Критические уязвимости безопасности Opencart

вроде - да

 

я так понял, пароль в админке сменили?

 

Да, но вроде ничего не поменяли, может базу слили.

 

1)сброс пароля:
http://www.opencart.com/index.php?r.../info&extension_id=9281&filter_username=Tcalp
пусть сначала попадут в админку
2)автоматическое резервное копирование нас спасет-да буте так
http://www.opencart.com/index.php?r.../info&extension_id=8587&filter_search=anyport
3) firewall поможет нам защитится:
http://www.opencart.com/index.php?r...xtension_id=9989&sort=e.date_added&order=DESC
4)выносим конфиг и админку за приделы сайта
5)мыло не должно быть дурного типа : admin@магазин.ру
и пасс qwerty или good
6)закрываем доступ к бд со сторонних ip(у некоторых хостеров есть данная функция)
7)я не знаю почему но люди ставят пароли на ftp из 5-6 цыфр? я могу позволить себе сделать такое только на тестовых сайтах
8)попадаются дураки которые делаю все но забывают про главное:
ставят пасс на хостинге: 123456
на этом пожалуй я закончу

 

Если зашло дело то взлома, то согласитесь, нету такого движка, который был бы защищен на все 100%.
Просто нужно не делать пароли не меньше 60 бит, у меня все пароли под 110 :3

 

Есть предложение выкладывать уязвимости во всех версиях OpenCart и способы их устранения. Ведь, далеко не всегда удобно каждый раз обновлять свой магазин до последней версии. Кого-то вполне устраивает версия 1.5.1.3 или, скажем, 1.5.3.1, лишь бы дыры были закрыты.

 

В первую очередь менять:
Ключ шифрования:
Ключ, который будет использоваться для шифрования конфиденциальной информации при обработке заказов.

 

В первую очередь, поставить доступ к админке через IP. если конечно у Вас он не динамический!

 

Кодер из меня ещё тот, но, мож, кто знает, выкладывают ли разрабы Опенкарта что-нибудь типа работы над ошибками? Ну, там, какие уязвимости закрываются с выходом новой версии...

 

Ну как минимум можете читать changelog, когда появляются обновления. Из него думаю многое будет понятно

 

Нигде не увидел решения проблем, указнных вот здесь http://www.securitylab.ru/vulnerability/422889.php . Или это проблемы старых версий и для 1.5.4.1 уже неактуально?

 

Опенкарт вообще не дырявая. Если конечно обновляться вовремя!

 

Я выше задал вполне конкретный вопрос на который никто так и не ответил. По поводу версий я не особо видел после 1.5.4 и далее в ченджлоге упоминания о секьюрити фиксах.
Думаю нужно дополнительно защищать общими методами.

 

отключи загрузку файлов) включи чпу сторонний)
что за "общие методы"?
офф топ, конечно, просто мне понравилось решение с system/logs/error.txt http://wmasteru.ru/threads/Настройки-оптимизации-фичи-статьи-для-opencart.2219/#post-22328 хотя не офф топ. прежде чем туда ставить htaccess и мудрить, просто взять и переименовать error.txt в не воспринимаемую нормальными людьми хренатень. помните, в админке как раз спрашивают как назвать журнал ошибок)
собственно и остальные файлы логов ничего не стоит переименовать. но system/logs/error.txt всё таки главный

 

Общие методы - прятать админку (ограничивать доступ по вайтлисту), вывешивать фейк админку, и т.д.

 

http://www.waraxe.us/advisory-84.html при чём тут админка? если в статье говорится о загрузке своего скрипта на сайт? если он будет на сайте то узнать где твоя админка проблем не составит, это файл config.php, а тут уже и доступ к БД, а так же всякие ухищерения с доступом по ip, попросту не нужны, кому интересно что у тебя в файлах(навешивать фреймы и вставлять рекламу попросту глупо), если всё самое важное хранится в БД(а там уже и фреймы не составит труда навесить), . лучше подумать как БД защитить.

 

Я в своем сообщении писал что дополнительно нужно. Понятно если двиг решето то это не поможет.
Кстати а как без "загрузки файлов" аплоадить товары в шоп? Или включил - загрузил - отключил?

 

не хочу флуд разводить, ясно что тот кто знает методы защиты и взлома, о них не распространяется, я к сожалению не знаю, подробнее о защите бд можно тут почитать http://vk.cc/1ougGC
загрузку отключить не для админа, а для пользователя, довольно редки магазины, которые используют поле опции типа upload на странице продукта, а так же в некоторых модулях http://www.opencart.com/index.php?route=extension/extension/info&extension_id=1887&filter_search=custumer upload

решето, он, не решето, а пока сообщений о взломе магаза на опенкарт не видел

 

Столько инфы а теперь вопрос кого ломали? И если ломали то как! Работаю с opencart примерно 3 года, один раз только наткнулся на пост 2010 года и то всё сводилось к тому что В движке была применена уязвимая сторонняя библиотека, что и стало причиной успешной атаки.Но на самом деле просто соблюдайте просттые методы безопасности которые советуют хостинги и всё будет ок! Opencart все годы показывала устойчивую стабильную работу. Так что opencart рулит.