Admin Tools Gebruikers Handleiding - AkeebaBackup.com

6.1. Basisbeveiliging
Schakel map listings
uit (aanbevolen)
Bescherm tegen
gemeenschappelijkebestandsinjectie
aanvallen
PHP easter eggs
uitschakelen
Blokkeer de
toegang tot
configuration.phpdist
en
htaccess.txt
Blokkeer de toegang
van specifieke
user agents
Te blokkeren user
agents, één per
regel
Admin Tools Gebruiken
Wanneer uitgeschakeld, kan uw webserver een lijst van de bestanden en submappen van elke map
op uw website weergeven als er geen index.html bestand aanwezig is. Dit kan een veiligheidsrisico
inhouden, dus u moet deze optie altijd inschakelen (op Ja zetten) als u wilt voorkomen dat dit
gebeurt.
Veel kwaadwillige hackers proberen kwetsbare extensies op uw website te misbruiken door ze te
misleiden en kwaadwillige code te laten toevoegen op de server van de aanvaller. Het inschakelen
(op Ja zetten) van deze optie zal uw server beschermen tegen dit soort aanvallen.
PHP heeft een leuke en vervelende eigenschap, die bekend staat als "Easter Eggs". Bij het toevoegen
van een speciale URL parameter, zal PHP een afbeelding in plaats van de gevraagde feitelijke
pagina weergeven. Overwegende dat deze wordt beschouwd als leuk, is het ook een op grote
schaal misbruikte methode door aanvallers gebruikt om erachter te komen welke versie uw PHP
installatie heeft (deze afbeeldingen zijn in iedere PHP versie anders) een hacker zal nu aanvallen
kunnen uitvoeren gericht op uw specifieke PHP versie. Door het activeren van deze optie (op Ja
zetten), schakelt u de volledige toegang tot die Easter Eggs uit, en maakt u het nog moeilijker
voor de aanvallers de details van uw server te achterhalen.
Deze twee bestanden zijn achtergelaten na een Joomla! installatie of upgrade, en zijn direct toegankelijk
via het web. Ze worden gebruikt door aanvallers om te kijken welke Joomla! versie u
gebruikt, zodat ze een aanval op maat gericht op uw specifieke Joomla! versie kunnen uitvoeren.
Het inschakelen van deze optie "verbergt" deze bestanden voor het benaderen via het web (een
404 Not Found pagina wordt geretourneerd), om aanvallers te laten geloven dat deze bestanden
niet bestaan, dit maakt het iets moeilijker voor hen om informatie over uw site te verkrijgen.
Wanneer ingeschakeld zal het alle pogingen toegang tot uw website te krijgen blokkeren, als
remote programma's één van de user agent strings in de Te blokkeren user agents, één per regel
lijst staat. Deze functie is ontworpen om uw website te beschermen tegen veel voorkomende
bandbreedte slurpende download bots en andere legitieme tools die vaker worden gebruikt voor
het hacken van websites, dan hun goedaardig beoogde functionaliteit.
De user agent strings die geblokkeerd worden voor toegang tot uw website. U hoeft niet de hele
UA string in te voeren, maar een deel ervan is genoeg. De standaardinstelling bevat een aantal
gebruikelijke verdachte user agents. Scheid meerdere items door elk item op een nieuwe regel
te plaatsen. Let wel dat bij sommige servers met mod_security of mod_evasive geïnstalleerd,
een 'Toegang geweigerd' bericht zal worden weergegeven wanneer u probeert de configuratie
instellingen op te slaan, als dit veld het woord "Wget" bevat. Als u tegen dit probleem aanloopt
is het geen bug in Admin Tools of Joomla!. Het is een op server niveau beschermingsfunctie die
ingrijpt. Voorkom het gebruik van het woord Wget en u bent uit de gevarenzone.
21