Više puta sam napisao kako se ponaša u praksi. Širi se ko kuga …i ne ulazi u zaključane foldere. Samo ih ja nisam znao zaključati na način koji meni odgovara.
Eto onda si ga rijesio.
Dao sma odgovor u prvom replyu, a od onda je ovaj topic krenuo juzno… i svaki put kad udjem u ovaj topic gore mi pise naslov koji me u istom trenutku iritira i nasmijava…
Ali znam u cemu je problem, gore si spomenuo da ne poznajes linux, ne koristis SSH. To je wall ali ako sjednes i krenes uciti i isprobavati bazicne stvari brzo pohvatas. No PRAVI problem je sto ako imas 10 projekta tebi ce trebati jaaaako puno da to ocistis.
Odnosno u realnom svijetu:
Buduci su projekti na shared hostingu znaci da su amaterski, nisu od zivotne prirode i vjerojatno ne zaradjujes miljarde na njima, pa je mozda najbolja solucija skini na disk i tako drzi ako sto od tog ikad zatrebas jer na windowsu ti zarazeni fileovi ne rade nikakve probleme. A hosting lijepo obrisi…
P.S. mozes citati moje psotove kada pisem o shared hostingu i ljudima koji hostaju webstrancie koje im donose 100 000 kuna mjesecno… Eto pa mozda da si procitaju i ovaj topic i onda nakraju kupe neki pravi hosting a ne da ovise o susjedu koji siri spam i skupklja malware.
Možda je tema očito skrenula u krivom smjeru udavaljavajući se od naslova i konkretno onoga što tražim.
Naslov i jeste možda nespretno napisan, pa da ponovim točno ono što se traži:
"Kako u cPanelu zaključati folder na public_html razini tako da unutar zaključanog foldera smiju pisati samo one skripte koje se nalaze unutar toga foldera"
A sada moj zaključak da će me to zaštiti od svih virusa koji dolaze iz php zaraženih skriptica, neka bude onda samo moj zaključak. Nepotrebno je znači širiti raspravu u tom smjeru…barem mene ta rasprava trenutno ne zanima, jer sam uvjeren u to da mutava .php skriptica ne može nadići te ovlasti cPanela.
A ako se borim sa virusima iz viših slojeva hijerarhije, to ću onda brzo saznati čim zaključam foldere. Ali dok ih ne zaključam, o tome mogu malo saznati.
Sve filozofije o tome kako napraviti profi zaštitu me trenutno ne zanimaju. (Iako ne negiram da je dugotrajno to najbolje rješenje)
Sam si shvatio da to nisu projekti koji zarađuju milijune i ne zaslužuju takovu pažnju trenutno. …a ovo što pokušavam napraviti bi trebalo biti jednostavno i najvjerovatnije će biti dovoljno u borbi sa ovim virusom.
Simple as that.
Btw. nisi odogovorio na pitanja:
E sad, jučer sam napisao da sam izguglao kako se zaključava folder u cPanelu, ali sreo sam problem(čić). Ovog puta bi problem mogao biti stvarno do konfiguracije hosta…možda netko ima ideju o čemu se radi. Naime, nakon što postavim write permission na “Group” i nakon što idem posjetiti stranicu dobijem eroror:
Internal Server Error
The server encountered an internal error or misconfiguration and was unable to complete your request.
Please contact the server administrator to inform them of the time this error occurred, and the actions you performed just before this error.
More information about this error may be available in the server error log.
Additionally, a 500 Internal Server Error error was encountered while trying to use an ErrorDocument to handle the request.
Da bi eliminirao šansu da je neki dio code-a uzrok grešci, ostavio sam u projektu samo index.php file sa samo jednom echo “test” linijom …ali ista greška se prikazuje i tada.
Što će reći da nije problem u nijednoj skripti nego iz nekog razloga cPanel mi pukne kada postavim taj permission.
Netko nekakvu ideju sugestiju slučajno ima? Hvala.
Problem ti je u pravima, 0644 ili 0755 ti treba biti, ovisi za sto, iako sam smijesan, detalji na linku.
Ostavi se ćoravog posla. Nećeš uspiti. Najelegantnije rješenje je da hoster baci server u smeće, kupi novi i vrati zadnju zdravu kopiju.
1 Like
Stvar je da je na shared hostingu jedan direktorijum otvoren za HTTP request-ove.
Taj direktorijum ima permission-e da se stvari mogu upisivati u njemu kako bi se moglo keširati, praviti temporary files, i ostala funkcionalnost koja je potrebna za funkcionisanje krštenog sajta (sajta koji nije 3 i po HTML fajla a la '99.).
Svaka dodana domena ili poddomena upada u taj direktorijum i omogućeno joj je sve ovo gore navedeno po default-u a da bi taj direktorijum mog’o funkcionisati k’o entry point za sajt.
Ako se naprave restrikcije za odredjene direktorijume, to nije nešto ad hoc već se mora biti sasvim metodičan i analitičan kako to izvesti.
Ne vrijedi truda, i puno se rizikuje (iz ovog topika vidimo i zašto) držati silne sajtove na shared-u.
Nekad sam uspijev’o pregledati nazive komšijskih naloga na inmotionhosting-u (?a navodno je jedan od jačih).
Ako postoji 50 sajtova koji u regularnim uslovim (bez ovakvih napada i smetnji) rade na shared, treba ih postaviti na VPS - bolje će raditi a zarad veće sigurnosti, može se izvesti sa 50 user-a gdje definitivno ni jedan po default-u ne može mijenjati fajlove u userspace-u onog drugog.
Mislim da čak do te mjere ne treba ni ići već je prvi problem ovde što su različiti projekti unutar otvorenog (nazovimo ga public_html) direktorijuma i faktički ništa nije zaštićeno.
Da bi se pristupilo ikakvom rješavanju, treba uzeti popis svih plugin-a i widget-a i krenuti surfati da li je neki pravio ovakav zajeb.
Strogo “plugin_name malicious” u google i pregledati prve dvije tri strane i tako za svaki.
A vidio sam na forumu da se može desiti slično i sa nulled temama. A pretpostavljam da je to još veći problem jer su greške generičke i neće biti opisane baš na google-u već treba zaguglati nulled WP theme malicious pa tražiti sličnosti ist na nekol’ko strana googla u svakom linku.
Ne bi’ sebi dopustio da mi se desi ovako nešto ali i u takvom slučaju ovo je kako bi’ počeo sredjivanje.
Zašto ne valja rješenje sa random zaključavanjem direktorijuma (random == ne znamo zbog čega to radimo već se samo nadamo da nešto necće biti kreirano unutra) - ne valja jer i dalje ne znamo uzrok zašto bi se to dešavalo ako direktorijum nije zaključan. Ja ovde pričam o final solution-u*.
*K’o u bajci vuk i tri praseta, pravljenje zidane kuće je samo temporary solution. Ulov vuka je final solution i kvalitet kuće nije primaran za konačno rješenje (disclaimer: ne pokazujte ovu istinu sitnoj djeci dok ne savladaju osnove Python-a).
ovlasti cPanela su manje nego ovlasti superusera.
Da sam sam shvatio i mozda sam trebao napisati da je bolje da su to test projekti ili neki projekti u startu, ako su to projekti koji donose ozbiljno lovu onda si sam moras priznati da si se gadno zeznuo hostanjem na sharedu.
Bravo. Ni sam neznas kako je ovo smjesno meni i @jorgovan u i onima koji razumiju cemu sluze permisije i kako funkcioniraju MYSQl, Apache ili drugi serveri…
Ti bi zabranio permisije a site da radi? Promjenio bi vlasnika foldera a site da radi?
Lijepo sam ti napisao ako je ovo sto radis edukativne prirode onda ovo sto tipkam ima smisla i koristi ali ako ti stvarno pokusavas ocistiti fileove na nacin na koji si opisao onda kao sto kaze:
A prebacivanjem na novi hosting sam napisao da ti treba zatvoren hodting tipa VPS ili dedicated. S time si dobio da si 100% siguran da susjed kojeg vjeruj mi imas na shared hostingu nece nanovo inficirat tvoje fileove dok ih bas pocistis. A u ovoj recenici se i krije odgovor zasto je topic naslova smijesan.
P.S. Ako i pocistis i dalje ces biti na tom hostingu? Najkorisnija informacija koju bi citact ovog topica iz sveg ovog natipkano mogao izvuc je ime hostinga na kojem ti se to desilo…
1 Like
Isto kao kad se win admini idu igrati linux admina i misle da sve mogu.
1 Like
Koliko su ti veliki ti projekti?
Napravio bi ovo:
export baze
povukao iz uploada sve slike
uzeo novi hosting ili u virtualboxu testirao
napravio novu instalaciju wp-a
napravio upload baze
napravio upload svih slika
pluginove uključivao po jedan i gledao jel ima gdje problema
ako je taj projekt ok onda bi tako i druge.
Da, samo si jos zaboravio database da treba procesljat. I nije bitno dali je plugin ukljucen ako je malicious code gore.
Napravio bi ovo za laike:
-
Definitivno promjeniti cheap shit hosting i ako se vec nema para za pravi hosting otici kod drugog cheap shit hostinga jer ipak barem za tajd rugi nemam dokaz da je zarazen (vjerojatno je,lol).
-
Skinuti bazu i procesljati je alatima, e sad kako on nezna se sluziti SSHem neznam tocno cime moze velike datoteke cesljati, nevjerujem da postoji neki dobar scaner u windowsu, ako postoji onda njime. znaci zgooglas ili ako si vec pronasao u databasi code koji je sumnjiv onda pretrazis cjelu databazu, ovo mozda mozes napraviti i preko cpanela i phpmyadmina, pa dumpas ociscenu databazu… trazis encoded codove, base64 i tako sumnjive stvari. i ne t razis samo u tekstualnom djelu tablica nego id rugim jer znaju ti virusi biti jako pametni
-
slike skines i provjeris da su u fodlerima samo slike a ne neki drugi fileovi
-
napravis novu instalaciju i svaki plugin nanovo instaliras nikako ne kopirat sa starog servera na novi.
-
ako je vise projekta onda bi pricekao mjesec dana i vidio dali se vrius aktivirao, ako se aktivirao onda znacid a si negdje napravio propust u ciscenju database i u njoj se krije backdor jer svaki taj virus ima masu anpravljenih backdora vec sam ih gore spomenuo. ILI je mozda neki od plugina inficiran na wordpress serveru, zato mozda provjeriti sve te plugine po forumu dali se sire poruke o zarazi…
-
nakon mjesec dana, odnosno da tocno prodje 31 dan bi poceo prebacivati ostake projekte siteve koji su zarazeni.
Za Linux Admine ili barem one koji znaju bazicno linux:
Prve dve stavke su iste
3. skinuo bi backup fileva i uploadao na novi server, e sad ovisi o vasoj razini Linuxa dali da inficirani site uplaodate na live server ili prije da imate privremeni filter server, kod DO za 5$ privremeni, pa nije miljun. Koristis grep commandu s kojom skaniras sve fileove za odredjeni code, nadjes obrises filtriras, rince repeat i to je to.
4. tako sve siteve.
5. velika je sansa da ce ti neki code promaknut i nanovo ce se svi sitevi ili neki od njih inficirat, onda moras ponovno sve raditi…
P.S. mozda @hitnapcsluzba moze ovaj kratak tutorial koristiti pa ponuditi i ciscenje web servera od virusa…
p.s.s. kod prvoe metode process je strasno spor i treba jako puno vremena zato je bolje prebacit jedan ic ekat 31 dan pa onda ostale jer zamisli da imas 50 siteva “ocistis” ih i ■■■■■ se vrati za 30 dana, sto onda? jos jednom tako? i koliko puta tako bi mogao?
Kod druge metode sve die brze pa se mogu odmah prebacitis vi serveri jer GREP komanda radi cuda!!!
1 Like
E ovo cu bas reci mom direktoru, da je kreten jer business koji donosi prihod godisnje od par 100 milijuna eura godišnje drži na shared hostingu. Ako treba i prevesti cu mu to da bolje razumije.
Koje ti nebuloze nekada napises pa to nije za vjerovati.
1 Like
Da i ja se pitam cemu se upustam u ovakve rasprave i razgovore. 100 miljuna eura godisnje i sav biznis se vodi na shared hostingu. i onda napsies da ja pisem nebuloze?
Ako imas muda daj url od tog biznisa, nista mu se nece dogoditi…
EDIT:
Nemoras slat link. barem website nije hostan kod popularnih godaddy, hostgator i takvih… Ali da si izvalio nebulozu jesi i to ite kakvu. Ja znam firmu tu lokalnu koja ima slicne brojke a nemaju ni site…
Tvpojem sefu biznis ne ovisi o siteu, ali eto zelis valjda neku reakciju od mene, a vidim i @c3po lijepi like vjerojatno zbog drugih topica. @c3po zar i ti stvarno vjerujes da internet biznis koji ima 100 miljuna prihode se hosta na shared hostingu? ili si zalijepo like jer sam ti proturjecio u drugom topicu?
EdIT2:
@bozoou i dalje nije napisao najvazniju informaciju o kojem shared hostingu se radi pa da barem ovi koji stvarno imaju “vrijedne” webstrancie maknu sa tog hostinga…
EDIT3:
@creatifcode mozda umjesto da mu kazes mozes mu poslat ove linkove, mozda nakon toga dobijes i povisicu:
I eto ovo je i moj zadnji post na ovom forumu. Vec duze vrijeme pokusavam balansirat ovaj forum sa slobodnim vremenom ali mi neide zbog ovakvih topica, a jos me zulja @brane333 iz drugog topica i eto nemogu i morma jednostavno otic. pozdrav.
Svaki auto vozi do mora, samo je pitanje sa koliko muke češ doći tamo, da li imaš klimu ili ne, koliko često moraš tankati, koliko ti troši itd… 
Može svaki auto biti shared hosting, neki bolji neki manje dobar, a VPS na primjer avion. Pa ti sada vidi da iz ZG na more u ZD ideš avionom.
1 Like
Dječica ste s analogijama naspram postavljača teme.
Drž’te gaće čekajte samo da se isti do’vati petronifikacije nižih organskih jedinjenja, razvoja moderne religijske psihologije i robotike kroz etiku 2 (, naravno, da bi’ objasnio™ kod iz JS objekta).
Sto se tice Google rangiranja, hoce li VSP biti u prednosti ispred shared hostinga ? Uzmimo za primjer nove domene.
Dobar shared čiji je centar bliži tebi tj klijentu, sa dobrom izlaznom komunikacijom će biti bolji od VPS-a sa drugog kraja svijeta i vice versa.
Tu se radi o brzini serverskog upload-a. To je ograničen resurs (pa najograničeniji jer je upgrade najskuplji) i kvalitetna hosting kompanija će sigurno držati do toga bez obzira na tip servera/mašine/paketa.
Sa druge strane ako uzmeš najjeftiniji VPS i pokušaš da vršiš streaming servis, takodje se nećeš dobro provesti.
1 Like
da imam online biznis koji mi donosi par stotina miliona eura godisnje imao bih svoj datacentar a ne shared ili vps
ako ništa radi sigurnosti
Radije bi avionom, jer bi bio za koliko h u zadru? 0.5 ili 1 sat, a to ne osjetiš.
ili svoju opremu u nekom datacentru.