Безпека OpenCart: як перевірити магазин самому

Більшість зламів магазинів відбувається не через складні атаки, а через кілька типових недоглядів. Нижче — те, що можна перевірити самому за годину.

Доступи

• Адреса адмінки. Якщо вона стандартна, її щодня перебирають боти. Перейменування не робить магазин невразливим, але прибирає масовий шум.
• Список адміністраторів. Подивіться, скільки їх і чи всі вам знайомі. Зайвий обліковий запис з правами — типовий слід попереднього зламу.
• Паролі. Окремий пароль для магазину, не такий, як на пошті чи хостингу.
• Захист від перебору. Обмеження спроб входу має бути на рівні сервера, а не лише магазину.

Модулі й тема

Головне питання: чи є в магазині щось завантажене з торрентів або форумів. «Безкоштовна» версія платного модуля — найдешевший спосіб отримати бекдор. Код у таких збірках навмисне заплутують, і виявити закладку без цілеспрямованого пошуку майже неможливо.

Друге питання — чи оновлюються ті модулі, що куплені легально. Вразливість у популярному модулі стає публічною, і магазини з ним обходять масово.

Версії

Стара версія PHP небезпечна не сама по собі, а тим, що для неї більше не випускають виправлень. Те саме з версією магазину: якщо вона старша за кілька років, для неї існують описані вразливості.

Файли й теки

• Чи доступні ззовні файли конфігурації, дампи бази, архіви з бекапами. Перевіряється просто — спробуйте відкрити їх у браузері.
• Чи виконується PHP у теках завантажень і зображень. Якщо так, туди можна покласти веб-шел.
• Права на файли: конфігурація не має бути доступною на запис усім.
• Чи немає в корені сайту забутих файлів на кшталт тестових скриптів або старих копій.

Ознаки, що вже щось сталось

Сторонні редиректи для відвідувачів з пошуку (але не для вас напряму), невідомі сторінки у видачі, різкий стрибок трафіку на неіснуючі адреси, листи від хостингу, нові адміністратори, змінені дати у файлів ядра.

Що робити з результатами

Якщо знайшли ознаки зараження — не чистіть навмання, спершу зафіксуйте стан. Порядок дій описаний окремо: що робити, коли зламали магазин.

Якщо ознак немає, але хочеться впевненості — є послуга аудиту безпеки зі звітом за критичністю. Для сервера окремо: аудит VPS, захист від брутфорсу, бекапи.