113 straipsn.

Tinklaraštis: PHP2Shell, serverio sauga ir avarinė pagalba

Padėties vertinimas, instrukcijos administratoriams ir sprendimų pagalba vadovybei. Išdėstyta pagal temas, kiekvienas straipsnis su šaltiniais.

WhatsApp avarija

Padėtis ir vertinimas Hostingas ir distribucijos Aptikimas ir forensika Sutvirtinimas ir konfigūracija Saugus programavimas Vadyba ir teisė Sprendimų pagalba

Padėtis ir vertinimas

17 straipsn.

001

PHP2Shell: kas įrodyta, o kas ne

PHP2Shell faktų patikra: kurie teiginiai kyla iš pirminių šaltinių, kurie iš žiniasklaidos pranešimų ir kurių teiginių nepavyksta pagrįsti.

Skaityti toliau →002

Kodėl PHP spraga paaiškėjo prieš pataisą

Pasak pranešimų, PHP2Shell detalės paviešintos, nesibaigus embargui. Paaiškiname eigą ir ką ji reiškia jūsų pataisų planavimui.

Skaityti toliau →003

Institucijos atjungia svetaines nuo tinklo: ko iš to gali pasimokyti įmonės

Mainco miestas, Heseno žemės vyriausybė ir BKA atsargumo sumetimais atjungė svetaines. Ko iš to gali pasimokyti įmonės savo sprendimui.

Skaityti toliau →004

BSI oranžinis įspėjimo lygis: ką šis vertinimas reiškia

BSI PHP2Shell vertina 3 / oranžiniu lygiu. Ką skalė sako, ko nesako ir kaip įmonės gali vertinimą paversti sprendimais.

Skaityti toliau →005

Ką CERT-EU ir CERT-Bund pataria dėl PHP2Shell

Oficialios institucijos sutaria: nedelsiant taisyti, kitaip izoliuoti. Palyginame rekomendacijas ir parodome, kaip izoliavimas atrodo praktiškai.

Skaityti toliau →006

Cloudflare apsaugos taisyklės nuo PHP2Shell: ką jos duoda ir ko neduoda

Cloudflare anksti išleido apsaugos taisykles nuo PHP2Shell. Kodėl tai padeda, kodėl PHP atnaujinimo vis tiek nepakeičia ir kokius nustatymus patikrinti.

Skaityti toliau →007

22,6 milijono viešai pasiekiamų egzempliorių: kaip teisingai vertinti skaičius

Unit 42, CybelAngel ir kiti PHP2Shell nurodo labai skirtingus skaičius. Paaiškiname, kas buvo skaičiuojama ir kuris skaičius jums iš tikrųjų svarbus.

Skaityti toliau →008

PHP2Shell per penkias minutes: apžvalga įmonės vadovybei

PHP saugumo spraga PHP2Shell viename puslapyje sprendimų priėmėjams: padėtis, rizika, penki klausimai IT ir šiandienos sprendimai.

Skaityti toliau →009

PHP saugumo spraga paprastai paaiškinta

PHP2Shell ne technikams: su kasdieniais pavyzdžiais, nedideliu žodynėliu ir trimis tipinėmis pradinėmis situacijomis, ką turėtumėte daryti kaip svetainės savininkas.

Skaityti toliau →010

PHP2Shell: 15 talpinimo klientų klausimų

Jūsų svetainė pas talpintoją ir norite žinoti, ką dėl PHP2Shell turite daryti patys? Čia 15 dažniausių klausimų su trumpais atsakymais.

Skaityti toliau →011

Kodėl WordPress atnaujinimas nepadeda nuo PHP2Shell

Po antraščių daugelis operatorių atnaujino WordPress ir jaučiasi saugūs. Kodėl dėl PHP2Shell tai nieko nedaro ir kas vietoj to svarbu.

Skaityti toliau →012

PHP2Shell ir Log4Shell: ką spragos turi bendro

Daugelis PHP2Shell lygina su 2021 m. Log4Shell. Ką palyginimas duoda, kur jis šlubuoja ir kurios tų laikų pamokos padeda šiandien.

Skaityti toliau →013

Masinis nepataisyto PHP skenavimas: kaip vyksta automatizuotos atakos

Po PHP2Shell užpuolikai automatizuotai skenuoja internetą ieškodami pažeidžiamų serverių. Kaip tai vyksta, kodėl dydis nesvarbus ir kas jus saugo.

Skaityti toliau →014

Laiko langas tarp pataisos ir atakos

Su PHP2Shell atakos bandymų būta jau prieš pataisą. Paaiškiname laiko lango fazes, kaip išmatuoti savo langą ir kaip jį sutrumpinti.

Skaityti toliau →015

Po PHP2Shell: kodėl tolesni pranešimai tikėtini

PHP2Shell su spalio 21 d. pataisa nesibaigė. Kodėl tikėtini tolesni pranešimai ir kaip į juos nustatyti savo komandą.

Skaityti toliau →016

PHP2Shell: pirmos savaitės padėties vaizdas

Savaitė po pirmo pastebėto atakos bandymo: pataisų, institucijų įspėjimų, atakų ir išjungimų būsena, tvarkingai suskirstyta pagal šaltinius.

Skaityti toliau →017

Pavojingi klaidingi PHP2Shell patarimai, kurie šiuo metu plinta

Blokuoti slapukus, slėpti klaidų pranešimus, atnaujinti tik CMS: devyni PHP2Shell patarimai, kurie kuria klaidingą saugumo jausmą, ir kas iš tikrųjų svarbu.

Skaityti toliau →

Hostingas ir distribucijos

18 straipsn.

018

PHP versijos keitimas talpinimo kliento zonoje

Kaip talpintojo kliento zonoje perjungti PHP versiją, kurią versiją rinktis ir ką tikrinti prieš tai ir po to.

Skaityti toliau →019

Debian ir Ubuntu: ar mano PHP paketas pataisytas?

Kuriuos PHP paketus Debian ir Ubuntu ištaisė nuo PHP2Shell, kaip tiksliai palyginti įdiegtą būseną ir dėl ko strigia įrodymas.

Skaityti toliau →020

RHEL, AlmaLinux ir Rocky Linux: PHP pataisos patikra

Ką Red Hat paskelbė dėl PHP2Shell, kaip RHEL ir jo kopijose įrodyti paketų būseną ir kodėl perkrovimo (reload) nepakanka.

Skaityti toliau →021

sury.org saugykla: PHP paketai iš trečiojo šaltinio

Daug Debian ir Ubuntu serverių PHP gauna iš sury saugyklos. Ką tai reiškia atnaujinimams, įrodymams ir senoms PHP versijoms po PHP2Shell.

Skaityti toliau →022

Remi saugykla: PHP RHEL sistemose išlaikyti aktualų

Remi teikia aktualias PHP versijas RHEL šeimai, kaip modulį arba lygiagrečiai diegiamas. Kaip patikrinti būseną po PHP2Shell ir išvengti pamirštų šakų.

Skaityti toliau →023

Kodėl php -v po atnaujinimo rodo tą patį numerį

Atnaujinimas praėjo, bet php -v rodo seną versiją. Dažniausiai tai atgalinis perkėlimas, o ne klaida. Kaip atskirti nekenksmingą atvejį nuo tikrų problemų.

Skaityti toliau →024

CVE numerių įrodymas paketo pakeitimų žurnale

Kas turi PHP pataisą įrodyti vadovybei, auditoriams ar draudikams, tam reikia daugiau nei versijos numerio. Štai kaip pakeitimų žurnalo įrašas tampa įrodymu.

Skaityti toliau →025

Hostingo teikėjo keitimas po saugumo incidento: į ką atkreipti dėmesį?

Po incidento noras keisti hostingo teikėją suprantamas. Kad su juo nepersikeltų ir užpuolikas, svarbi eilės tvarka ir pasirinkimas.

Skaityti toliau →026

Kelios PHP versijos viename serveryje: kiekvieną pataisyti atskirai

Daugelyje serverių greta veikia trys, keturi ar daugiau PHP diegimų. Po PHP2Shell kiekvieną reikia surasti, atnaujinti ir paleisti iš naujo.

Skaityti toliau →027

Senų PHP versijų išjungimas hostingo valdymo skydelyje

PHP2Shell yra gera proga atsikratyti senų PHP versijų. Elkitės trimis etapais, kad nepastebimai nenustotų veikti jokia svetainė ar cron užduotis.

Skaityti toliau →028

Plesk: PHP tvarkyklių supratimas (FPM, FastCGI, Apache modulis)

Kokią PHP tvarkyklę Plesk naudoja svetainei, lemia izoliaciją, konfigūraciją ir riziką. Palyginimas atsižvelgiant į PHP2Shell.

Skaityti toliau →029

CloudLinux ir alt-php: ką turėtų žinoti hostingo klientai

CloudLinux serveriuose svetainės dažnai veikia su savo alt-php paketais. Kiekvienai iš šių versijų reikia savo pataisos, o ją įdiegti gali tik serverio operatorius.

Skaityti toliau →030

PHP NAS, ugniasienėse ir įrenginiuose: pamirštos sistemos

PHP naudoja ne tik žiniatinklio serveriai. Paveikti gali būti ir NAS sistemos, ugniasienės bei specializuoti įrenginiai su žiniatinklio sąsaja. Pataisyti ten dažniausiai gali tik gamintojas, pasiekiamumą reguliuojate jūs patys.

Skaityti toliau →031

PHP debesų ir PaaS teikėjų platformose: kas taiso vykdymo aplinką?

Platformų paslaugose PHP pataisa priklauso nuo veikimo modelio. Lemiama yra vykdymo aplinka, kuri iš tikrųjų pateikia turinį, o ne vietinė aplinka ar programos kodas.

Skaityti toliau →032

Oficialūs PHP Docker atvaizdai: žymės, santraukos ir perkūrimas

Oficialaus PHP atvaizdo žymė yra rodyklė, kuri laikui bėgant keliauja į naujas būsenas. Kas supranta, ką reiškia žymė, variantas ir santrauka, pasirenka tinkamą atvaizdą ir gali įrodyti pataisų būseną.

Skaityti toliau →033

CI/CD: automatinis PHP atvaizdų perkūrimas

Atvaizdas pasensta ir be kodo pakeitimų. Su pagal grafiką vykdomais kūriniais, versijos patikra ir diegimu pagal santrauką PHP pataisos patikimai patenka į gamybą.

Skaityti toliau →034

Ilgalaikis senų PHP versijų palaikymas: galimybės ir ribos

Kas negali nedelsdamas pereiti nuo PHP 8.1 ar senesnės, ilgalaikį palaikymą randa distribucijose, trečiųjų šalių teikėjuose ir komerciniuose sprendimuose. Ką šie keliai duoda, ką reikia gauti raštu ir kur jų ribos.

Skaityti toliau →035

PHP atnaujinimas Windows sistemoje

Windows sistemoje automatinio PHP atnaujinimo nėra. Kas pasirenka tinkamą variantą, patikrina atsisiuntimą ir paleidžia visus procesus iš naujo, PHP2Shell pataisą tvarkingai įdiegia kiekviename kompiuteryje.

Skaityti toliau →

Aptikimas ir forensika

18 straipsn.

036

Įspėjamasis ženklas: žiniatinklio serveris paleidžia apvalkalą (shell)

Jei PHP-FPM ar žiniatinklio serverio procesas paleidžia apvalkalą (shell), tai vienas stipriausių įsilaužimo įspėjamųjų ženklų. Kaip patikrinti procesų medį, įvertinti išimtis ir šį šabloną nuolat stebėti.

Skaityti toliau →037

Įtartinų procesų radimas Linux serveriuose

Kenkėjiški procesai maskuojasi nekenksmingais pavadinimais, veikia iš laikinųjų aplankų arba iš ištrintų failų. Keliomis tik skaitančiomis komandomis rasite neįprastus dalykus ir juos įvertinsite.

Skaityti toliau →038

Paslėptų cron užduočių kaip užpakalinių durų atpažinimas

Užpuolikai suplanuotas užduotis naudoja, kad po išvalymo sugrįžtų. Kaip visiškai patikrinti crontab, cron katalogus, systemd laikmačius ir at užduotis bei atpažinti įtartinus įrašus.

Skaityti toliau →039

Neseniai pakeistų failų radimas žiniatinklio serveryje

Po galimo įsilaužimo svarbu, kas serveryje pasikeitė. Kaip ieškoti pagal laiko langus, teisingai naudoti mtime ir ctime bei lyginti su paketais, Git ir atsarginėmis kopijomis.

Skaityti toliau →040

PHP failai įkėlimų aplanke: kaip teisingai suprasti radinius

PHP failas įkėlimų aplanke yra beveik visada pavojaus ženklas, bet ne kiekvienas jų yra kenkėjiškas kodas. Kaip įvertinti radinį nesunaikinant pėdsakų ir išsiaiškinti, ar kas nors jį iškvietė.

Skaityti toliau →041

Užmaskuoto PHP kodo atpažinimas

Neįskaitomas PHP kodas su eval ir base64_decode yra klasikinis įterpto kenkėjiško kodo ženklas. Kokių šablonų ieškoti, kaip juos rasti nepavojingai ir kada maskavimas yra teisėtas.

Skaityti toliau →042

Serverio išeinančių ryšių patikra

Žiniatinklio serveris daugiausia atsako į užklausas. Jei jis pats užmezga ryšius su nežinomais tikslais, tai gali reikšti užpuolikų valdymą ar duomenų nutekėjimą. Kaip tikrinti ir riboti išeinantį srautą.

Skaityti toliau →043

Svetimų administratoriaus paskyrų radimas CMS ir serveryje

Nežinomas administratorius dažnai yra paprasčiausios užpakalinės durys. Kaip lygmuo po lygmens ieškoti svetimų paskyrų, taip pat tų, kurias sąsaja slepia.

Skaityti toliau →044

Nežinomų SSH raktų radimas ir šalinimas

Įterptas SSH raktas atveria užpuolikams duris net pakeitus visus slaptažodžius. Kaip rasti kiekvieną authorized_keys failą ir patikrinti kiekvieną įrašą.

Skaityti toliau →045

Kriptokasėjas žiniatinklio serveryje: požymiai ir veiksmai

Nuolat pilnas procesorius, nors lankytojų nedaugėja: tai gali būti kriptokasėjas. Kaip patikrinti apkrovą, rasti procesą ir jo paleidimo iš naujo mechanizmus bei elgtis tvarkingai.

Skaityti toliau →046

Serveris siunčia šlamštą: kaip rasti priežastis

Neįteikiami laiškai, juodieji sąrašai, skundai: kai pats serveris siunčia šlamštą, už to dažniausiai slypi skriptas arba užgrobta pašto dėžutė. Kaip rasti šaltinį.

Skaityti toliau →047

SEO šlamštas ir svetimi puslapiai Google indekse

Staiga jūsų domene aukštai rodomi puslapiai apie vaistus ar prekių ženklų kopijas. Sužinokite, iš kur atsirado SEO šlamštas, ir kaip jį pašalinti iš indekso.

Skaityti toliau →048

Svetainė nukreipia į svetimus puslapius

Lankytojai patenka į loterijas ar abejotinas parduotuves, o jūs patys nieko nematote? Sužinokite, kuriame sluoksnyje slypi nukreipimas, ir kaip jį pašalinti.

Skaityti toliau →049

Išsaugokite įrodymus, prieš iš naujo įdiegdami serverį

Naujas įdiegimas pašalina užpuoliką, bet ir visus pėdsakus. Kas prieš tai skiria valandą įrodymų išsaugojimui, vėliau gali pasakyti, kas įvyko.

Skaityti toliau →050

Incidento laiko juostos sudarymas

Kada atėjo užpuolikas, ką jis darė, kada tai pastebėta? Tvarkinga laiko juosta atsako į šiuos klausimus ir yra pranešimų, draudimo ir ataskaitos pagrindas.

Skaityti toliau →051

CMS branduolio failų palyginimas su originalu

Palyginimas su švariu originalu parodo kiekvieną pakeistą failą, nepriklausomai nuo to, ar skeneris jį pažįsta. Taip sukuriate palyginimą WordPress, Composer projektams ir sistemos paketams.

Skaityti toliau →052

Duomenų bazės patikra dėl įterpto kodo

Kas tikrina tik failus, praleidžia pusę problemos. Sužinokite, kaip skaitymo režimu ir kopijoje peržiūrėti duomenų bazės turinį, nustatymus, trigerius ir paskyras dėl įterpto kodo.

Skaityti toliau →053

Kenkėjiškų programų skeneriai svetainėms: ką jie randa ir ko ne

Skeneris nieko nepraneša, vadinasi, viskas gerai? Nebūtinai. Kokių rūšių svetainių skenerių yra, ką mato kiekvienas ir ko iš principo matyti negali.

Skaityti toliau →

Sutvirtinimas ir konfigūracija

20 straipsn.

054

PHP-FPM baseinų izoliavimas kiekvienai svetainei

Atskiras baseinas kiekvienai svetainei yra pradžia, ne pabaiga. Sužinokite, kaip patikrinti esamus baseinus ir sutvirtinti lizdus, plėtinius, būsenos puslapius, resursus ir žurnalus.

Skaityti toliau →055

memory_limit teisingas nustatymas

memory_limit riboja atmintį vienai PHP užklausai. Po PHP2Shell php.net laikinai pataria priešingai. Kas galioja įprastu režimu, pereinamuoju laikotarpiu ir po atnaujinimo.

Skaityti toliau →056

post_max_size ir upload_max_filesize prasmingas ribojimas

Įkėlimo ribos veikia trijose vietose: žiniatinklio serveryje, PHP ir programoje. Taip nustatysite reikšmes darniai, taip pat su php.net pereinamosiomis reikšmėmis dėl PHP2Shell.

Skaityti toliau →057

session.upload_progress išjungimas: teisingai ir visam laikui

Priemonė nuo CVE-2026-115560 ir viena iš PHP2Shell pereinamųjų priemonių nustatoma greitai. Kad ji išliktų, ji turi būti tinkamoje vietoje, užrakinta ir po kiekvieno atnaujinimo patikrinama iš naujo.

Skaityti toliau →058

expose_php ir Server antraštė: versijų duomenų slėpimas

PHP, Nginx ir Apache numatytai nurodo savo versijos numerį kiekviename atsakyme. Tai neapsaugo nuo atakų, bet skeneriams suteikia patogų taikinių sąrašą. Sužinokite, kaip tai išjungti ir vis tiek išlaikyti apžvalgą.

Skaityti toliau →059

display_errors off: klaidų išvedimo išjungimas produkcijoje

Matomi PHP klaidų pranešimai išduoda kelius, duomenų bazių pavadinimus ir versijas. Sužinokite, kaip juos išjungti PHP, karkase ir žiniatinklio serveryje neprarandant klaidų iš akių.

Skaityti toliau →060

php_admin_value: nustatymų užrakinimas nuo perrašymo

Saugumo nustatymas mažai naudingas, jei programa jį vėl pakeičia viena kodo eilute. Su php_admin_value ir php_admin_flag privalomai nustatote reikšmes PHP-FPM ir Apache.

Skaityti toliau →061

Atminties ribų nustatymas su systemd ir cgroups

php.net kaip PHP2Shell pereinamąją priemonę rekomenduoja memory_limit=-1 ir atminties ribą už PHP ribų. Sužinokite, kaip šią ribą nustatyti su systemd ir cgroups, kad vienas darbinis procesas nenutemptų visos paslaugos.

Skaityti toliau →062

Saugi Nginx konfigūracija PHP

Dauguma pažeidžiamumų Nginx sąrankose PHP slypi ne Nginx, o kelių PHP location eilučių. Sužinokite, kaip sukonfigūruoti perdavimą PHP-FPM taip, kad būtų vykdomi tik norimi scenarijai.

Skaityti toliau →063

Saugi Apache konfigūracija PHP

Apache lankstus, ir būtent dėl to jautrus neteisingai konfigūracijai. Sužinokite, kaip prijungti PHP per PHP-FPM, uždaryti .htaccess kaip užpakalines duris ir saugiai nustatyti svarbiausias pagrindines parinktis.

Skaityti toliau →064

PHP vykdymo įkėlimų aplankuose draudimas

Webshell reikia dviejų dalykų: aplanko, į kurį ją galima įrašyti, ir serverio, kuris ją vykdo. Sužinokite, kaip atimti antrąjį, ir tai kiekviename įrašomame aplanke, o ne tik uploads.

Skaityti toliau →065

Įkėlimo užklausų filtravimas pakraštyje: galimybės ir rizika

Specializuoti autoriai siūlo iki PHP pataisymo tarpiniame serveryje blokuoti įkėlimo užklausas už tikrųjų įkėlimo kelių ribų. Tai gali padėti, bet gali paralyžiuoti ir formas bei užsakymus. Sužinokite, kaip elgtis kontroliuojamai.

Skaityti toliau →066

ModSecurity ir OWASP Core Rule Set naudojimas

Sava žiniatinklio programų ugniasienė su ModSecurity ir OWASP Core Rule Set yra nemokama ir galinga, bet ne savaime veikianti. Sužinokite, kaip pasirinkti variklį, pradėti be gedimų ir suderinti taisykles.

Skaityti toliau →067

Fail2ban žiniatinklio serveriams: diegimas

Fail2ban blokuoja adresus, kurie žurnaluose atkakliai krenta į akis. Žiniatinklio serveriams jis turi paruoštus filtrus, o keliomis eilutėmis galima pridėti savų. Sužinokite, kaip jį įrengti neužblokuojant savęs ar klientų.

Skaityti toliau →068

Ugniasienė žiniatinklio serveriui: atverti tik reikalingus prievadus

Žiniatinklio serveriui į išorę dažniausiai reikia tik dviejų prievadų. Vis dėlto daugelyje serverių internete klausosi duomenų bazės, PHP-FPM ar valdymo sąsajos. Sužinokite, kaip rasti atviras paslaugas ir uždaryti nereikalingas.

Skaityti toliau →069

Automatiniai saugumo atnaujinimai Linux serveriuose

Pasak pranešimų, distribucijos PHP atgalinius pataisų perkėlimus (backport) kartais pateikė jau 2026 m. spalio 21 d., pataisų dieną. Kas naudoja automatinius saugumo atnaujinimus, juos serveryje turėjo greitai. Kad jie veiktų, reikia paleidimų iš naujo, trečiųjų šalių šaltinių ir kontrolės.

Skaityti toliau →070

Least Privilege: žiniatinklio serverio naudotojo teisės

Įterptas kodas veikia su žiniatinklio serverio naudotojo teisėmis. Ką ši paskyra gali daryti, lemia, kaip toli nueis užpuolikas. Štai kaip apriboti shell, sudo, cron, duomenų bazę ir failų sistemą iki būtino minimumo.

Skaityti toliau →071

Administravimo zonų apsauga per IP, VPN ar papildomą apsaugą

Kodėl svetainės užpakalinė dalis neturi būti pasiekiama visam pasauliui ir kaip ją apsaugoti per IP leidimus, VPN ar išankstinį prisijungimą neužrakinant savęs.

Skaityti toliau →072

TLS ir HTTPS teisingas sukonfigūravimas

Kokias TLS versijas ir šifrų rinkinius šiandien turėtų siūlyti žiniatinklio serveris, kuo remiasi rekomendacijos ir kaip patikrinti Nginx, Apache ir išeinančius PHP ryšius.

Skaityti toliau →073

CIS Benchmark ir BSI moduliai žiniatinklio serveriams

Kokie sutvirtinimo standartai egzistuoja Linux žiniatinklio serveriams, kuo skiriasi CIS Benchmark ir IT-Grundschutz moduliai ir kaip iš jų sukurti tikrinamą reikalavimų rinkinį savo PHP serveriams.

Skaityti toliau →

Saugus programavimas

16 straipsn.

074

Slaptažodžių saugojimas PHP: teisingas password_hash naudojimas

Kaip kūrėjai PHP saugo slaptažodžius su password_hash ir password_verify, parenka tinkamą metodą ir pakeičia senus MD5 ar SHA-1 maišus (hash) neprašydami visų naudotojų atstatyti slaptažodžio.

Skaityti toliau →075

CSRF apsauga PHP programose

Kaip kūrėjai PHP programose užkerta kelią Cross-Site Request Forgery: žetonai kiekvienai keičiančiai užklausai, kilmės tikrinimas antraštėje ir SameSite slapukai kaip papildomas sluoksnis.

Skaityti toliau →076

Įvesties patikra ir filtravimas PHP su filter_var

Kaip kūrėjai PHP tikrina įvestį su filter_var, filter_input_array ir leidžiamųjų sąrašais, kurie filtrai pasenę ir kodėl patikra nepakeičia parengtų užklausų (prepared statements) bei išvesties kodavimo.

Skaityti toliau →077

Command Injection PHP prevencija

Kaip kūrėjai PHP išvengia Command Injection: sistemines komandas keičia PHP funkcijomis, naudoja proc_open be shell, tikrina argumentus ir randa pavojingas vietas esamame kode.

Skaityti toliau →078

Server-Side Request Forgery (SSRF) PHP prevencija

Kaip kūrėjai užkerta kelią, kad PHP programa svetimų žmonių vardu nekreiptųsi į vidines sistemas: leidžiamųjų sąrašai, protokolų apribojimas, išspręsto adreso tikrinimas ir tinklo ribos.

Skaityti toliau →079

XML External Entities (XXE) PHP prevencija

Kaip kūrėjai PHP saugiai apdoroja XML: libxml numatytasis elgesys, rizikingos parinktys kaip LIBXML_NOENT, apsauga su entity loader ir LIBXML_NO_XXE bei tipiniai paslėpti XML įėjimai.

Skaityti toliau →080

Type Juggling PHP: laisvi palyginimai kaip saugumo rizika

Kodėl laisvi palyginimai su == PHP gali sukelti saugumo spragų, ką pakeitė PHP 8.0 ir kaip patikimai rašyti palyginimus prisijungimuose, žetonuose ir teisėse.

Skaityti toliau →081

Saugūs atsitiktiniai skaičiai ir žetonai PHP su random_bytes

Kaip kūrėjai PHP kuria žetonus slaptažodžio atstatymo nuorodoms, API raktams ir vienkartiniams kodams: kriptografiškai saugūs šaltiniai, pakankamas ilgis, saugojimas kaip maiša (hash) ir ribotas galiojimas.

Skaityti toliau →082

Prisijungimo duomenų ir .env failų teisinga apsauga

Kaip PHP projektuose apsaugoti duomenų bazės slaptažodžius, API raktus ir kitas paslaptis: .env failai už žiniatinklio šakninio katalogo, užraktai žiniatinklio serveryje, siauros teisės ir tvarkingas pakeitimas po incidento.

Skaityti toliau →083

Viešas .git aplankas: nuvertinamas duomenų nutekėjimas

Kodėl per Git paskleistas žiniatinklio šakninis katalogas gali atskleisti visą šaltinio kodą su istorija, kaip tai patikrinti, nedelsiant užrakinti ir diegimą nuolat kurti be .git aplanko.

Skaityti toliau →084

Atsarginių kopijų failai žiniatinklio šakniniame kataloge: .zip, .sql ir .bak

Kodėl duomenų bazių išklotinės (dump), archyvai ir atsarginės kopijos viešame kataloge priklauso dažniausiems duomenų nutekėjimams, kaip jas rasti, užrakinti ir išsiaiškinti, ar jos buvo kviečiamos.

Skaityti toliau →085

phpinfo() failai: kodėl jie turi išnykti

Po PHP2Shell daugelis administratorių greitai sukuria info.php. Kodėl tokie failai yra duomenų nutekėjimas, kaip juos rasti ir kokie tikrinimo būdai geresni.

Skaityti toliau →086

Priklausomybių atnaujinimas: Composer, npm ir papildiniai

Projektą sudaro trys paketų pasauliai: Composer, npm ir CMS papildiniai. Kaip visus tris išlaikyti atnaujintus su fiksuotu ritmu, aiškia atsakomybe ir bandymais.

Skaityti toliau →087

Saugumo kodo peržiūra PHP projektams

Kaip komandos tikslingai peržiūri savo PHP kodą dėl saugumo spragų: peržiūrų rūšys, kritinės funkcijos, prasmingi įrankiai ir kontrolinis sąrašas.

Skaityti toliau →088

Saugus žurnalų vedimas: klaidų fiksavimas be duomenų nutekėjimo

Žurnalai padeda ieškant klaidų ir forenzikoje, bet greitai patys tampa duomenų nutekėjimu. Ką PHP programos turėtų fiksuoti, ko niekada ir kaip žurnalus apsaugoti.

Skaityti toliau →089

REST API apsauga PHP

Sąsajos dažnai apsaugotos prasčiau nei prieš jas esanti svetainė. Svarbiausios REST API taisyklės PHP, nuo objekto teisių iki užklausų ribojimo.

Skaityti toliau →

Vadyba ir teisė

14 straipsn.

090

IT paslaugų teikėjų sutartys: aiškiai nustatyti saugumo pareigas

PHP2Shell parodė, kaip dažnai neaišku, kas turi taisyti. Kokios saugumo pareigos priklauso sutartims su agentūra, talpinimo ir IT paslaugų teikėju.

Skaityti toliau →091

Užsakomasis duomenų tvarkymas, kai paslaugų teikėjai prieina prie serverių

Kas išorės žmones įleidžia į serverius su klientų duomenimis, dažniausiai reikalinga duomenų tvarkymo sutartis (AVV). Ko reikalauja BDAR 28 straipsnis ir kaip avarijos atveju prieigas organizuoti laikantis duomenų apsaugos.

Skaityti toliau →092

Pažeidžiamumų valdymas vidutinėms įmonėms

Nė viena vidutinė įmonė negali iškart apdoroti kiekvieno pranešimo. Lengvas ciklas – registravimas, vertinimas, sprendimas ir įrodymai – užtikrina, kad svarbiausi dalykai būtų padaryti pirmiausia.

Skaityti toliau →093

Žinoti, kas veikia: visų svetainių ir serverių inventorius

Per PHP2Shell daugelis suklupo ne ties pataisa, o ties klausimu, kur apskritai veikia PHP. Štai kaip sudaryti visų svetainių ir serverių inventorių.

Skaityti toliau →094

Pataisų valdymas kaip procesas, o ne gaisrininkų darbas

Kas taiso tik tada, kai dega, kritiniu atveju praranda laiką. Kaip pataisų valdymo procesas su pastoviomis klasėmis, langais ir įrodymais sujungia rutiną ir avarinį atvejį.

Skaityti toliau →095

Avariniai kontaktai: ką ir kada reikia informuoti?

Kritiniu atveju svarbu, ką pavyksta pasiekti ir kada. Kaip sudaryti IT avarinių kontaktų sąrašą su aktyvavimo priežastimis, pavaduotojais ir duomenimis, kurių reikia kiekvienam skambučiui.

Skaityti toliau →096

Kiek kainuoja įsilaužtas serveris: išlaidų straipsniai

Įsilaužtas žiniatinklio serveris sukelia daugiau išlaidų nei remontas. Kokie išlaidų straipsniai atsiranda ir kaip savo skaičiais pagrįsti prevencijos biudžetą.

Skaityti toliau →097

Klientų informavimas po incidento

Ar tai pareiga, ar savanoriškas žingsnis: kaip po incidento nuspręsti, ką informuoti, kurie kanalai saugūs ir kaip paruošti klientų aptarnavimą.

Skaityti toliau →098

Tiekimo grandinė internete: agentūra, hostingo teikėjas, papildinių teikėjas

PHP2Shell parodė, kiek grandžių yra tarp pataisos ir jūsų svetainės. Kaip pažinti savo svetainės tiekimo grandinę, ją apsaugoti ir amortizuoti atskirų grandžių sutrikimus.

Skaityti toliau →099

Saugumo sąmoningumas administratoriams ir redaktoriams: Security Awareness žiniatinklio komandoje

Kas prižiūri svetaines, kasdien sprendžia apie saugumą, dažnai to nepastebėdamas. Kaip apmokyti administratorius ir redaktorius pagal vaidmenį ir be skaidrių mūšio.

Skaityti toliau →100

Avarinės pratybos prie stalo: išžaisti žiniatinklio serverio incidentą

Pratybos prie stalo kainuoja vieną popietę ir parodo, ar jūsų avarinis planas veikia. Čia rasite paruoštą scenarijų incidentui PHP žiniatinklio serveryje.

Skaityti toliau →101

ISO 27001 ir TISAX: ką tai reiškia žiniatinklio serveriams

Kas eksploatuoja ISVS pagal ISO 27001 arba turi TISAX žymę, privalo įtraukti ir žiniatinklio serverius. Čia aprašyta, kokius reikalavimus jie liečia ir kokie įrodymai svarbūs po PHP2Shell.

Skaityti toliau →102

VdS 10000: informacijos saugumas mažoms ir vidutinėms įmonėms

VdS 10000 yra lengvas informacijos saugumo pagrindas vidutinėms įmonėms. Ko ji reikalauja, kas naujo 2025 m. ir ką tai reiškia svetainėms bei žiniatinklio serveriams.

Skaityti toliau →103

Lessons Learned: tobulėti po incidento

Po incidento artėja kitas. Struktūrizuotas aptarimas be kaltininkų ieškojimo iš blogos savaitės padaro išmatuojamą pažangą.

Skaityti toliau →

Sprendimų pagalba

10 straipsn.

104

Skubus kontaktas

Kiekviena valanda svarbi. Parašykite mums dabar.

Trumpai aprašykite sistemą, PHP versiją ir pastebėjimus. Mes atsakysime, išsiaiškinsime padėtį ir dirbsime nuotoliu, kol incidentas bus užbaigtas ir dokumentuotas.

WhatsApp avarija Skambinti