چگونه پوشه رسانه را امن کنیم

همانطور که بحث شد, it’s برای حفاظت از سایت خود با تعیین اجازه‌های پرونده مناسب روی کارگزار اهمیت دارد . این کار می‌تواند برای directories خاص مانند / , uploads / , / , و / / پشتیبانی کند , که باید توسط سرور قابل نوشتن به منظور چیزهایی مانند uploads , upgrades , و پشتیبان برای کار قابل نوشتن باشند .

از یک طرف ، شما می‌خواهید most مجوزهای ممکن برای دلایل امنیتی را پیدا کنید، و در اغلب موارد تنظیمات پیش‌فرض / recommended برای directories مانند / یا uploads درست است . از طرف دیگر ، اگر اجازه‌های شاخه شما بیش از حد محدود باشند ، چیزهایی مانند رسانه‌ها – uploads کار می‌کنند .

خبر خوب این است که ما می‌توانیم بهترین‌های هر دو جهان را داشته باشیم: امنیت کامل برای دایرکتوری‌های قابل نوشتن و دسترسی فایل مناسب برای uploads ، ارتقا ، و حمایت پشتیبان . در این برنامه آموزشی یاد می‌گیرید چطور از آن استفاده کنید . WordPress را در دایرکتوری / / / directory / یا فقط در مورد هر شاخه دیگر ، WordPress یا در غیر این صورت ، حفظ کنید .

ایمن کردن شاخه‌های با آن. htaccess

در تجربه من مطالعه لاگ سرور , WordPress / uploads / directory به شدت با scripts و bots مخرب مورد هدف قرار می‌گیرد . متاسفانه , برخی از پیکربندی سرور به سفارش ۷۷۷ به منظور انجام کارهایی مانند uploads مدیا برای کار نیاز دارند . البته , that’s هیچ وقت ایده خوبی نیست , پس let’s با کمی از آن شاخه‌های آسیب‌پذیر را قفل می‌کنند . htaccess .

توجه داشته باشید که این تکنیک برای استفاده در آن نوشته شده‌است . فایل‌های htaccess , اما بهتر است از طریق فایل پیکربندی اصلی Apache’s ( httpd.conf ) پیاده‌سازی شوند . اگر می‌خواهید به فایل‌های پیکره بندی دسترسی داشته باشید و یا ترجیح می‌دهید از طریق آن‌ها localize کنید . با این حال , تکنیک زیر باعث خواهد شد که این اتفاق بیافتد .

مرحله ۱

a را ایجاد کنید . پرونده htaccess برای uploads / uploads یا استفاده از فایل موجود در صورت وجود ) . در آن ، کد زیر را قرار دهید و به کارگزار خود آپلود کنید :

# secure uploads directory
<Files ~ ".*\..*">
	Order Allow,Deny
	Deny from all
</Files>
<FilesMatch "\.(jpg|jpeg|jpe|gif|png|tif|tiff)$">
	Order Deny,Allow
	Allow from all
</FilesMatch>

این امر دسترسی به همه پرونده‌ها را انکار می‌کند, اما اجازه دسترسی تنها به انواع خاصی از تصاویر را می‌دهد . اگر شما با دیگر انواع رسانه‌ها مثل این کار می‌کنید . کد وم. mp3 , mov , یا هر چیز دیگر , تنها الگوی FilesMatch مانند این را ویرایش کنید :

(jpg|jpeg|jpe|gif|png|tif|tiff|zip|mp3|mov)

همچنین می‌توانید هر چیزی که می‌خواهید استفاده کنید را حذف کنید . این کلید پیاده‌سازی این تکنیک در شاخه‌های دیگر از جمله ارتقا / ارتقا / پشتیبانی ، و غیره است . زمانی که این تکنیک رخ می‌دهد ، این تکنیک مانع از تزریق هر نوع PHP یا دیگر خطوط می‌شود، اما به تصاویر اجازه می‌دهد ( و / یا سایر انواع فایل مشخص‌شده ) .

چیزهای دیگری که باید امتحان کنید

اگر قصد دارید media را به کار آپلود کنید , اما don’t می‌خواهند همه ۷۷۷ را روی سرور پخش کنید , در اینجا چند مورد دیگر و چند مورد دیگر برای امتحان کردن وجود دارد :

آزمایش به صورت تدریجی مجوزهای ایمن تا زمانی که چیزی کارساز باشد
غیرفعال کردن حالت ایمن PHP
تنظیم گزینه سال / ماه سازمان دهی خودکار
مسیر پرونده‌های متفاوت را امتحان می‌کند
در صورت امکان میزبان‌ها را تغییر دهید

من همه این تاکتیک‌ها را در محیط‌های مختلف سرور آزمایش کرده‌ام , اما it’s عموما ً یا – یا – یا – یا – یا it – – یا آن – را امتحان کرده‌ام . بعضی از راه‌حل‌های جایگزین / workarounds aren’t به اندازه دیگران ایمن هستند, بنابراین اگر شما با مجوزهای ۷۷۷ , قبل از قبلی گیر افتاده‌اید . این تکنیک به شما کمک خواهد کرد تا پرونده your / uploads را در مقابل scripts و دیگر رفتار زشت انجام دهید .