CakePHP webroot 和 tmp 文件夹被黑

Question

我正在做一个项目。项目分为两部分：

• 门户（WordPress）
• 管理员 (CakePHP 3.*)

我在生产站点上遇到了问题。我的项目被黑了，有人在门户网站（WordPress）的每个文件夹和管理员（Cakephp）的 webroot 和 /tmp 文件夹中添加了一些文件。

目前，我已经删除了根文件夹并从分支 master 中提取。问题已解决，但我知道这不是永久解决方案。

文件夹结构是这样的：

<root>
    admin (cakePHP)
    wp-admin
    wp-content
    wp-includes 
    index.php
    wp-config.php
    ....
    .... and other word press files

为什么会出现此问题以及解决此问题的解决方案是什么？

Answer 1

保护您的 wordpress 和 cakephp 部分。

1) Cakephp 安全性 - https://book.cakephp.org/3.0/en/controllers/components/security.html

2) WordPress 安全性 - https://www.codeinwp.com/blog/secure-your-wordpress-website/

3) 修改ftp用户名密码更安全

4) 检查服务器是否安装了防火墙。

Answer 2

其实你面临的问题涉及很多事情，把它分成几个主题。

1/ WP

• 让您的安装始终保持最新状态。
• 删除未使用的插件。
• 保持更新插件，如果不是来自受信任的来源，请更改它。
• 保持更新的主题，如果不是来自受信任的来源，请更改它。
• 删除 wordpress 版本号，如果可能的话，删除 html 上所有有助于识别 wordpress/theme/plugin 的内容。
• 由于您的安装已损坏，请更改所有凭据。

2/ 你的蛋糕PHP

• 检查是否转义了所有 SQL 查询
• 当您允许用户上传文件时检查您是否有相关的安全性（mimetype、extension、rename file，不允许 Webserver 在您的上传文件夹中执行 PHP、Perl 或 Python）
• 由于您的安装已损坏，请更改所有凭据。

3/ 服务器结构

• 您不应允许在 wordpress 和 CakePHP 上传文件夹中执行服务器端脚本。
• 您应该将两个安装都保留为不同的文件夹和 Unix 用户，以防止允许影响另一个的 1 个。
• 由于您的安装已损坏，请更改所有凭据。