Mẹo thủ thuật sử dugj Joomla-Phần 2

Chia sẻ: Phan Thi Ngoc Giau | Ngày: | Loại File: PDF | Số trang:22

Thêm vào BST

Báo xấu

88
lượt xem 19
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

Là những người truy cập, sử dụng website nói chung, họ không sở hữu tài khoản nào trên hệ thống Joomla! Registered (Thành viên): Là khách sau khi đăng ký vào của hệ thống Joomla! và trở thành thành viên chính thức của hệ thống. Author (Tác giả): Là thành viên có quyền đăng bài hoặc đăng một vài thứ khác mà hệ thống cho phép

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Mẹo thủ thuật sử dugj Joomla-Phần 2

MẸO THỦ THUẬT SỬ DỤNG JOOMLA (PHẦN 2) Bảo mật Website Joomla! 28. Phân quyền trong Joomla! 1.5 2 Phân quyền Joomla! ở tiền sảnh (front-end) 3 Ở phần tiền sảnh, Joomla! chia làm 5 nhóm người dùng tương ứng với 5 mức truy cập khác nhau: g Guest (Khách): Là những người truy cập, sử dụng website nói chung, họ không sở • hữu tài khoản nào trên hệ thống Joomla! Registered (Thành viên): Là khách sau khi đăng ký vào của hệ thống Joomla! và • n trở thành thành viên chính thức của hệ thống. Author (Tác giả): Là thành viên có quyền đăng bài hoặc đăng một vài thứ khác mà • hệ thống cho phép (chẳng hạn như weblink) o Editor (Người biên soạn): Là thành viên có quyền đăng, kiểm duyệt và chỉnh sửa • t tất cả các bài viết (thậm chí cả những bài viết không phải của họ) Publisher (Người xuất bản): Là người biên soạn, ngoài ra có thêm quyền quyết • định việc phát hành các bài viết (chính thức xuất bản lên Website hay không) h n a h Lưu ý 1: Có thể thiết lập để mặc định tài khoản Khách (Guest) cũng là tài khoản Thành viên (Registered). t Lưu ý 2: Bất cứ thành viên nào thuộc phần hậu sảnh (Back-End) cũng có thể thực hiện các thao tác mà người xuất bản (Publisher) có thể làm. Phân quyền Joomla! ở hậu sảnh (back-end) Ở phần hậu sảnh, Joomla! chia làm 3 nhóm tài khoản với 3 mức độ quyền hạn khác nhau: Manager (Người quản lý): Là tài khoản có quyền thực hiện các thao tác quản lý cơ • bản (quản lý menu, quản lý bài viết...). Administrator (Quản trị viên): Là tài khoản có quyền thực hiện mọi thao tác, trừ • việc quản lý thông tin cấu hình hệ thống, quản lý giao diện, quản lý ngôn ngữ, quản lý các tài khoản siêu quản trị. Super Administrator (Siêu quản trị): Là tài khoản có đặc quyền cao nhất, có thể • thực hiện mọi hành động.
2 3 g n o t h n a h t
Thuật ngữ: Front-end (Frontend): Phần tiền sảnh hay phần mặt trước, phần mặt tiền phía • trang chủ mà ai cũng có thể trông thấy. Back-end (Backend): Phần hậu sảnh hay phần quản trị là vùng chỉ dành cho các • 2 thành viên có quyền quản trị hệ thống Joomla!. ACL (Access Control List): Danh sách điều khiển truy cập (trong bài viết này sử • dụng khái niệm Phân quyền cho dễ hiểu). 3 Keyword: g phân quyền, quản trị, khách, người đăng ký, tác giả, người biên soạn, người xuất • bản, quản lý, thành viên, đăng, kiểm duyệt, tiền sảnh, hậu sảnh, tài khoản, danh sách điều khiển truy cập n joomla, administrator, manager, publisher, editor, author, registered, guest, front - • end, back-end, acl, access control list Chú ý: Ghi rõ nguồn VINAORA.COM khi sử dụng bài viết này. o t 29. Bảo mật cho trang quản trị Joomla! bằng cookie Ý tưởng của giải pháp này là: Sử dụng chứng thực bằng cookie ngăn chặn mọi truy cập h trực tiếp tới vùng quản trị Joomla! bằng đường dẫn /administrator (VD: http://vinaora.com/joomla/administrator). Thay vào đó phải truy cập gián tiếp thông qua một đường dẫn chỉ mình bạn biết (chẳng hạn n http://vinaora.com/joomla/secret/vinaora.php). a h t Bước 1: Tạo một thư mục bí mật chẳng hạn [Joomla]/secret
Thư mục này nằm cùng mức với thư mục /administrator Lưu ý: Bạn hoàn toàn có thể sử dụng một thư mục có sẵn (chẳng hạn thư mục /language) Bước 2: Tạo một file "vinaora.php" trong thư mục bí mật trên với nội dung sau: 2 < ?php 3 $admin_cookie_code="abcdef123456"; setcookie("VinaoraAdminSession",$admin_cookie_code,0,"/"); header("Location: /administrator/index.php"); ?> g Bạn nên đổi cặp giá trị cookie "VinaoraAdminSession" & "abcdef123456" bằng những chuỗi ký tự bất kỳ (gồm ký tự chữ cái và ký tự số) để tránh hacker sử dụng công cụ chèn n trực tiếp cookie trên vào trình duyệt. Bạn cũng có thể sử dụng một cái tên khác chứ không nhất thiết phải là "vinaora.php" :) o Bước 3: Thêm nội dung sau tới file ".htaccess" của t thư mục /administrator RewriteEngine On h RewriteCond %{REQUEST_URI} ^/administrator RewriteCond %{HTTP_COOKIE} !VinaoraAdminSession=abcdef123456 RewriteRule .* - [L,F] n Trong trường hợp HOSTING của bạn không hỗ trợ file .htaccess hãy liên hệ với bộ phận kỹ thuật để được giúp đỡ. a Khi cần truy cập vào trang quản trị hãy gõ đường dẫn: http://yoursite/secret/vinaora.php h VD: http://vinaora.com/secret/vinaora.php • t Keyword: bảo mật, ngăn cấm, truy cập, trang quản trị, thư mục, trực tiếp, gián tiếp • joomla, security, administrator, htaccess, cookie • Reference: http://forum.joomla.org/ Chú ý: Ghi rõ nguồn VINAORA.COM khi sử dụng bài viết này. 30. Các cách CHMOD cho tệp (file) và thư mục (directory)
Để đảm bảo an toàn cho các file và thư mục trong Joomla!, tránh sự nhóm ngó của các hacker thì một trong các yêu cầu quan trọng và phải luôn lưu ý đó là CHMOD cho đúng. Thông thường chúng ta cần thiết lập CHMOD 755 cho các thư mục và CHMOD 644 cho các file. 2 CHMOD là gì? CHMOD= 755 là gì? CHMOD = 644 là gì? 3 CHMOD chính là thao tác thay đ ổi các quyền sau: g "Read" (Đọc): viết tắt là "r", và được biểu diễn bằng số 4 • "Write" (Ghi / Chỉnh sửa): viết tắt là "w", và được biểu diễn bằng số 2 • "Execute" (Thực thi): viết tắt là "x", và được biểu diễn bằng số 1 • n CHMOD cùng lúc thay đổi quyền hạn trên các file/thư mục với các đối tượng sau: o "Owner" - chủ sở hữu của file/thư mục, • t "Group" - Nhóm mà Owner là thành viên, • "Public / Others/ Everybody": những người còn lại. • h n a h t CHMOD 755 (rwx r-x r-x) cho thư mục Lưu ý: Khái niệm CHMOD không tồn tại trên hệ thống Windows, mà chỉ có trên các hệ thống Unix/Linux CHMOD = 755 cho các thư mục có nghĩa là: 7 = 4 + 2 + 1 : Người sở hữu thư mục có quyền đọc thư mục (read); chỉnh sửa • thư mục (write); liệt kê các thư mục và file bên trong (execute);
5 = 4 + 0 + 1 : Những người cùng nhóm chỉ có quyền đọc thư mục (read); liệt kê • các thư mục và file bên trong (execute) 5 = 4 + 0 + 1 : Những người còn lại chỉ có quyền đọc thư mục (read); liệt kê các • thư mục và file bên trong (execute) 2 3 g n o t CHMOD 755 (rwx r-x r-x) cho thư mục h CHMOD = 644 cho các tệp (file) có nghĩa là: n 6 = 4 + 2 + 0 : Người sở hữu thư mục có quyền đọc tệp (read); chỉnh sửa tệp • (write) 4 = 4 + 0 + 0 : Những người cùng nhóm chỉ có quyền đọc tệp (read) • a 4 = 4 + 0 + 0 : Những người còn lại chỉ có quyền đọc tệp (read) • h t
2 3 g n o CHMOD 644 (rw- r-- r--) cho file t CMOD 755 cho các thư mục, CHMOD 644 cho các file bằng một file PHP h Tạo một file "chmod.php" nằm trong thư mục mà bạn cần CHMOD cho toàn bộ các file, thư mục bên trong nó với nội dung như sau: n t Sau đó thực thi các dòng lệnh trên bằng cách mở link tới file này. VD: http://vinaora.com/joomla/chmod.php CHMOD 755 cho các thư mục, CHMOD 644 cho các file bằng dòng lệnh Nếu bạn là người quản trị server hoặc có thể thực thi dòng lệnh thông qua SSH thì trước tiên bạn cần chuyển đến thư mục Joomla bằng lệnh "cd" (change directory), sau đó bạn có thể dùng các lệnh sau: find . -type d -exec chmod 755 {} \; // dùng đ ể CHMOD cho các thư mục find . -type f -exec chmod 644 {} \; // dùng đ ể CHMOD cho các file
hoặc find . -type d -print0 | xargs -0 chmod 0775 // dùng đ ể CHMOD cho các thư mục find . -type f -print0 | xargs -0 chmod 0664 // dùng đ ể CHMOD cho các file hoặc 2 chmod -R 755 ./* // dùng để CHMOD tất cả các thư mục và file find . -type f -exec chmod 644 {} \; // dùng đ ể CHMOD cho các file 3 CHMOD bằng các trình quản lý file như "File Manager", "FileZilla"... g Đối với FileZilla: n Chọn"Recurse into subdirectories" để áp dụng thao tác CHMOD cho cả các thư mục • con Chọn "Apply to all files and directories" để áp dụng thao tác CHMOD cho tất cả các • o file và thư mục Chọn "Apply to files only" để chỉ áp dụng thao tác CHMOD cho các file • t Chọn "Apply to directories only" để chỉ áp dụng thao tác CHMOD cho các thư mục • h n a h t CHMOD 755 (rwx r-x r-x) cho thư mục bằng FileZilla
2 3 g n o t CHMOD 755 (rwx r-x r-x) cho thư mục bằng "File Manager" Keyword h chmod, 755, 644, read, write, execute, PHP, FileManager, FileZilla • n đọc, ghi, chỉnh sửa, thực thi, dòng lệnh • Các câu hỏi liên quan a Làm thế nào để CHMOD trong Joomla? • Làm sao để CHMOD cho các thư mục và file trong Joomla? • h CHMOD = 755 nghĩa là gì? • CHMOD = 644 nghĩa là gì? t • 31. Chống tấn công SQL Injection trong Joomla Sunday, 03 August 2008 14:31 Hiện Joomla! ngày càng phát triển mạnh mẽ và ngày càng được ứng dụng rộng rãi ở Việt Nam với số lượng các thành phần mở rộng (extensions) từ các hãng thứ ba cũng tăng không ngừng cả về số lượng và chất lượng. Rất nhiều thành phần mở rộng (gồm component, module, plugin, template...) thực sự tuyệt vời và đáng được cài đặt trên mọi Website. Tuy nhiên, có một thực tế song hành với mặt ưu điểm trên là số lượng các Website bị tấn công thông qua các lỗi lập trình bất cẩn trong các thành phần mở rộng được cài đặt thêm cũng ngày càng tăng cao. Thậm chí số lượng lỗi bị khai thác còn cao hơn cả Microsoft (theo báo cáo 6 tháng đầu năm 2008 của IBM).
Do vậy, ngay từ lúc này, bạn hãy kiểm tra lại toàn bộ hệ thống của mình để đảm bảo: Chỉ cài đặt các thành phần mở rộng thực sự cần thiết, thực sự uy tín v à hãy nhờ một người có kinh nghiệm để kiểm tra các đoạn mã, mà một trong số chúng thường bị hacker khai thác - các lỗi phổ biến về truy vấn SQL (thường gọi là SQL Injection). Đối với người sử dụng cuối (end-user): 2 Không dùng tiền tố mặc định 'jos_' 3 Khi cài đặt website, Joomla sử dụng tiền tố mặc định cho các bảng của c ơ sở dữ liệu: 'jos_'. Tuy nhiên để tránh sự nhòm ngó của các haker bạn nên đổi tiền tố này. g n o t h n Không dùng tài khoản mặc định 'admin' a Tạo một tài khoản quản trị (Super Administrator) mới thay v ì dùng tài khoản mặc • h định có tên 'admin' Đổi tên và vô hiệu hóa tài khoản mặc định 'admin' mà Joomla đã tạo ra khi cài đặt • t bằng cách: Mở bảng _users, tìm bản ghi có id=62, đổi username khác 'admin' và thay block bằng '1') Đối với những người lập trình (developer) thì chú ý những vấn đề sau: Ép kiểu dữ liệu Luôn ép kiểu dữ liệu cho các chuỗi đưa vào câu lệnh truy vấn SQL. Thí dụ:
Nếu muốn kiểu dữ liệu là kiểu nguyên (integer) thì sử dụng câu lệnh SQL: $sql = 'UPDATE #__mytable SET `id` = ' . (int) $int; Nếu muốn kiểu dữ liệu là kiểu ngày/tháng (date) thì sử dụng câu lệnh SQL: 2 $date = & JFactory::getDate($mydate); $sql = 'UPDATE #__mytable SET `date` = ' . $db->quote( $date->toMySQL(), false); Luôn gỡ bỏ ý nghĩa của những ký tự đặc biệt 3 Bạn cần gỡ bỏ ý nghĩa của những ký tự đặc biệt (những ký tự có khả năng gây nguy hiểm g cho câu lệnh SQL) nằm trong các chuỗi dữ liệu được đưa vào câu lệnh SQL bằng câu lệnh: $sql = 'UPDATE #__mytable SET `string` = ' . $db->quote( $db->getEscaped( $string ), false ); n Chống tấn công DOS o Trong các mệnh đề WHERE, nếu bạn có sử dụng lệnh LIKE, hãy đảm bảo rằng bạn đã lọc các ký tự đặc biệt như "%" và "_" thì sử dụng câu lệnh SQL: t $sql = 'UPDATE #__mytable SET .... WHERE `string` LIKE '. $db->quote( $db->getEscaped( $string, true ), false ) h Chống tấn công XSS n Rất nhiều người có thói quen lấy dữ liệu nhập vào từ người dùng bằng câu lệnh JRequest::getVar(). Tuy nhiên đây là một thói quen không tốt. Thay vào đó bạn nên sử dụng các phương thức ép kiểu. Thí dụ: a Nếu muốn kiểu số nguyên, dùng câu lệnh: h $int = JRequest::getInt( $name, $default ); t Nếu muốn kiểu số thực, dùng câu lệnh: $float = JRequest::getFloat( $name, $default ); Nếu muốn kiểu logic (đúng/sai), dùng câu lệnh: $bool = JRequest::getBool( $name, $default ); Nếu muốn kiểu từ (word): chỉ có các ký tự chữ cái và ký tự gạch dưới "_", dùng câu lệnh: $word = JRequest::getWord( $name, $default ); Nếu muốn kiểu câu lệnh (command): chỉ có các ký tự chữ cái , ký tự số, ký tự "." và "_", dùng câu lệnh: $cmd = JRequest::getCMD( $name, $default );
Nếu muốn kiểu văn bản không phải HTML (văn bản đã được lọc bỏ các thẻ HTML), dùng câu lệnh: $string = JRequest::getString( $name, $default ); Tham khảo thêm: 2 Preventing SQL Injections (tác giả: Anthony Ferrara - Joomla Core Team, bài gốc • tiếng Anh) 3 SQL Injection • API getEscaped • database->getEscaped • g Keyword: n câu lệnh, sql, sql injection, ép kiểu, lọc bỏ, số nguy ên, số thực, DOS, XSS, interger, • float, string, JRequest... o Ghi rõ nguồn "http://dev.joomla.org" (bản gốc) và "http://vinaora.com" (bản dịch t và tổng hợp) khi sử dụng bài viết này. 32. Kiểm tra Website Joomla bằng Joomla! HISA h Joomla HISA là một công cụ kiểm tra - bảo mật cho phép: n Kiểm tra một HOSTING có đáp ứng các yêu cầu cần thiết để cài đặt Joomla hay • không Thông báo các thông số của HOST (tên host, địa chỉ IP...); thông số về PHP, • a MYSQL... Cảnh báo về các thiết lập không an toàn • Cảnh báo về các thư mục chưa được thiết lập đúng quyền hạn • h Cũng giống như "Joomla Diagnostics", rất đơn giản bạn chỉ cần tải về công cụ có tên là t Joomla! HISA (Joomla! Health, Installation and Security Audit). Sau đó upload 1 file duy nhất (joomla_hisa_en.php) lên Hosting định cài đặt Joomla và xem kết quả. Phiên bản Joomla HISA hiện tại chỉ cho phép kiểm tra d òng Joomla! 1.0.x (từ Joomla 1.0.10 trở đi) Quy trình kiểm tra Download Joomla HISA: >> Joomla HISA
Joomla! HISA sẽ thông báo kết quả Host Environment: Thông số chung của Host 2 3 g n o t h PHP Environment: Thông số về PHP n a h t MySQL Environment: Thông số về MySQL
Joomla! Environment: Các thông số liên quan cho Joomla 2 3 Required and Recommended Settings: Các yêu c ầu bắt buộc và khuyến g cáo Nếu một trong các thiết lập bị cảnh báo bằng màu đỏ thì bạn nên xem bài viết "Xử lý n cảnh báo trong quá trình cài đặt và cấu hình Joomla!" để biết cách khắc phục. o t h n a h t Directory and File Permissions: Quy ền hạn đối với các tệp và thư mục Để tránh các HACKER nhòm ngó bạn nên thiết lập các thư mục với CHMOD = 755, các tệp với CHMOD = 644
2 3 g n Chú ý: Thứ nhất, nên đổi tên file joomla_hisa_en.php trước khi upload lên host (Chẳng hạn o đổi tên thành vinaora_hisa.php) t Thứ hai, sau khi sử dụng hãy xóa ngay file Joomla Hisa nói trên Bài viết liên quan h http://forum.joomla.org/index.php/topic,136328.0.html • n Keyword: a joomla, hisa, joomla hisa, kiểm tra, website, chmod • 33. Kiểm tra hệ thống file Joomla bằng Joomla h Diagnostics t Thông thường sau khi upload Joomla lên Hosting, hoặc sau một quá trình dài sử dụng bạn rất muốn biết liệu thư mục Joomla của mình có bị thiếu file, hư hỏng hoặc bị Hacker chỉnh sửa gì không? Joomla của mình có an toàn không? Thật đơn giản, bạn hãy tìm và download Joomla Diagnostics. Đây là một công cụ miễn phí cho phép xác định rõ: Những file bị thiếu • Những file bị hỏng hoặc đã bị chỉnh sửa • Những file không an toàn (có thể truy cập trực tiếp từ đường dẫn, do thiếu kiểm tra • _VALID_MOS hoặc _JEXEC) Các thiết lập không an toàn (VD: register_globals = off) • Quy trình kiểm tra như sau:
Download Joomla Diagnostics: Xác định rõ phiên bản Joomla mà bạn đang sử dụng: Joomla 1.0.13 hay Joomla • 1.5 Tìm đúng Joomla Diagnostics cho phiên bản mà bạn đang sử dụng • Link download: Joomla Diagnostics • 2 Giải nén Joomla Diagnostics 3 Giải nén Joomla Diagnostics mà bạn vừa download ở trên (gồm 2 file: diagnostics.php và Joomla...txt) vào thư mục Joomla (nơi có file configuration.php) g diagnostics.php: file dùng để kiểm tra • joomla...txt: chứa danh sách các file của Joomla và mã kiểm tra tính toàn vẹn • (CHECKSUM) n Chạy Joomla Diagnostics o Mở đường dẫn http://website_cua_ban/diagnostics.php t VD: http://vinaora.com/diagnostics.php • VD: http://vinaora.com/joomla/diagnostics.php • h Hình minh họa n a h t Chú ý: Vì lý do bảo mật bạn cần phải xóa ngay file diagnostics.php sau khi sử dụng. Tham khảo thêm: http://www.joomla-addons.org/ •
http://forum.joomla.org/index.php?topic=53052.0 • Keyword: Joomla, joomla 1.0, joomla 1.5, diagnostics, joomla diagnostics, file • 2 34. 9 bước bảo mật Website Joomla! Friday, 08 June 2007 23:55 3 Bảo mật cho Website Joomla là một nhân tố quan trọng góp phần bảo vệ Website trước các âm mưu tấn công có chủ đích cũng như vô tình, giúp cho Website luôn hoạt động ổn g định và bền vững. Nhiều quản trị Website chỉ đặt trọng tâm vào việc thiết kế, cập nhật nội dung và giành thứ hạng cao trong các kết quả tìm kiếm mà quên đi việc đảm bảo an toàn cho Website, tới khi sự việc xảy ra thì đã quá muộn. Bài viết dưới đây sẽ giới thiệu tới các n bạn 9 bước để bảo mật cho Website Joomla và giảm thiểu các nguy cơ tấn công từ Internet. 1. Sao lưu toàn bộ Website theo định kỳ o t Điều đầu tiên và cũng là quan trọng nhất là bạn phải thường xuyên sao lưu toàn bộ Website bao gồm cả thư mục chứa Joomla và cơ sở dữ liệu MySQL. Hãy lập lịch ít nhất một lần trong tuần (khuyến cáo là mỗi ngày một lần) để thực hiện sao lưu. Bạn sẽ h tiết kiệm được rất nhiều công sức và tiền của khi Website bị tấn công và chỉ mất vài phút hoặc vài chục phút để khôi phục lại gần như toàn bộ. n 2. Nâng cấp khi Joomla có phiên bản phát hành ổn định mới nhất. a Nhóm phát triển nòng cốt của Joomla luôn phát hành đều đặn vài tháng một lần phiên bản Joomla mới bao gồm cả các bản vá lỗi bảo mật v à và các bản vá tăng cường hiệu h suất làm việc, do vậy bạn cần kiểm tra thường xuyên trên website của Joomla (http://www.joomla.org) để kịp thời cập nhật phiên bản mới nhất. t 3. Kiểm tra các thành phần mở rộng (module, component, mambot/plugin) của các hãng thứ ba Một số Website có thể bị tấn công thông qua các lỗi bảo mật nằm trong các th ành phần mở rộng được cài đặt thêm từ hãng thứ ba. Do vậy bạn cũng luôn phải chắc chắn rằng nếu mình có cài đặt các thành phần mở rộng từ hãng thứ ba thì đó phải là các phiên bản mới nhất. Khuyến cáo: Hãy hạn chế tới mức tối đa việc cài đặt các thành phần mở rộng từ hãng thứ ba. Ngoài ra khi bạn quyết định gỡ một thành phần mở rộng nào đó khỏi hệ thống thì bạn cũng xóa cả các bảng cơ sở dữ liệu liên quan. 4. Quyền hạn đối với các thư mục
Sau khi cài đặt các thành phần mở rộng, bạn cần thiết lập quyền hạn đối với các thư mục sang chế độ CHMOD 755. 2 3 g Lưu ý: Nếu quá trình cài đặt các thành phần mở rộng (component/module/language...) gặp trục trặc bạn cần chuyển các thư mục sau sang CHMOD 777. Khi cài đặt xong lại thiết lập như trên (755 đối với thư mục và 644 đối với file) n components language o modules mambots t templates administrator administrator/backups h administrator/components administrator/modules n 5. Quyền hạn đối với các tệp Thiết lập quyền hạn đối với tất cả các tệp của bạn sang chế độ CHMOD 644. a h t 6. Quyền hạn đối với tệp configuration.php Đây là một điều rất quan trọng. Bạn phải chắc chắn rằng m ình đã thiết lập quyền hạn cho tệp "configuration.php" sang CHMOD 644. 7. Bảo mật với .htaccess
Bản phát hành mới nhất của Joomla bao gồm cả phiên bản cập nhật cho tệp ".htaccess" để làm giảm thiểu nguy cơ tấn công từ các hacker. Do vậy bạn cần phải truyền tệp .htaccess này tới server của bạn và đổi quyền hạn sang CHMOD 644. 8. Joomla! Register Globals Emulation. 2 Bạn cần phải chắc chắn rằng biến "register global emulation" được thiết lập thành OFF. Hãy mở tệp "global.php", tìm dòng define('RG_EMULATION', 1) và đổi nó thành 3 define('RG_EMULATION', 0) g 9. Register Globals Đảm bảo rằng Register Globals được thiết lập thành OFF. Nếu không hãy liên hệ với n Server của bạn để đổi nó thành OFF hoặc mở tệp .htaccess và thêm vào đoạn mã sau php_flag register_globals off. o Tham khảo thêm t Bảo mật cho Website Joomla! (tại diễn đàn chính thức của Joomla) • h 35. Bảo vệ file "configuration.php" khỏi các truy nhập trái phép n Friday, 01 June 2007 17:38 a Việc bảo vệ các file có nội dung quan trọng, các file cấu hình chứa các thông số của hệ thống như: tên database, tên truy nhập, mật khẩu... là rất cần thiết và phải đặc biệt lưu tâm. Trong Joomla có một file như thế - file "configuration.php". Để tăng cường bảo mật cho file "configuration.php" này có nhiều cách, tuy nhiên có một cách hay được sử h dụng và đề cập trên các diễn đàn, đó là chuyển file "configuration.php" tới một nơi an t toàn, tránh sự nhòm ngó của hacker. Các bước thực hiện như sau: Giả sử Website Joomla của bạn được đặt trong thư mục "/www/public_html" www ---|public_html --------------|configuration.php Chuyển file "configuration.php" ra khỏi "public_html", đặt nó vào một khu vực • khác do bạn tự tạo chẳng hạn "/www/private". Đặt cho nó một cái tên mới, chẳng hạn "vinaora_joomla.conf". www ---|private -----------|vinaora_joomla.conf
Tạo một file "configuration.php" thay thế file cũ nhưng chứa nội dụng • sau: 2 • Đừng để bất cứ khoảng trắng hoặc dòng trắng nào phía trước thẻ "" và không được lưu nó với UTF-8 nếu không bạn sẽ nhận được thông báo lỗi, đại loại như: 3 Warning: Cannot modify header information - headers already sent by (output started at /home/xxxxx/public_html/configuration.php:2) in /home/xxx xx/public_html/index.php on g line 250 Thiết lập (CHMOD) quyền chỉ đọc cho file "configuration.php" mới này để đảm • n bảo nó không bị thay đổi nội dung. Khi bạn cần thay đổi các thiết lập cho Joomla hãy thực hiện bằng tay đối với file • o "vinaora_joomla.conf" t Tham khảo thêm: http://forum.joomla.org/index.php/topic,122594.0.html h • http://www.hvaonline.net/hvaonline/posts/list/72.hva • Keywords: FAQ, security, config, configuration, configuration.php, public_html, web_root, n secure files 36. Bảo mật toàn tập cho Website Joomla a Wednesday, 30 May 2007 22:19 Bài viết này xin cung cấp cho bạn một loạt các thủ thuật để tăng cường bảo mật cho h Website Joomla! được trích dẫn từ diễn đàn Joomla! (http://forum.joomla.org). Có thể t một vài thủ thuật hơi khó thực hiện hoặc gây khó khăn, thâm chí là lỗi cho hệ thống của bạn, tuy nhiên đừng nản chí , mọi cái đều có giá của nó. Nếu không thiết lập một v òng đai an toàn cho Website sẽ có lúc bạn phải hối tiếc vì điều đó và thiệt hại có khi là không tính đếm được. Hãy tiến hành ngay khi có thể. 01. Luôn cập nhật phiên bản mới nhất (Joomla 1.0.x, Joomla 1.5) 02. Chỉ nên download Joomla! từ website chính thức Joomlacode.org và kiểm tra mã xác thực MD5 (nếu có) 03. Xóa thẳng tay những thư mục hoặc file không còn sử dụng. Sau khi cài đặt thành công Joomla, bạn phải xóa toàn bộ thư mục "installation". Nếu bạn upload lên Host bộ cài Joomla ở định dạng nén (*.zip), bạn cũng cần phải xóa bỏ file nén này. Tốt nhất là không nên để lại file hoặc thư mục gì ngoài gói Joomla.