Vadovai: PHP ir serverio sauga
Specialistų straipsniai administratoriams ir programuotojams: webshell atpažinimas, php.ini sutvirtinimas, žurnalų analizė, saugus programavimas.
PHP2Shell chronologija: įvykiai nuo 2026 m. spalio 17 iki 25 d.
Visos patvirtintos PHP2Shell datos vienoje apžvalgoje, nuo pirmo pastebėto atakos bandymo iki 2026-10-25 būsenos, ir ką iš to išplaukia jūsų patikrai.
Skaityti toliau →02Hostingo teikėjo PHP atnaujinimo patvirtinimas: kaip pasiteirauti dėl pataisų būsenos
Rodoma PHP versija po PHP2Shell įrodo nedaug. Su šiuo šablonu iš hostingo teikėjo paprašysite patvirtinimo, kurį galėsite dokumentuoti.
Skaityti toliau →03Webshell aptikimas ir šalinimas
Kaip aptikti užpakalines duris PHP žiniatinklio serveriuose nesunaikinant pėdsakų ir kodėl vien ištrynimo retai pakanka.
Skaityti toliau →04WordPress užpakalinių durų paieška: sistemingai aptikite užpakalines duris
Kur paprastai slepiasi WordPress užpakalinės durys ir kaip administratoriai jas sistemingai aptinka su WP-CLI ir keliomis komandomis.
Skaityti toliau →05Kaip saugiai sukonfigūruoti php.ini
Kurie php.ini nustatymai sumažina atakos paviršių, kaip juos apsaugoti nuo perrašymo ir kas papildomai galioja po PHP2Shell.
Skaityti toliau →06Kaip teisingai naudoti PHP disable_functions
Su disable_functions užblokuojate rizikingas PHP funkcijas. Kaip sąrašą pritaikyti programai ir nesustabdyti svetainės.
Skaityti toliau →07open_basedir ir izoliacija kiekvienai svetainei
Kaip su open_basedir, atskirais sistemos naudotojais ir atskirais PHP-FPM baseinais užtikrinti, kad įsilaužimas į vieną svetainę nepaliestų visų kitų serveryje.
Skaityti toliau →08Failų teisės žiniatinklio serveryje
Kodėl žiniatinklio serveris negali keisti savo kodo, kokios teisės failams ir aplankams prasmingos ir kaip greitai patikrinti esamą būseną.
Skaityti toliau →09composer audit: priklausomybių patikra dėl pažeidžiamumų
Kaip kūrėjai su composer audit randa žinomus bibliotekų saugumo pažeidžiamumus, automatizuoja patikrą ir išvengia tipinių diegimo klaidų.
Skaityti toliau →10PHP End of Life: pasenusių versijų rizika
Ką reiškia PHP versijos palaikymo pabaiga, kurios šakos po PHP2Shell dar gauna oficialias pataisas ir kaip migraciją padaryti planuojamą.
Skaityti toliau →11Kaip užkirsti kelią SQL injekcijai PHP
Kaip kūrėjai PHP programose patikimai pašalina SQL injekciją su parengtomis užklausomis, leistinų reikšmių sąrašais ir minimaliomis duomenų bazės teisėmis.
Skaityti toliau →12Kaip užkirsti kelią XSS PHP: saugiai atremkite Cross-Site Scripting
Kaip kūrėjai PHP programose užkerta kelią Cross-Site Scripting: kontekstui tinkamas kodavimas, automatinis escaping šablonuose, HTML valymas ir Content Security Policy.
Skaityti toliau →13Saugus failų įkėlimas PHP: PHP failų įkėlimo sauga
Įkėlimo formos yra dažnas kelias webshell. Kaip teisingai tikrinti failų tipus, saugiai juos laikyti ir neleisti serveriui vykdyti įkeltų skriptų.
Skaityti toliau →14Sesijų apsauga PHP: PHP sesijų sauga praktikoje
Sesijos išlaiko naudotojus prisijungusius ir todėl yra vertingas taikinys. Kaip saugiai sukonfigūruoti slapukus, sesijų ID ir saugojimo vietas bei įgyvendinti PHP2Shell pastabą dėl upload progress.
Skaityti toliau →15Nesaugi deserializacija PHP: unserialize ir sauga
unserialize() su svetimais duomenimis blogiausiu atveju gali lemti kodo vykdymą. Kaip jį pakeisti JSON, apriboti ten, kur jis turi likti, ir rasti rizikingas vietas kode.
Skaityti toliau →16Kaip užkirsti kelią Local File Inclusion PHP: LFI ir RFI
Kai include ar require perima kelius iš užklausos, užpuolikai gali įkelti svetimus failus. Kaip saugiai sukurti puslapių pasirinkimą ir šablonus bei papildomai apsaugoti serverį.
Skaityti toliau →17Administratoriaus prisijungimų apsauga nuo brute force: apsauga kiekvienam prisijungimui
Automatizuoti slaptažodžių bandymai paliečia kiekvieną pasiekiamą prisijungimo puslapį. Kaip sulėtinti užpuolikus užklausų ribojimu ir Fail2ban, apsaugoti paskyras antru veiksniu ir teisingai saugoti slaptažodžius.
Skaityti toliau →18DDoS ar įsilaužimas? Kaip tinkamai atpažinti ataką
Lėta svetainė, didelė apkrova, keisti failai: ar už to slypi DDoS, ar įsilaužimas, lemia teisingą reakciją. Kaip padėtį įvertinti keliomis patikromis.
Skaityti toliau →19Žiniatinklio serverio žurnalų analizė po atakos: kaip teisingai skaityti prieigos žurnalą
Žurnalo failai po atakos dažnai yra svarbiausias pėdsakas. Kaip teisingai išsaugoti prieigos, klaidų ir PHP žurnalus, rasti įtartinas užklausas ir išvengti tipinių analizės klaidų.
Skaityti toliau →20Kaip įdiegti dviejų veiksnių autentifikaciją administratorių prieigoms
Pavogto slaptažodžio neturi pakakti, kad kas nors perimtų jūsų serverį ar parduotuvę. Kaip pasirinkti tinkamą metodą, apsaugoti visas administratorių prieigas ir suplanuoti avarines prieigas.
Skaityti toliau →21Serverio atsarginių kopijų strategija: kopijos pagal 3-2-1 taisyklę
Atsarginė kopija padeda tik tada, jei išgyvena ataką ir ją galima atkurti. Kaip žiniatinklio serveriams taikyti 3-2-1 taisyklę ir teisingai planuoti saugojimą bei testus.
Skaityti toliau →22Security header svetainėms: kaip teisingai nustatyti saugumo antraštes
Saugumo antraštės nurodo naršyklei geriau apsaugoti jūsų lankytojus. Kaip nustatyti svarbiausias antraštes Nginx ir Apache, palaipsniui įvesti Content-Security-Policy ir patikrinti rezultatą.
Skaityti toliau →23Kaip pašalinti Google įspėjimą „Ši svetainė buvo nulaužta“
Įsilaužimo įspėjimas paieškos rezultatuose kainuoja lankytojus ir pasitikėjimą. Kaip kruopščiai išvalyti svetainę, rasti paslėptus šlamšto puslapius ir paprašyti peržiūros Search Console.
Skaityti toliau →24Kontrolinis sąrašas po įsilaužimo: 20 punktų tolesniems veiksmams
Po atakos svarbi teisinga eilė. Šis kontrolinis sąrašas per 20 punktų veda per suvaldymą, įrodymų išsaugojimą, išvalymą, naujas prieigas, pareigas ir dokumentuotą užbaigimą.
Skaityti toliau →Kiekviena valanda svarbi. Parašykite mums dabar.
Trumpai aprašykite sistemą, PHP versiją ir pastebėjimus. Mes atsakysime, išsiaiškinsime padėtį ir dirbsime nuotoliu, kol incidentas bus užbaigtas ir dokumentuotas.