Аудит безпеки магазину на OpenCart

Аудит безпеки OpenCart та ocStore

Аудит потрібен у двох випадках: коли ще нічого не сталось і ви хочете, щоб не сталось, або коли сайт уже лікували і треба переконатись, що дірку справді закрили. Це перевірка, а не абстрактні рекомендації: на виході — список знайденого з оцінкою критичності й порядком виправлення.

Що перевіряю

• Версія й оновлення. Ядро, PHP, сторонні модулі — чи є відомі вразливості для цих версій.
• Модулі. Окремо шукаю ознаки піратських збірок: саме вони найчастіше несуть закладки.
• Доступи. Адміністратори, права, стандартна адреса адмінки, стійкість паролів, захист від перебору.
• Файли. Права доступу, що лежить у теках завантажень і зображень, чи не виконується там PHP.
• Конфігурація сервера. Чи доступні ззовні конфіги, резервні копії, службові файли й теки з даними.
• Сліди присутності. Веб-шели, підозрілі адміністратори, змінені ядрові файли.
• Заголовки й SSL. Сертифікат, захисні заголовки, змішаний контент.

Що на виході

Звіт із трьох частин: критичне (виправляти сьогодні), важливе (найближчим часом) і бажане. Кожен пункт — з поясненням, чим це загрожує саме вашому магазину, і що конкретно робити. Виправлення можу взяти на себе або передати вашому розробнику.

Що аудит не робить

Це не сканування автоматичним інструментом з видачею стандартного PDF. І це не гарантія, що сайт неможливо зламати — таких гарантій не буває. Аудит показує реальний стан і прибирає найімовірніші сценарії атаки.

Якщо магазин уже поводиться дивно — редиректи, невідомі сторінки в пошуку, скарги відвідувачів — потрібен не аудит, а відновлення після злому. Для сервера цілком є окрема перевірка: аудит безпеки VPS.