Files ~ "\.(tpl)$">
Deny from all 
</Files>

Какое шифрование лучше для пароля?

sha1

Во всех php файлах которые не вызываются из адресной строки к примеру index.php или contacts.php добавить

defined("MY CMS") or die("WTF);

а в файлы которые вызываются из адресной строки

define("MY CMS", true);

Узнать что такое регулярные выражения и как используя их отвергать POST и GET запросы, злые COOKIES и даже FILES если там присутствует что-то вроде

UNION|OUTFILE|SELECT|ALTER|INSERT|DROP|FROM|WHERE|UPDATE

З.Ы. Честно говоря писать можно целый день как защитить свой сайт от того что его нагнут. Расковыряй удобную для себя open source CMS и посмотри как что устроино!

З.Ы.Ы В одном месте всего не прочесть, и за одинь день всего не узнать! Все приходит со временем и с опытом!

6
  • Спасибо за ответ! Но я же никакой CMS не использую, а сам сайт пишу.
    – qwerty17
    14 фев 2012 в 9:47
  • CMS использует скрипты. Скрипты написаны на php. Вбольшинстве средствами php ты собираешся делать защиту. Вот и посмотри примерно как там что реализовано. Речь не идет о конкретной CMS или о самописном сайте, а конкретно о возможностях реализации защиты!
    – Palmervan
    14 фев 2012 в 9:56
  • Интересно, чем же sha1 лучше md5? Время подбора практически одинаковое, md5 даже дольше...
    – 1232
    14 фев 2012 в 12:00
  • Спасибо за информацию, буду смотреть)
    – qwerty17
    14 фев 2012 в 12:32
  • Еще хотел узнать только ли через php делают защиту или можно еще как-то защищать? можете ли дать какие-нибудь ссылки о защите сайта?
    – qwerty17
    14 фев 2012 в 12:41
1

Защита пароля базы, на случай если PHP ляжет. В index.php где нужно соединение с базой вставляем

include_once('../db-site.php');

Файл db-site.php размещаем перед корнем сайта, в самом файле выполняем соединение с базой.

Теперь если у вас ляжет PHP, и посетителю откроется текстовый вид вашего движка, никто не увидит пароль к вашей базе.

И, да, на joomla это не поможет, у них там в файле config.php (точно не помню название) всё есть.

1
  • Спасибо! А можно этот файл php где идет соединение с базой куда-нибудь поглубже в папку запихать и закрыть к ней доступ или так никто не делает? И в самом деле я удивляюсь в джумле в корне сайта в конфиге все пароли записаны. мне кажется легко их достать. и еще я не понял что значит "Файл db-site.php размещаем перед корнем сайта" у меня код такой: $db = mysql_connect("localhost","mysqltest","1234"); mysql_select_db("sql_test",$db); не понял куда строчку include_once('../db-site.php') вставлять?
    – qwerty17
    14 фев 2012 в 12:39

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.