My "Introduction to Site Security" presentation in Greek, for Joomla! Day Greece 2011

1. Εισαγωγή στην Ασφάλεια Ιστοχώρων
Πως να προλάβετε την καταστροφή
http://akeeba.info/security-101-gr

2. Γειά σας, είμαι
ο Νίκος
Διονυσόπουλος
γνωστός ως ο
προγραμματιστής των
Akeeba Backup, Admin
Tools και πολλών άλλων
επεκτάσεων για το Joomla!
http://akeeba.info/me

3. Τι είναι η ασφάλεια ιστοχώρων;
Και τι δουλειά έχει ο Τσακ Νόρρις μ’αυτή;!

4. Η ασφάλεια είναι...
πως να κάνεις
δυσκολότερο
να παραβιάσεις, αλλά όχι
να το κάνεις αδύνατο

5. Πως το κάνεις αυτό;
Τι μπαίνει ανάμεσα στους χάκερ και τον ιστοχώρο;

6. Η ασφάλεια είναι σε στρώσεις
Εισερχόμενο Ερώτημα
Τείχος Προστασίας
Διακομιστής (Γενικά)
Διακομιστής (.htaccess)
Joomla!
Επεκτάσεις

7. Η ασφάλεια είναι σε στρώσεις
Εισερχόμενο Ερώτημα
Διαχείριση από τον πάροχο
Τείχος Προστασίας
Διακομιστής (Γενικά)
Διακομιστής (.htaccess)
Joomla!
Επεκτάσεις

8. Η ασφάλεια είναι σε στρώσεις
Εισερχόμενο Ερώτημα
Τείχος Προστασίας
mod_security, suPHP, …
Διακομιστής (Γενικά)
Διακομιστής (.htaccess)
Joomla!
Επεκτάσεις

9. Η ασφάλεια είναι σε στρώσεις
Εισερχόμενο Ερώτημα
Τείχος Προστασίας
Διακομιστής (Γενικά)
Βασική προστασία
Διακομιστής (.htaccess)
Joomla!
Επεκτάσεις

10. Η ασφάλεια είναι σε στρώσεις
Εισερχόμενο Ερώτημα
Τείχος Προστασίας
Διακομιστής (Γενικά)
Διακομιστής (.htaccess)
Βασικό φιλτράρισμα
Joomla!
Επεκτάσεις

11. Η ασφάλεια είναι σε στρώσεις
Εισερχόμενο Ερώτημα
Τείχος Προστασίας
Διακομιστής (Γενικά)
Διακομιστής (.htaccess)
Joomla!
Κατά κύριο λόγο υπεύθυνες!
Επεκτάσεις

12. Η ασφάλεια είναι σε στρώσεις
Εισερχόμενο Ερώτημα
Τείχος Προστασίας
Διακομιστής (Γενικά)
Διακομιστής (.htaccess)
Joomla!
Επεκτάσεις

13. Για τι θα μιλήσουμε σήμερα
Εισερχόμενο Ερώτημα
Τείχος Προστασίας
Διακομιστής (Γενικά)
} Εκτός της
“αρμοδιότητάς” μας
Διακομιστής (.htaccess)
Joomla!
} Υπό τον πλήρη
έλεγχό μας
Επεκτάσεις } Για προγραμματιστές

14. Τα βασικά
Τι πρέπει να κάνουμε πάντα, αλλά συνήθως ξεχνάμε

15. Συχνά, δοκιμασμένα αντίγραφα
Θα πηδάγατε από ένα αεροπλάνο χωρίς αλεξίπτωτο;
http://akeeba.info/backup

16. Ενημερώστε, χθες!
Ο χτεσινός κώδικας είναι το αυριανό κενό ασφαλείας
http://akeeba.info/basic-security

17. Προστατέψτε το διαχειριστικό τμήμα
Ο κωδικός πρόσβασης δεν επαρκεί

18. 777: Ο αριθμός που σκοτώνει
Τα δικαιώματα είναι πόρτες. Κλειδώστε τες!
http://akeeba.info/777

19. Λογικά δικαιώματα
Ζητήστε από τον πάροχο να ενεργοποιήσει το suPHP ή το mod_itk του
Apache
Ριζικός κατάλογος 0755 ή 0700
Κατάλογοι 0755
Αρχεία 0644
Εάν “πρέπει” να χρησιμοποιήσετε 0777 (μην το κάνετε!) προστατέψτε
με ένα .htaccess:
order deny, allow
deny from all

20. Μην κάνετε την πάπια!
Κυκλοφορούν πολλοί κυνηγοί ;)

21. Προσοχή στο πρόθεμα
Κανείς δεν θέλει να είναι ένας jos_
http://akeeba.info/prefix

22. 62 λόγοι να απολύσετε τον Υπερδιαχειριστή σας
ή 42, ανάλογα με την έκδοση του Joomla!
http://akeeba.info/62-reasons

23. Kung‐Fu για Διαχειριστές
Δεν μπορείς να σκοτώσεις έναν νίντζα!
http://akeeba.info/ninja

24. Οπτικό αποτύπωμα
Πίστευε και μη, ερεύνα
tm
pl=
offl
ine
tp =1
http://akeeba.info/ninja template =ja_purity

25. Οπτικό αποτύπωμα
RewriteCond %{QU
ERY_STRING} (^|
&)tmpl=(componen
t|system) [NC]
RewriteRule .* -
[L]
RewriteCond %{QU
ERY_STRING} (^|&
)t(p|emplate|
mpl)= [NC]
RewriteRule .* -
[F]
http://akeeba.info/ninja

26. Η PHP έχει μεγάλο στόμα
και αυτό δεν είναι κουτσομπολιό
http://akeeba.info/ninja

27. Η PHP έχει μεγάλο στόμα
http://akeeba.info/ninja

28. Η PHP έχει μεγάλο στόμα
RewriteCond %{QU
ERY_STRING} =PH
P[a-f0-9]{8}-[a-
f0-9]{4}-[a-f0-9
]{4}-[a-f0-9]{4}
-[a-f0-9]{12}
[NC]
RewriteRule .* -
[F]
http://akeeba.info/ninja

29. Ο Τυφλός Ελέφαντας
Προσοχή, πατάει!
http://akeeba.info/ninja

30. Ο Τυφλός Ελέφαντας
http://akeeba.info/ninja

31. Ο Τυφλός Ελέφαντας
nicholas@teapot:~/blindelephant$ ./BlindElephant.py mysite.com joomla
Loaded /home/nicholas/projects/3rdparty/blindelephant/trunk/src/build/lib.linux-x86_64-2.6/blindelephant/
dbs/joomla.pkl with 33 versions, 3696 differentiating paths, and 122 version groups.
Starting BlindElephant fingerprint for version of joomla at http://joomla.ubuntu.web
Hit http://joomla.ubuntu.web/media/system/js/validate.js
Possible versions based on result: 1.5.17, 1.5.18
Hit http://joomla.ubuntu.web/includes/js/joomla.javascript.js
Possible versions based on result: 1.5.17, 1.5.18
Hit http://joomla.ubuntu.web/media/system/js/caption.js
Possible versions based on result: 1.5.17, 1.5.18
Hit http://joomla.ubuntu.web/media/system/js/openid.js
Possible versions based on result: 1.5.17, 1.5.18
Hit http://joomla.ubuntu.web/templates/rhuk_milkyway/css/template.css
Possible versions based on result: 1.5.17, 1.5.18
Fingerprinting resulted in:
1.5.17
1.5.18
Best Guess: 1.5.18
http://akeeba.info/ninja

32. Ο Τυφλός Ελέφαντας
RewriteRule ^ima
ges/stories/.*.
(jp(e?g|2)?|png|
gif|bmp|css|js|s
wf|ico)$ - [L]
RewriteCond %{HT
TP_REFERER} .
RewriteCond %{HT
TP_REFERER} !^ht
tps?://(www.)?
example.com [NC]
RewriteCond %{RE
QUEST_FILENAME}
-f
RewriteRule .(j
p(e?g|2)?|png|gi
f|bmp|css|js|
swf|ico)$ - [F]
http://akeeba.info/ninja

33. Περισσότερες απειλές
Εκτέλεση σεναρίων μεταξύ ιστοχώρων (XSS)
Εισαγωγή απομακρυσμένων αρχείων (RFI)
Εισαγωγή τοπικών αρχείων (LFI)
Εισαγωγή SQL (SQLi)
Παραχάραξη αιτημάτων από άλλους ιστοχώρους (CSRF)
Σπάσιμο κωδικών με την μέθοδο ωμής δύναμης
Ανεπιθύμητα μηνύματα & ψάρεμα διευθύνσεων email

34. Περισσότερη προστασία
f re e! 2 0€
The Master Admin Tools
.htaccess Professional
http://akeeba.info/master-
http://akeeba.info/atpro
htaccess

35. Α! και κάτι ακόμα...
η ασφάλεια
είναι µία
διαδικασία

36. Ερωτήσεις;

37. Αυτά για σήµερα!

38. Θέλετε τα σλάιντ? hVp://akeeba.info/security‐101‐gr