Kontrola bezpieczeństwa witryn

Otwórz pulpit nawigacyjny hostingu i wybierz witrynę. Znajdź jej ustawienia PHP lub obsługę PHP, aby zidentyfikować wersję i czy używa PHP-FPM lub modułu Apache.

Jeśli dostęp do powłoki jest niedostępny, zapytaj swojego dostawcę: „Jaki system operacyjny/wersja, wersja środowiska wykonawczego PHP, pełna zainstalowana wersja pakietu i repozytorium pakietów obsługują tę stronę internetową? Czy uruchomiony proces sieciowy używa tego pakietu i czy usługi zostały ponownie uruchomione po aktualizacji zabezpieczeń?”

Nie włączaj SSH ani nie twórz publicznego phpinfo() Zarządzane przez dostawcę, PPA, Remi, Homebrew i niestandardowe kompilacje wymagają dowodów bezpieczeństwa dostawcy, a nie porównania pakietów dystrybucji.

1. Adres serwera, nazwę użytkownika SSH i instrukcje dostępu znajdziesz w panelu sterowania hostingu.
2. W systemie Windows otwórz program Windows Terminal lub PowerShell. W systemie macOS otwórz program Terminal, a w systemie Linux otwórz normalny terminal.
3. Zastąp przykładową nazwę użytkownika i nazwę hosta poniżej. Użyj portu i metody klucza SSH określonej przez hosta.Nie udostępniaj klucza ani hasła.
4. Przed zaakceptowaniem pierwszego połączenia sprawdź odcisk palca serwera w rekordzie zaufanych rekordów dostawcy.Jeśli istniejący odcisk palca nieoczekiwanie się zmienił, zatrzymaj się i skontaktuj się z dostawcą.
5. Uruchom odpowiednie polecenia tylko do odczytu poniżej. Zwykle nie trzeba sudo Dostęp roota. Typ exit Kiedy skończysz.

ssh your-user@your-server.example

Jeśli SSH nie jest dostępne, użyj konsoli przeglądarki dostawcy lub skontaktuj się z pomocą techniczną. Kontener ma własny system operacyjny i inwentarz pakietów. Sprawdzanie tylko jego hosta może dać błędną odpowiedź.

cat /etc/os-release

Użyj ID oraz VERSION_ID, takie jak ubuntu oraz 20.04. Wybierz dystrybucję i gałąź PHP w formularzu.

php -v

To tylko wskazówka, strona może mieć inną wersję PHP. Sprawdź ustawienia hostingu strony lub konfigurację web-server/PHP-FPM, zanim zaznaczysz pole wyboru runtime.

dpkg-query -W -f='${binary:Package} ${Version}\n' php7.4-fpm

Replace php7.4-fpm Z zainstalowanym pakietem internetowym, na przykład php8.3-fpm lub libapache2-mod-php8.3. „Nie znaleziono pakietów” oznacza, że nazwa pakietu nie jest zainstalowana; nie instaluj go do tego sprawdzenia. Skopiuj pełną wersję po nazwie pakietu, włączając epokę, przyrostek Ubuntu/Debian i wersję ESM.

apt-cache policy php7.4-fpm

Upewnij się, że zainstalowana wersja pochodzi z oficjalnego repozytorium dla wybranej dystrybucji. Lista repozytoriów sama w sobie nie potwierdza pochodzenia ręcznie zainstalowanego pakietu. Dostęp do Ubuntu Pro/ESM i uprawnienia do wsparcia muszą być również ważne.

cat /etc/os-release

rpm -q --qf '%{NAME} %{EPOCHNUM}:%{VERSION}-%{RELEASE}\n' php-fpm

rpm -qi php-fpm

Dla innego web handlera, użyj odpowiedniego zainstalowanego PHP Użyj pełnej wersji po nazwie pakietu, włączając epokę, taką jak: 0: i pełny sufiks modułu. Dopasuj wybrane PHP Poproś administratora o potwierdzenie oficjalnego repozytorium i tego, że ten pakiet obsługuje stronę internetową. Remi lub inne zewnętrzne strumienie są poza tym porównaniem.

Sprawdzanie aktualizacji systemu operacyjnego jest oddzielone od PHP. Nie wybieraj podobnie wyglądającego pakietu Ubuntu, Debiana lub RPM innego dostawcy. Użyj informacji o pakiecie / wersji hosta i informacji o bezpieczeństwie tego dostawcy. Nieobsługiwane kombinacje zwracają „Unable to determine”. PHP/7.4.3 Nagłówek nie jest wystarczający do ustanowienia poprawek backported.