Danh mục: Tìm hiểu joomla

Tổng hợp các biện pháp bảo vệ cho website joomla(I)

Thật là tai hại khi website bị tấn công. Rất khó để biết được họ sẽ tấn công vào lúc nào, ra sao… Những câu hỏi hóc búa ấy thật khó, và đơn giản hơn, mình tổng hợp những gì lượm nhặt được từ internet, và từ kinh nghiệm bản thân, hi vọng sẽ giúp đỡ các bạn phần nào…

1. Chuyển hóa thư mục administrator.

Đây là phương pháp dành cho joomla 1.5.x. Đối với website 2.5.x bạn cũng có thể sử dụng, nhưng lưu ý là trước khi tiến hành hãy sao lưu website của bạn, và tốt nhất là test ngay trên local. Lưu ý: Tạo ngay một bảng thống kê các biện pháp thực hiện để biết khi chẳng may có lỗi thì cần phải tiến hành ra sao nhé!

Trong Joomla! phần quản trị (Admin, Back-end) được đặt trong thư mục administrator, do đó mỗi khi muốn đăng nhấp vào Admin để quản lý phải truy cập vào địa chỉ “http://domainname/administrator/“. Dĩ nhiên là cần phải có mật khẩu thì mới đăng nhập được, nhưng trong một số trường hợp người quản trị lại muốn tránh sự tò mò nên muốn ngăn không cho người khác truy cập vào địa chỉ này.

Có nhiều cách để ngăn chặn việc truy cập này, say đây sẽ là một trong những cách ngăn chặn truy cập vào thư mục administrator của Joomla!

Tại thư mục gốc của Joomla! hãy tạo thêm một thư mục khác và đặt tên nào đó để không ai biết được, thí dụ “quantri“

Trong thư mục “quantri“, tạo một tập tin đặt tên là index.php có nội dung như sau:

?php

$admin_cookie_code=”1234567890″;

setcookie(“JoomlaAdminSession”,$admin_cookie_code,0,”/”);

header(“Location:../administrator/index.php”);

Kiểm tra xem tại thư mục gốc của Joomla! đã có tập tin .htaccess hay chưa, nếu chưa có thì hãy tìm và đổi tên tập tin htaccsess.txt thành .htaccess.

Sao chép (Copy) và dán (Paste) dòng mã dưới đây vào cuối tập tin .htaccess.

1.RewriteCond %{REQUEST_URI} ^/administrator

2.RewriteCond %{HTTP_COOKIE} !JoomlaAdminSession=1234567890

3.RewriteRule .* – [L,F]

Từ bây giờ, mỗi khi cập vào địa chỉ “http://domainname/administrator/” sẽ gặp thông báo lỗi. Muốn vào phần quản trị của Joomla! thì phải truy cập vào địa chỉ mới là “http://domainname/quantri/“.

2. Bảo mật cho Thư mục Administrator

Đặt mật khẩu cho thư mục, thực ra làm trong cPanel cũng được (hệ thống quản trị hosting nào cũng có chức năng này). Tuy nhiên để hiểu được bản chất của việc này cũng coi như là biết thêm một cách thú vị. Chính vì vậy ta có thể tự đặt mật khẩu bảo vệ thư mục quản trị Joomla bằng tay, mà tác dụng vẫn như giống với cách làm trong quản trị hosting. Ok, có 3 bước:

Tạo file .htpasswd với nội dung sau:

tendangnhap:$apr1$t2YOL…$Xo98BGSbFrbqqnry5IFPG1

Tạo file .htaccess với nội dung sau:

AuthType Basic
AuthName “Password Required Page”
AuthUserFile “/đường-dẫn-gốc/public_html/administrator/.htpasswd”
Require valid-user

Upload 2 file trên vào trong thư mục Administrator

Done!

Giải thích một chút:

Tạo 2 file .htpasswd và .htaccess bằng trình soạn thảo text bất kỳ, Save as type: All Files (*.*)
Trong file .htpasswd:
tendangnhap: Tên đăng nhập vào thư mục đặt password
$apr1$t2YOL…$Xo98BGSbFrbqqnry5IFPG1: mật khẩu đăng nhập đã được mã hoá, nội dung mật khẩu trường hợp này là: matkhaudangnhap
Mật khẩu trong file .htpasswd được mã hoá theo thuật toán DES (Data Encryption Standard), không dễ bị phá. Tạo một file.htpasswd với username và password theo ý muốn tại đây.
Trong file .htaccess:
Đường-dẫn-gốc ở đây là đường dẫn gốc của host dẫn tới thư mục đặt file .htpassword
Muốn biết đường dẫn gốc của host là gì thì xem: http://site-của-bạn/info.php, mục DOCUMENT_ROOT
Nếu không xem info.php được (host cấm hàm phpinfo) thì phải hỏi bọn cung cấp hosting thôi, nhưng thường đường dẫn của host Linux cũng dễ đoán ấy mà.

Tạo mật khẩu cho thư mục bằng trang quản trị hosting (thường là cPanel) cũng tạo nên 2 file .htpasswd và .htaccess như thế (.htpasswd sẽ đặt ở 1 thư mục mặc định ngoài thư mục gốc), nhưng khi không dùng nữa nó không xoá hẳn 2 file đó đi mà chỉ thay đổi nội dung để bỏ mật khẩu thư mục. Như vậy tự dưng có 2 file rác không cần thiết. Tự làm theo cách này đơn giản chỉ cần dùng FTP, khi không dùng nữa có thể xoá thẳng tay 2 file đó hoặc đổi tên để dùng lại khi cần.

Xuân Trung