Самое главное каждый может сделать, это принимать правильные решения в отношении расширения они выбирают для использования на сайте. После небезопасные или вредоносных расширение будет установлена, вы должны рассмотреть весь сайт под угрозу. Существует никакой возможности, чтобы защитить или остановить компонент доступа к базе таблицы оно не должно быть доступа. Существует никакой возможности остановить компонента отправлять всю информацию он нашел обратно взломщик сайта. После небезопасные или вредоносный компонент установлен, весь сайт является небезопасным.
Со всем, что сказал, вот некоторые довольно легко советов, как сделать правильный выбор в отношении расширения установки:
1. Когда была последняя версия выпущена?
Если это было больше года, рассмотреть проект заброшен и найти что-то другое. Не устанавливайте старых компонентов.
2. Какой релиз это такое? (Стабильная, Release Candidate (RC), Бета, Альфа)
Для производства сайтов, которые вы должны придерживаться Стабильные релизы как можно больше. Если вы не можете ждать, пока стабильный релиз был распространен, выпуск Кандидаты только другой вариант вы должны рассмотреть. Я не хотел бы предложить любому устанавливать бета или альфа расширения на производственной площадке. Это означает, что они все еще есть ошибки, они не были испытаны достаточно, и может иметь любое количество неудобно ошибки или проблемы безопасности, которые не были исправлены или что еще хуже, найден.
3. Ли продолжение у истории хорошей практики безопасности?
Очевидно, что это немного больше субъективное, но это все еще очень действительный показатель будущей надежности. Это требует немного расследования и исследования. Посмотрите вокруг их загрузки страницы и архивы, много ли релиз безопасности или исправлений? Есть много сообщений о крекинга деятельности через это расширение? Есть опытные разработчики и безопасности сознательными? Что делать с другими членами сообщества думаю, этого расширения? Один пример, который приходит на ум, что имеет мало общего с Joomla себя (что делает его справедливым например) PhpBB. Этот сценарий имеет более вопросов безопасности, чем я могу получить мою голову вокруг и там регулярно, кажется, вновь открывшимся вопросов. Из-за этого, я бы никогда не использовать PhpBB. На мой взгляд, его не заслуживающим доверия и существует высокая вероятность того, что будет более серьезным вопросам безопасности.
4. Есть поддержки сообщества для этого расширения?
Это очень важно для удобства и безопасности общественности. Если есть поддержка сообщества для расширения есть больше шансов безопасности вопросов, которые известны и рассмотрены. Поддержку сообщества означает, что люди хотели бы продолжать использовать расширение и что они заботятся о расширении. Это способствует вероятность того, что вопросы безопасности будут найдены, раскрывается, и рассматриваться оперативно.
5. Есть только версии Mambo этого расширения?
Хотя это само по себе не делает расширение небезопасно, но довольно калибровочных поддержки, как в последнее время последней Характеристики срабатывания был, и дальнейшая поддержка. Существует довольно узкой вероятность того, что Mambo компонент будет поддерживаться в 1,5 таким образом спасти себя неприятности и найти элемент, изготовленный для работы с Joomla. Это сделает вашу жизнь проще.
6. Является ли расширение вообще ошибка бесплатно?
Я намекал на это немного в номер три, но я думаю, что это стоит обсудить более подробно. Хотя это практически невозможно для расширения вполне ошибка свободный, меньшее количество ошибок, тем лучше. Если Есть ошибки в программном обеспечении это означает Есть ошибки в программном обеспечении. Больше ошибок, тем выше риск юзабилити вопросов и вопросов безопасности. Вопросы безопасности часто результат не одну ошибку, но несколько ошибок или плохой практикой. Например, последние третий участник уязвимости, которые позволяют для дистанционного включения файлов в результате:
Отрицательный опыт:
1. Наличие регистра в PHP Globals включен.
2. Использование устаревших или брошенные расширения.
3. Никаких других проверок безопасности включена для PHP. (Url_fopen OFF, open_basedir ограничений, инвалиды функций PHP)
4. Плохо настроены права доступа к файлам.
5. Нет фильтрации запросов или программного обеспечения "Firewall". (Например, mod_rewrite правила или Apache mod_security модулей)
Ошибки:
1. Не в том числе определены ("_VALID_MOS ') или умереть ... Заявления
2. Плохо продуманные включать () отчетности.
Хотя Joomla! основной является безопасным, когда правильно настроена, третий участник расширений входят во все вкусы от выдержки и качества. Если вы абсолютно доверяете расширения разработчика, всегда готов рассмотреть код должен перед установкой. Ниже приведен список типичных проблемных областях.
1. Как комплекс расширение?
Чем она больше, тем больше вероятность того, что есть проблемы, и более тщательно вы должны ознакомиться с ним. Если вы не можете сказать, что он делает, вы не должны доверять ему.
2. Ли расширение читать или писать файлы на сервер?
Программы, которые читают файлы могут непреднамеренно нарушать ограничения доступа вы создали, или передавать конфиденциальную информацию системы крекеры. Программы, которые пишут файлы имеют потенциал для изменения или повреждения существующих файлов, или ввести троянских коней.
3. Ли расширение взаимодействия с другими программами в вашей системе?
Например, многие расширения отправить по электронной почте в ответ на форму ввода, открыв связи с Sendmail программы. Он делает это в безопасный способ?
4. Ли расширение работать с SUID (Set-User-ID) привилегии?
В целом это очень опасно; расширений необходимо веские причины для этого.
5. Ли расширение проверять все вводимые пользователем данные, такие, как в поля формы и URL?
6. Ли расширение использования точных имен пути при вызове внешней программы?
Опираясь на переменную PATH среды для решения частичной имена путь является опасной практикой.
7. Является ли расширение защищены от прямого доступа мысли URL?
Например: www.yoursite.com/components/com_bad_extension.php?lots_of_bad_code_here
8. Является ли расширение безопасности на удаленных включений файл?
9. Является ли расширение защищены от SQL инъекций?
10. Является ли расширение защищены от Cross Site Scripting (XSS)?
11. Ли необходимость расширения PHP register_globals ON, или Joomla! РГ эмуляция на?
Если так, то это, вероятно, нарушает номер 7 выше.
12. Ли расширения обеспечивают более высокую доступа к базе данных менее привилегированных пользователей?
Например это позволит гостям и зарегистрированным пользователям просматривать данные, которые только издателей или администраторы должны быть в состоянии видеть?
