Se protéger des pirates

Base de connaissance

Le Sud 83 > Support Le Sud 83 > Base de connaissance

Se protéger des pirates

Solution Se protéger des pirates

Comment éviter que votre site ne soit piraté ? Lutter efficacement contre ces hackers. Dans cet article nous allons aborder quelques points permettant de renforcer la sécurité de son site. Nos serveurs sont bien protégés, toutefois vous pouvez agir avec nous pour votre site. Nous ne donnons que quelques conseils, qui comme vous le verrez au cours de cet article ne peuvent malheureusement pas être appliqués à tout les sites, surtout si vous utilisez des cms.

Avant toute chose il est indispensable que si votre site est construit avec un cms (ex : Joomla, Wordpress, Dupral, Coppermine, et bien d’autre encore) de le mettre à jour pour la dernière version stable connue. En effet ces logiciels open sources sont en premier visé par les pirates et les mises à jour permettent de réparé les failles de sécurités des anciennes version.

NOS CONSEILS

1 – LE CHMOD : Les chmod définissent les droits d’un utilisateur sur un fichier.

Attribuer les bons droits à vos fichiers. Via votre client FTP attribuez le chmod 404 aux fichiers et le chmod 505 aux dossiers. En donnant ces droits personnes ne pourra modifier vos fichiers.

Inconvénient : lorsque vous voudrez mettre à jour votre site vous devrez remettre les bons droit d’accès soit 644 pour les fichiers et 755 pour les dossiers.

2- LE HTACCESS : Les fichiers .htaccess sont des fichiers de configuration des serveurs web Apache.

En le modifiant vous pouvez là aussi restreindre l’accès à votre site et les moyens d’accès des pirates. Créez votre propre fichier .htaccess et mettez-le dans votre dossier « public_html » en le configurant comme ceci :

- Register_Globals sur OFF (Malheureusement certains cms demandent à ce que ce paramètre soit mis sur ‘on’. Nous vous conseillons d’utiliser des cms ne demandant pas que ce paramètre soit mis sur ‘on’.)

- Interdisez l’accès à ce fichier depuis un navigateur web en ajoutant :

<files>
order allow,deny
deny from all
</files>

- Interdisez de pouvoir lister le contenu d’un dossier en ajoutant :

Options -Indexes

- Interdisez les robots des pirates ou robots anonymes. Les codes sont nombreux pour ceux ci, une recherche rapide sur internet vous donnera de nombreux exemple.

Ceci ne sont que quelques exemples qui peuvent être mis dans le fichiers .htaccess, il en existe encore de nombreuses.

3- LES INJECTIONS SQL : Exploitation d’une faille

Une injection SQL est un type d’exploitation d’une faille de sécurité d’une application interagissant avec une base de données, en injectant une requête SQL non prévue par le système et pouvant compromettre sa sécurité.

Il existe de nombreux tutoriaux sur internet vous expliquant comment vous protéger de ces attaques.

Protégez vos variables php :

/* pour un filtrage de base */
$variable = trim(stripslashes(htmlentities($_POST["variable"])));

/* pour un filtrage plus restrictif */
$variable = preg_replace("/[^_A-Za-z0-9-\.&=]/i",'', $_POST["variable"]);

Il existe de nombreuses fonctions pour filtrer les variables depuis php5 : http://fr.php.net/filter

4- MOT DE PASSE : Protégez vos mots de passe

Votre FTP peut être piraté par l’obtention de votre mot de passe. Les mots de passe mis par défaut chez nous sont efficaces mais difficile à retenir c’est pourquoi vous avez la possibilité de les changer. Toutefois si vous décidez de le changer, il y a un certains nombres de règles à observer :

* il doit contenir minimun 8 caractères
* il ne doit pas former un mot
* il doit contenir des lettres, des chiffres, minuscules et majuscule

N’utilisez jamais le même mot de passe pour plusieurs accès : ftp, email, bases de données, espace administration, …

5- PARAMÈTRES PAR DÉFAUT : N’utilisez pas les paramètres par défaut.

La plupart des logiciels cms (blog, galerie photos, joomla, …) lors de l’installation propose des paramètres par défaut pour la connexion. Si cela vous est possible, nous vous recommandons de changer ces paramètres. En effet, les pirates connaissent ces identifiants de connexion par défaut et peuvent alors facilement pirater votre site si vous avez laissé ces identifiants.

LIENS :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-INF-002/
http://www.coinduwebmaster.com/bloquer-spambots-aspirateurs-user-agent-htaccess/66/

Est-ce que cet article vous a été utile ? oui / non

Détails de l'Article

Article ID:	1
Catégorie :	Sécurité
Date:	2010-01-29 00:49:04
Affichage:	466
Evaluer (Voter):	(0)

<< Retour