efsane86
26-03-2014, 13:20
her zaman joomla son sürüm kullanıcaksınız ve panelden joomlanızı son sürüme güncelliceksiniz tek tıklama ile şu an için
joomla 2.5.19 ve devam serileri son sürümdür henüz joomla 3.5. stabil sürüm çıkmamıştır joomla 3.5 stabil sürüm çıkana
kadar 2.5.19 ve devam serilerinde kalınız yinede seçim sizin joomla 3.0 serilerine geçenler için söylüyorum
Görüştüğüm ve web le ilgili sohbet ettiğim ortamlarda genellikle konu joomladan açılınca hemen HAZIR etiketi yapıştırılıyor bende doğal olarak kızıyorum nedenmi çünkü joomla hazır site değil hosting firmaları dahil yazılımcılar dahil herkes yanlış biliyor işin doğrusu şöyle ;
joomlanın kurulumu hazır diğer kısımları el ile giriliyor içerik resim video vs tek tıklama ilede kurulmuyor bir kaç
tıklamadan sonra aşama aşama gidiliyor sonuçta bu sistem PHP kodlarla yazılmış bir sistem nasıl bir mobilya alıyorsun evine
onada diyorlar hazır mobilya **** madem hazır ağaça damı tıklıyorsun hazır hale geliyor önce kesiyorsun sonra yontuyorsun
sonra işliyorsun eee hani hazırdı yine aşama aşama işlem yapılıyor ve yine zaman alıyor önceden yapılmış bir şeye millet hazır
demiyormu hasta oluyorum kim ne derse desin misal en basit bir logo tasarlıyorsun kendine has psd formatında yayınlıyorsun
hemen etiketi yapıştır aa bu hazır psd indir **** hazır diye bişey yok bizim türk milleti ne yazıkki hazır kelimesini farklı anlıyor
buradan belki bana kızanlar olur ama kusura bakmayın kızmayında önce bir düşünün yazdıklarımı sonra beni eleştrin oldumu
tekrar söylüyorum hazır diye birşey yok sadece kurulumu hazır oda aşama aşama hazır olan tek şey joomlanın önceden
tasarlanmış şablonudur ki bunu zaten çoğumuz editleyerek yada kendimiz tasarımını yaparak joomlaya yüklüyoruz modül
indiriyoruz bileşen indiriyoruz plugin indiriyoruz joomlanın JED dizininde bunlardamı hazır bu damı GOL değil adamlar yazıyor
free olarak dağıtıyor sende yaz sende yayınla artık kızma noktasına geldim yeter artık hazır hazır heee hazr tıkla kur başka birşey
yapma bu zihniyetteki düşüncelerdeki aramızdaki insanlar var ne yazıkki allah onlara akıl fikir versin herkes yanlış bilyor onlar
doğru ayrıca bu söylediklerim tüm cms yazılımları için geçerlidir kurulum kısımları yani .
Bunlardan hariç joomlayı herkes standar kuruyor hiç kimse güvenlik paketi kurmak ve eek güveblik almak aklına gelmiyor sonradan diyorki vay efendim ben joomla kurdum sitem saldırıya uğradı vay efendim ftp virüs bulaştı vay efendim site uçtu yahu önce sen bir a dan z ye güvenlik önlemini al sonra zaten kolay kola ybirşey olmaz .
Joomla Güvenlik Önlemleri :
site kuracaksanız ilk olarak güvenlik hosting firmasından başlar sonuçta sitenizi servera yüklüceksiniz
joomlayı standart kurdunuz hemen akabinde güvenlik paketlerini atacaksınız peki nedir bu güvenlik paketleri
php.ini ve .htaccess dosyaları ilk etapta
UYARI : .htaccess ve php.ini dosyası ftpnizin root alanına upload ediceksiniz ayrıca sadece php.ini dosyasınıda administrator klasörü içine upload ediceksiniz
.htaccess dosyası içinde bu kodlar yer alacak :
########## BAŞLA - Explodiler için Rewrite kuralları# # mosConfig ile URL den yapılan hack girişimlerini bloke ederRewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D) [OR]# base64_encode ile URL den yapılan hack girişimlerini bloke ederRewriteCond %{QUERY_STRING} base64_encode.*(.*) [OR]# <script> tag ile URL den yapılan hack girişimlerini bloke ederRewriteCond %{QUERY_STRING} (<|%3C).*script.*(>|%3E) [NC,OR]# PHP GLOBALS değişkeni ile URL den yapılan hack girişimlerini bloke ederRewriteCond %{QUERY_STRING} GLOBALS(=|[|%[0-9A-Z]{0,2}) [OR]# a _REQUEST ile URL den yapılan hack girişimlerini bloke ederRewriteCond %{QUERY_STRING} _REQUEST(=|[|%[0-9A-Z]{0,2})# Bloklanmış işlemlerde 403 Hatasını gönderir!RewriteRule ^(.*)$ index.php [F,L]########### SON - Explodiler için Rewrite kuralları
php.ini dosyası içinde bu kodlar yer alacak :
register_globals = offallow_url_fopen = OFFdisable_functions = show_source, system, shell_exec, passthru, exec, phpinfo, popen, proc_open
bazı durumlarda seo ile ilgili sorun çıkabiliyor forumda araştırabilirsiniz
bunlar yetmez ben kale gibi yapim derseniz o zaman bunlar ile beraber ekestra yapılacaklar :
hostinginizden administrator klasörünü şifrelemek yönetim panelindeki klasörü ancak hostinginizden yapabilirsiniz bu işlemi
yada administrator klasörünü yönlendirme yapabilirsiniz ve saklayabilirsiniz standar site sonunda site.com/administrator yazınca çıkmaz sizin istediğiniz klasör isminde çıkar peki nasıl yapıcaz söylim :
İlk olarak Joomla ana dizininde mesela /yonetim isminde bir dizin oluştur ve bu dizinin içerisinde de index.php isimli bir dosya oluştur. Bu dosya içerisinde şu kodlar yer alsın:
<?php
$admin_cookie_code="1234567890";
setcookie("JoomlaAdminSession",$admin_cookie_code,0,"/");
header("Location: /administrator/index.php");
?>
Daha sonra Joomla'nın /administrator dizini içerisindeki .htaccess dosyasına (ki eğer bu doya yoksa oluşturabilirsin) şu kodları ekleyebilirsin:
RewriteEngine On
RewriteCond %{REQUEST_URI} ^/administrator
RewriteCond %{HTTP_COOKIE} !JoomlaAdminSession=1234567890
RewriteRule .* - [L,F]
bunlarda yetmez biraz daha işleri zorlaştıralım ne dersiniz :
sourcecop programını satın aldıktan sonra configuration.php dosyasını şifreleyebiliyorsunuz ki saldırı esnasında ilk önce config
dosyanıza bakıyorlar şifreler vs databse bilgileri yer almakta bunları bu program sayesinde şifrelemiş oluyorsunuz buradaki
unutulmayacak tek şey configuration.php dosyasını şifrelemeden önce bir yedeğini almanız çünkü configuration.php dosyasının
yedeğini almazsanız şifrelenmiş dosyadaki şifreyi çözemezsiniz sizi uğraştırı program 7 günlük kullanımı mevcut ücretsiz
verisyonunda indirin kullanın ben kullanıyorum çok memnunum işimi sağlama alıyorum
contaları sıyıralım biraz :
ip yasaklaması yapabilirsiniz yönetim panelinize sadece sizin ip tanımlarsınız güvenlikli olur sakın ve kesinlikle ekstra güvenlik ekelntileri indirip joomlaya yüklemeyin manuel olarak dediğim şekilde el ile yapın güvenliği en temizi ve sağlamı bu
configuration.php dosyasını başka klasöre alarakta yani koruyarakta güvenliği sağlamış olursunuz klasör yönlendirmesi yapılabilir wordpress de bu bahsettiğim yöntem yapılıyor aynısı joomladada olur .
joomla klasör ve dosya yetkileri verelim 755 dosya ve klasörler 644 sadece configuration.php
joomlayı kurduğumuz ftp prgramında kesinlikle ftp sizin sitenin bilgilerini hafızaya almasın her zaman el ile girin ve işlem yapın
ben filezilla kullanıyorum tavsiye edebilirim yada cute ftp seçim sizin ftp ile dosya transfer ettikten sonra işelminiz bitince hosting
panelinizden ftp şifrenizi hemen değiştirin ben öyle yapıyorum bu arada bilgisayarınızda lisanslı antivirüs programı kullanın
kesinlikle ben eset nod32 internet smart security kullanıyorum tavsiye edebilirim yada kasper sky seçim sizin
çünkü genelde ftp ile bulaşan virüsler iframe virüsüdür ve sizin bilgisayarınızdan direk bulaşarak sitenize yerleşir ve google
aramalarında şöyle bir uyarı çıkar bu site zararlı yazılım içeriyor çoğu kimse bilmiyor bu durumdan kurtulmayı sağdan soldan
duyduğu varsayımlarla yok efendim siteni masa üstüne indir virüs taramasından geçir öyle bir dünya yok malesef işlem yemiyor
ve çalışmıyor zaten antiler iframe virüsünü bulmakta zorlanır bulamaz demiyorum bu işten sadece tek bir şekilde kurtulmak
mümkün oda şöyle :
yayına verdiğiniz sitenizin önce sql ve backup yedeklerini alın sql : database yedekleri / backup : dosya klasör yedekleri
bu yedekler yalnız virüs bulaşmadan önce yapılacak bulaştıktan sonra değil unutmayın mesela bugün site kuracaksınız yedeklerini alın hemen .
önceden alınmış sql ve backup yedekleri masa üstünüzdeki klasörde duracak bu arada bilgisayarınızda lisanslı antivirüs
programı yüklü olacak daha sonra hosting panelinize girip sitenizi sileceksiniz virüs bulaşan sitenizi ardından ftp şifresini
değiştireceksiniz daha sonra bilgisayarınıza format atacaksınız neden derseniz iframe virüsü bilgisayarada bulaşıyor malesef
formattan sonra tekrar lisanslı antivirüs programı yüklüceksiniz ve temiz bir şekilde hosting panelinize giriş yapacaksınız ve ilk
önce ftp şifrenizi değiştireceksiniz sonra önceden aldığınız site yedeklerini tekrar yüklüceksiniz işlem bitince hosting paneline
girip tekrar ftp şifrenizi değiştireceksiniz bu söylediklerim virüs bulaşmadan önce yapılacak virüs bulaştıktan sonra yaparsanız
hiçbirşeyi geri toplayamazsınız herşeyi önceden yedekliceksinizki sonradan bir sürpriz ile karşılaşmayın
son olarak joomla sql saldırılarına karşın hostinginizle görüşüp sql ip yasaklaması isteyebilirsiniz ama her hosting bu şekilde
sql ip yasağı yapmıyor konuşun bilgi sahibi olun ben natroyu kullanıyorum şu ana kadar bir sorun olmadı ve bu yukarıdaki
yazdıklarımıda yaptığım halde sorun yaşamadım ve yaşamıyorum umarım faydalı olmuştur bilenler ve bilmeyenlere .
joomla 2.5.19 ve devam serileri son sürümdür henüz joomla 3.5. stabil sürüm çıkmamıştır joomla 3.5 stabil sürüm çıkana
kadar 2.5.19 ve devam serilerinde kalınız yinede seçim sizin joomla 3.0 serilerine geçenler için söylüyorum
Görüştüğüm ve web le ilgili sohbet ettiğim ortamlarda genellikle konu joomladan açılınca hemen HAZIR etiketi yapıştırılıyor bende doğal olarak kızıyorum nedenmi çünkü joomla hazır site değil hosting firmaları dahil yazılımcılar dahil herkes yanlış biliyor işin doğrusu şöyle ;
joomlanın kurulumu hazır diğer kısımları el ile giriliyor içerik resim video vs tek tıklama ilede kurulmuyor bir kaç
tıklamadan sonra aşama aşama gidiliyor sonuçta bu sistem PHP kodlarla yazılmış bir sistem nasıl bir mobilya alıyorsun evine
onada diyorlar hazır mobilya **** madem hazır ağaça damı tıklıyorsun hazır hale geliyor önce kesiyorsun sonra yontuyorsun
sonra işliyorsun eee hani hazırdı yine aşama aşama işlem yapılıyor ve yine zaman alıyor önceden yapılmış bir şeye millet hazır
demiyormu hasta oluyorum kim ne derse desin misal en basit bir logo tasarlıyorsun kendine has psd formatında yayınlıyorsun
hemen etiketi yapıştır aa bu hazır psd indir **** hazır diye bişey yok bizim türk milleti ne yazıkki hazır kelimesini farklı anlıyor
buradan belki bana kızanlar olur ama kusura bakmayın kızmayında önce bir düşünün yazdıklarımı sonra beni eleştrin oldumu
tekrar söylüyorum hazır diye birşey yok sadece kurulumu hazır oda aşama aşama hazır olan tek şey joomlanın önceden
tasarlanmış şablonudur ki bunu zaten çoğumuz editleyerek yada kendimiz tasarımını yaparak joomlaya yüklüyoruz modül
indiriyoruz bileşen indiriyoruz plugin indiriyoruz joomlanın JED dizininde bunlardamı hazır bu damı GOL değil adamlar yazıyor
free olarak dağıtıyor sende yaz sende yayınla artık kızma noktasına geldim yeter artık hazır hazır heee hazr tıkla kur başka birşey
yapma bu zihniyetteki düşüncelerdeki aramızdaki insanlar var ne yazıkki allah onlara akıl fikir versin herkes yanlış bilyor onlar
doğru ayrıca bu söylediklerim tüm cms yazılımları için geçerlidir kurulum kısımları yani .
Bunlardan hariç joomlayı herkes standar kuruyor hiç kimse güvenlik paketi kurmak ve eek güveblik almak aklına gelmiyor sonradan diyorki vay efendim ben joomla kurdum sitem saldırıya uğradı vay efendim ftp virüs bulaştı vay efendim site uçtu yahu önce sen bir a dan z ye güvenlik önlemini al sonra zaten kolay kola ybirşey olmaz .
Joomla Güvenlik Önlemleri :
site kuracaksanız ilk olarak güvenlik hosting firmasından başlar sonuçta sitenizi servera yüklüceksiniz
joomlayı standart kurdunuz hemen akabinde güvenlik paketlerini atacaksınız peki nedir bu güvenlik paketleri
php.ini ve .htaccess dosyaları ilk etapta
UYARI : .htaccess ve php.ini dosyası ftpnizin root alanına upload ediceksiniz ayrıca sadece php.ini dosyasınıda administrator klasörü içine upload ediceksiniz
.htaccess dosyası içinde bu kodlar yer alacak :
########## BAŞLA - Explodiler için Rewrite kuralları# # mosConfig ile URL den yapılan hack girişimlerini bloke ederRewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|%3D) [OR]# base64_encode ile URL den yapılan hack girişimlerini bloke ederRewriteCond %{QUERY_STRING} base64_encode.*(.*) [OR]# <script> tag ile URL den yapılan hack girişimlerini bloke ederRewriteCond %{QUERY_STRING} (<|%3C).*script.*(>|%3E) [NC,OR]# PHP GLOBALS değişkeni ile URL den yapılan hack girişimlerini bloke ederRewriteCond %{QUERY_STRING} GLOBALS(=|[|%[0-9A-Z]{0,2}) [OR]# a _REQUEST ile URL den yapılan hack girişimlerini bloke ederRewriteCond %{QUERY_STRING} _REQUEST(=|[|%[0-9A-Z]{0,2})# Bloklanmış işlemlerde 403 Hatasını gönderir!RewriteRule ^(.*)$ index.php [F,L]########### SON - Explodiler için Rewrite kuralları
php.ini dosyası içinde bu kodlar yer alacak :
register_globals = offallow_url_fopen = OFFdisable_functions = show_source, system, shell_exec, passthru, exec, phpinfo, popen, proc_open
bazı durumlarda seo ile ilgili sorun çıkabiliyor forumda araştırabilirsiniz
bunlar yetmez ben kale gibi yapim derseniz o zaman bunlar ile beraber ekestra yapılacaklar :
hostinginizden administrator klasörünü şifrelemek yönetim panelindeki klasörü ancak hostinginizden yapabilirsiniz bu işlemi
yada administrator klasörünü yönlendirme yapabilirsiniz ve saklayabilirsiniz standar site sonunda site.com/administrator yazınca çıkmaz sizin istediğiniz klasör isminde çıkar peki nasıl yapıcaz söylim :
İlk olarak Joomla ana dizininde mesela /yonetim isminde bir dizin oluştur ve bu dizinin içerisinde de index.php isimli bir dosya oluştur. Bu dosya içerisinde şu kodlar yer alsın:
<?php
$admin_cookie_code="1234567890";
setcookie("JoomlaAdminSession",$admin_cookie_code,0,"/");
header("Location: /administrator/index.php");
?>
Daha sonra Joomla'nın /administrator dizini içerisindeki .htaccess dosyasına (ki eğer bu doya yoksa oluşturabilirsin) şu kodları ekleyebilirsin:
RewriteEngine On
RewriteCond %{REQUEST_URI} ^/administrator
RewriteCond %{HTTP_COOKIE} !JoomlaAdminSession=1234567890
RewriteRule .* - [L,F]
bunlarda yetmez biraz daha işleri zorlaştıralım ne dersiniz :
sourcecop programını satın aldıktan sonra configuration.php dosyasını şifreleyebiliyorsunuz ki saldırı esnasında ilk önce config
dosyanıza bakıyorlar şifreler vs databse bilgileri yer almakta bunları bu program sayesinde şifrelemiş oluyorsunuz buradaki
unutulmayacak tek şey configuration.php dosyasını şifrelemeden önce bir yedeğini almanız çünkü configuration.php dosyasının
yedeğini almazsanız şifrelenmiş dosyadaki şifreyi çözemezsiniz sizi uğraştırı program 7 günlük kullanımı mevcut ücretsiz
verisyonunda indirin kullanın ben kullanıyorum çok memnunum işimi sağlama alıyorum
contaları sıyıralım biraz :
ip yasaklaması yapabilirsiniz yönetim panelinize sadece sizin ip tanımlarsınız güvenlikli olur sakın ve kesinlikle ekstra güvenlik ekelntileri indirip joomlaya yüklemeyin manuel olarak dediğim şekilde el ile yapın güvenliği en temizi ve sağlamı bu
configuration.php dosyasını başka klasöre alarakta yani koruyarakta güvenliği sağlamış olursunuz klasör yönlendirmesi yapılabilir wordpress de bu bahsettiğim yöntem yapılıyor aynısı joomladada olur .
joomla klasör ve dosya yetkileri verelim 755 dosya ve klasörler 644 sadece configuration.php
joomlayı kurduğumuz ftp prgramında kesinlikle ftp sizin sitenin bilgilerini hafızaya almasın her zaman el ile girin ve işlem yapın
ben filezilla kullanıyorum tavsiye edebilirim yada cute ftp seçim sizin ftp ile dosya transfer ettikten sonra işelminiz bitince hosting
panelinizden ftp şifrenizi hemen değiştirin ben öyle yapıyorum bu arada bilgisayarınızda lisanslı antivirüs programı kullanın
kesinlikle ben eset nod32 internet smart security kullanıyorum tavsiye edebilirim yada kasper sky seçim sizin
çünkü genelde ftp ile bulaşan virüsler iframe virüsüdür ve sizin bilgisayarınızdan direk bulaşarak sitenize yerleşir ve google
aramalarında şöyle bir uyarı çıkar bu site zararlı yazılım içeriyor çoğu kimse bilmiyor bu durumdan kurtulmayı sağdan soldan
duyduğu varsayımlarla yok efendim siteni masa üstüne indir virüs taramasından geçir öyle bir dünya yok malesef işlem yemiyor
ve çalışmıyor zaten antiler iframe virüsünü bulmakta zorlanır bulamaz demiyorum bu işten sadece tek bir şekilde kurtulmak
mümkün oda şöyle :
yayına verdiğiniz sitenizin önce sql ve backup yedeklerini alın sql : database yedekleri / backup : dosya klasör yedekleri
bu yedekler yalnız virüs bulaşmadan önce yapılacak bulaştıktan sonra değil unutmayın mesela bugün site kuracaksınız yedeklerini alın hemen .
önceden alınmış sql ve backup yedekleri masa üstünüzdeki klasörde duracak bu arada bilgisayarınızda lisanslı antivirüs
programı yüklü olacak daha sonra hosting panelinize girip sitenizi sileceksiniz virüs bulaşan sitenizi ardından ftp şifresini
değiştireceksiniz daha sonra bilgisayarınıza format atacaksınız neden derseniz iframe virüsü bilgisayarada bulaşıyor malesef
formattan sonra tekrar lisanslı antivirüs programı yüklüceksiniz ve temiz bir şekilde hosting panelinize giriş yapacaksınız ve ilk
önce ftp şifrenizi değiştireceksiniz sonra önceden aldığınız site yedeklerini tekrar yüklüceksiniz işlem bitince hosting paneline
girip tekrar ftp şifrenizi değiştireceksiniz bu söylediklerim virüs bulaşmadan önce yapılacak virüs bulaştıktan sonra yaparsanız
hiçbirşeyi geri toplayamazsınız herşeyi önceden yedekliceksinizki sonradan bir sürpriz ile karşılaşmayın
son olarak joomla sql saldırılarına karşın hostinginizle görüşüp sql ip yasaklaması isteyebilirsiniz ama her hosting bu şekilde
sql ip yasağı yapmıyor konuşun bilgi sahibi olun ben natroyu kullanıyorum şu ana kadar bir sorun olmadı ve bu yukarıdaki
yazdıklarımıda yaptığım halde sorun yaşamadım ve yaşamıyorum umarım faydalı olmuştur bilenler ve bilmeyenlere .