Перевірка безпеки вебсайтів

Відкрийте панель управління вашого сервера і оберіть веб- сайт. Знайдіть його параметри PHP або обробник PHP, щоб визначити версію і чи використовується у ньому PHP- FPM або модуль Apache. На панелі управління часто не вказано повної версії пакунка операційної системи.

Якщо доступ до командної оболонки недоступний, запитайте вашого постачальника послуг: « Яка ОС/ випуск, версія часу виконання PHP, повністю встановлена версія пакунка і сховище пакунків обслуговують цей веб- сайт? Чи використовує запущений веб- процес цей пакунок і чи перезапускалися служби після оновлення безпеки? »

Не вмикати SSH або не створювати відкритий phpinfo() сторінка лише для цієї перевірки. Для збірок, що керуються постачальником, PPA, Remi, Homebrew і нетипових збірок потрібні докази безпеки постачальника, а не порівняння пакунків дистрибутива.

1. Знайдіть адресу сервера, ім’ я користувача SSH і інструкції щодо доступу на панелі керування вашого сервера. Якщо ви не впевнені, запитайте у вашого адміністратора.
2. У Windows відкрийте Термінал Windows або PowerShell. У macOS відкрийте Термінал. У Linux відкрийте звичайний термінал.
3. Замініть наведені нижче приклади імені користувача і назви вузла. Використовуйте порт і метод SSH- ключа, вказані вашим вузлом. Не використовуйте спільний ключ або пароль.
4. Перевірте відбиток пальця сервера за записом надійності вашого провайдера перед прийняттям першого з’ єднання. Якщо існуючий відбиток пальця було несподівано змінено, зупиніться і перевірте його у провайдера.
5. Виконайте відповідні команди тільки для читання, наведені нижче. Зазвичай, вам їх не потрібно sudo або права адміністратора. Тип exit коли закінчено.

ssh your-user@your-server.example

Якщо SSH недоступно, скористайтеся консоллю переглядача постачальника послуг або запитайте підтримку. Контейнер має свою власну ОС і список пакунків; перевірка лише його вузла може дати неправильну відповідь.

cat /etc/os-release

Використання ID і VERSION_ID, наприклад ubuntu і 20.04. Виберіть у формі цей дистрибутив і гілку PHP.

php -v

Це лише підказка. На веб- сайті може бути запущено іншу версію PHP. Перевірте параметри хостингу веб- сайту або налаштування web- server/ PHP- FPM, перш ніж позначити цей пункт.

dpkg-query -W -f='${binary:Package} ${Version}\n' php7.4-fpm

Замінити php7.4-fpm з встановленим веб- пакунком, наприклад php8.3-fpm або libapache2-mod-php8.3. « Не знайдено пакунків » означає, що назва пакунка не встановлена; не встановлюйте його для цієї перевірки. Скопіюйте повну версію після назви пакунка, включаючи будь- яку епоху, суфікс Ubuntu/ Debian і версію ESM.

apt-cache policy php7.4-fpm

Знову використовувати вашу справжню назву пакунка. Переконайтеся, що встановлена версія походить з офіційного сховища для вибраного дистрибутива. Список сховища сам по собі не доводить походження вручну встановленого пакунка. Доступ до Ubuntu Pro/ESM і права на підтримку також повинні бути чинними.

cat /etc/os-release

rpm -q --qf '%{NAME} %{EPOCHNUM}:%{VERSION}-%{RELEASE}\n' php-fpm

rpm -qi php-fpm

Для іншого веб- обробника використовуйте відповідний встановлений пакунок PHP. Використовуйте повну версію після назви пакунка, включаючи епоху, наприклад 0: і повний суфікс модуля. Встановити точне співвідношення до вибраного потоку PHP. Запитайте у адміністратора, щоб він підтвердив офіційне сховище і те, що цей пакунок обслуговує веб- сайт. Потоки Remi або інших сторонніх розробників не включено до цього порівняння.

Перевірка оновлення операційної системи не пов’ язана з PHP. Не обирайте пакунки Ubuntu, Debian або RPM, які схожі на пакунки інших виробників. Використовуйте відомості про пакунки/ версії вашого вузла і попередження про безпеку цього виробника. Комбінації, які не підтримуються, повертають « Неможливо визначити ». PHP/7.4.3 заголовка недостатньо, щоб встановити виправлення зворотного портування.