Внезапно исчезает файл htaccess

Привет гениальной братве!

Никто не сталкивался с такой проблемой, когда на хостинге исчезает файл htaccess? Диагностируется просто - на сайте невозможно перейти по внутренней ссылке. Лечится тоже просто - заливкой нового файла на хостинг. Вопрос не в этом. Возможно ли удалить критически важный файл извне, и как этому противостоять?

У меня такое уже повторилось дважды.

Заранее спасибо за совет!

0

Что именно означает это «исчезают»? Именно удаляются - т.е. Вы их сначала видели глазами, а потом их не стало? В linux'ах файлы, имена которых начинаются на точку, считаются скрытыми.

Сообщение от esculap_ra Возможно ли удалить критически важный файл извне, и как этому противостоять?

• Через уязвимости Вашего сайта.
• Угнали данные для доступа.
• Залили shell на сайт.

1

Собака зарыта в компоненте com_jce (это компонент комментариев в джумла). Через него файл был переименован 1 апреля в 2.txt. Просто теперь знаю, в каком направлении копать.

0

Сообщение от esculap_ra Привет гениальной братве! Никто не сталкивался с такой проблемой, когда на хостинге исчезает файл htaccess? Диагностируется просто - на сайте невозможно перейти по внутренней ссылке. Лечится тоже просто - заливкой нового файла на хостинг. Вопрос не в этом. Возможно ли удалить критически важный файл извне, и как этому противостоять? У меня такое уже повторилось дважды. Заранее спасибо за совет!

Да, файл можно без проблем удалить взломав Ваш аккаунт. Нужно просить техническую поддержку предоставить детальные логи.

Советую Вам также устанавливать защиту на запись файла с помощью SSH команды chattr -R +ias .htaccess

0

Сообщение от JohnyV Да, файл можно без проблем удалить взломав Ваш аккаунт. Нужно просить техническую поддержку предоставить детальные логи.

Действительно, аккаунт взломан. И с него провели серию ДДОС-атак. Служба поддержки заблокировала аккаунт, и пока молчит. Я в общем собирался и так переноситься на другой хостинг, теперь вопрос созрел. Правда гемора при миграции джумлы 1.5 до 3, но ничего не поделать - если уж коня менять, так седло и подавно.

0

Сообщение от esculap_ra Действительно, аккаунт взломан. И с него провели серию ДДОС-атак. Служба поддержки заблокировала аккаунт, и пока молчит. Я в общем собирался и так переноситься на другой хостинг, теперь вопрос созрел. Правда гемора при миграции джумлы 1.5 до 3, но ничего не поделать - если уж коня менять, так седло и подавно.

Тех поддержка не должна блокирован аккаунт если он взломам, а должна предоставить Вам детальные инструкции как избавиться от взлома в дальнейшем, например как в следующей статье

1

Сообщение от JohnyV Тех поддержка не должна блокирован аккаунт

Это было сделано с целью предосторожности. Сейчас доступ с cPanel открыт и я уже снял БД. На локалке посмотрю нет ли в ней инъекции. Ну а старый движок все-одно пора заменить.

0

esculap_ra, лечится. Вычистить весь сайт. Но не просто вычистить - найти бэкдоры обязательно если есть - иначе не поможет.

После этого просто смените версию JCE не последнюю актуальную.

У меня сейчас очередь таких сайтов на лечение - и на всех JCE версии 1.5.3 и ниже. А последняя - 2.3.2.4

Обновляйте компоненты вовремя - нельзя так несерьезно относиться к безопасности. И не только JCE уязвим, и не только на Joomla.

Инъекций в бд скорее всего не будет - если у Вас там не суперкомплексный подход)

0

Причины взлома бывают разные:

Первая причина взлома - это кража или подбор паролей к вашему ФТП аккаунту или к административной части вашего сайта. Такое может произойти из-за вируса на вашем ПК, ОС или из-за устаревшей,уязвимой версии браузера, с которого был скачан сохраненный пароль, или установленный пароль был слишком прост(например состоял только с цифр) и его легко подобрали. Что касается подбора паролей, то на нашем хостинге, на всех серверах установлен фаэрвол который блокирует IP адрес, если с него на протяжении 5 минут делают больше 5 попыток ввода неверных даных.

Поэтому, всегда устанавливайте надежный пароль, который состоит из цифр, больших и маленьких букв,а также содержит другие символы клавиатуры. Для генерации паролей можете использовать соответствующие онлайн ресурсы. Не храните пароли в непроверенных приложениях на незащищенных(без антивирусов) ПК.

Вторая причина взлома - это устаревшая, уязвимая версия CMS системы(ее компонентов,плагинов) на которой работает Ваш сайт. Самые “любимые” CMS для хакеров - это Joomla и WordPress . Сделав проверку сотни сайтов работающих на CMS Joomla,что расположены на наших серверах, мы получили следующее, что 79% из них не используют последние релизы соответствующих веток .

Что касается WordPress ситуация выглядит аналогично - 71% не обновлены к последней Stable версии. А риск взлома сайтов на устаревших версиях CMS очень высок, и это уже никак не зависит от нас, как хостера. А еще большая часть взломов CMS происходит через “дырявые” плагины и компоненты которые устанавливает себе клиент. И через эти "дыры" загружают всяческие exploit, iframe , php shell на сервер.

Нами замечены следующие уязвимые компоненты и скрипты, запросами к которым зачастую взламывают сайты, для CMS Joomla это:

- подмена файлов LICENCE.php ;

- загрузка php shell в templates/beez/html/mod_login/ и замена templates/beez/index.php

для WordPress :

- замена wp-login.php ;

- загрузка php shell и php eMailer через:

wp-content/plugins/wp-my-admin-bar ;
wp-includes/js/tinymce/ ;
wp-content/themes/infinity .

- уязвимость темы timthumb.php ,о которой мы писали здесь.

В свою очередь хотим уведомить Вас о том, что со стороны хостинга, внедрено ряд настроек по повышению безопасности сайтов клиента.А именно на каждом сервере:

- установлен Firewall;

- включены mod_security и suhosin;

- в PHP выключены такие функции, как: show_source, system, shell_exec, passthru, exec, phpinfo, popen, proc_open, allow_url_fopen ;

- выключены safe_mode и register_globals .

Подытожив выше сказанное, запишем коротко

Ваши действия в случае взлома сайта:

1. Проверить файлы сайта на предмет последних изменений,скачав их на локальный ПК или проверив через встроенный менеджер файлов в панели Cpanel.

2. Восстановить сайт из архивной копии.

3. Проверить наличие обновления CMS сайта , для Joomla или для WordPress ,а также установленные модули, плагины и компоненты CMS.

4. Сменить пароль доступа к хостингу(ФТП аккаунтов) и административный пароль доступа к сайту.

5. Очистить каталоги cache/ и tmp/ сайта.

Если следить за обновлениями CMS сайта , устанавливать компоненты только с проверенных источников, работать с сайтом только с защищенных ПК и иметь надежные пароли - вероятность взлома вашего сайта будет минимальная.

0

Всем спасибо. Сайт уже работает на другом хостинге. главный вывод из этого урока - не пренебрегать мерами безопасности!

0