Пару недель назад…
Версия блога на WordPress успела обновиться с 2.7 на 2.8, а к старой к этому времени версии хакеры уже успели найти кучку дыр приводящих после определенной последовательности действий к выдачи взломщику вашего пароля или возможно даже сразу доступа к админке.

Нечто похожее произошло и с одним из моих блогов. Хакер и спамер по совместительству каким-то образом «поимел» один блог сменив пароль и эмайл адрес в админке на свои, и импортировав свой забитый спам постами xml файл, с кучей неприличного адалт контента, и еще большей кучей линков на дерьмовые пoрнo сайты являющиеся как я понял платформой для дальнейшего слива трафика через tds (систему распределения трафика).

Хорошо блог тот был и не совсем даже блог, точнее сплог толку от которого практически не было (так как не было нормального ссылочного), и хоть он и был в индексе, поисковые боты заходили на него довольно редко и к моего счастью к тому времени процитировать новый, и явно не совсем тематический контент, выкинуть блог из индекса или наложить фильтры не успели..

При входе в админку взломанного блога первая ожидаемая неприятность – ваш пароль не проходит. При попытке восстановления по ссылке – забыли пароль, ссылка на генерацию нового пароля уходит.. но не вам!!! а хакеру ;) так как эмайл адрес он конечно же так же сменил на свой..

Как восстановить доступ к своему же блогу? И как защитить блог от взлома?

Вообщем пришлось въезжать в тему дабы восстановить работоспособность как можно быстрее + по возможности максимально обезопасить себя в будущем от таких неприятностей.
Тема хакинга наполовину запретная тема, но для общего развития никто не может запретить вам изучать те или иные материалы, попробовать поломать свой блог или блог своего друга ;) (конечно же только с его согласия) и т.д. и т.п. вообщем материалов в сети по взлому достаточно, что наверное и направляет многих на этот путь. Для тех же кто подумывает заниматься чем-то таким, искренне не рекомендую, так как мало того, что это просто не законно, и попасть по тупости вам будет проще простого просто ‘зацепив’ кого-то из серьезных людей (серьезных сайтов, проектов и т.п.).
ВСЕ без исключения логи входящих и исходящих коннектов хранятся в базе данных провайдеров, большинства прокси серверов (даже из тех кто зовет себя – анонимными) и тем более серверов на которых располагаются сайты.

Но мне понадобился взлом своего же блога, чтобы получить к нему доступ снова. Перебирать свои параноические пароли не представлялось возможным, так как длина их обычно за nn-ым количеством символов которые я набираю вручную с бумажки прилепленной к своему монитору ;)
Поправочка хакерам задумывающимся взломать мою квартиру с целью утащить эту бумажку, ребята ничего у вас не выйдет, так как данные на бумажке хранятся в беспорядочном виде без привязки домен=пароль и только взломав мой мозг можно получить из этого что-то полезное. Хотя.. честно сказать половина паролей там вообще хз для чего и к чему.. Наверное для еще большей путаницы.. Ну тема не в этом..

Блог на движке WP хранит пароли в базе данных MySql зашифрованным довольно крепким алгоритмом MD5. Поэтому даже добравшись до базы (путь в базе данных к строке с паролем такой – wp_users > user_pass) вы увидите не сам пароль а 32 беспорядочных символа. Дело за малым..

Не получается расшифровать, зашифруем и сменим на свой! Создаем в корневой папке блога PHP файл с таким кодом:


$blog = md5("Здесь_Ваш_Новый_Пароль");
echo $blog;
?>


и запускаем его через браузер. Функция MD5 зашифрует ваш пароль и покажет вам на экране результат шифрования. Остается только заменить результат в базе данных и все! Можно лезть в админку с новым паролем. Если данные действия проводятся после последствий взлома а не экспериментов, рекомендую сразу же проверить настройки, список зарегистрированных пользователей и e-mail адреса, так как сменив пароль, но не сменив почту взломщика риск опять быть поломанным остается. К тому же еще проще, взломщику остается только сделать восстановления пароля на свой ящик и он снова в админке вашего блога..

Способы защиты блога на движке WordPress

Дабы узнать как защитить себя, желательно знать как тебя могут сломать..

После некоторых поисков пришел к выводу, что в большинстве случаев (именно с блогами на WP) ломают через дырявые (неправильно написанные) плагины, иногда через дыры в самом движке WordPress’а но актуально это только со старыми версиями, так как на новых их быстро исправляют разработчики, и хакерам нужно время, чтобы найти их снова. Самые редкие случаи, и наверное самые опасные (потому что одним блогом тут может не обойтись) взлом FTP сервера где лежит сайт.

Итак. От взлома блога через криво написанные плагины могут спасти только новые версии этих плагинов или отсутствие плагинов вообще. Но усложнить поиск дырявых плагинов взломщику можно достаточно просто. В папку http://вашБлог.ru/wp-content/plugins/ закинуть пустой index.html

Почему то по умолчанию разработчики не сделали этого, что позволяет (при отстутствие индексного файла в этой папке), набрать url в браузере и… посмотреть весь список используемых вами плагинов.
Можете попробовать прямо сейчас посмотреть видно ли ваши плагины таким способом ;)
Тоже самое кстати касается и папки themes. На всякий случай и туда можно закачать пустой индекс, так как и в темах тоже могут быть дыры (и чем тема навороченней – кол-во функций, ява и т.д.) тем большую опасность она может представлять.

От взлома через дыры с устаревших версиях может выручить только регулярное обновление. И по моему глуп тот, кто думает зачем мне эта новая версия, фишек в ней новых нет (встречал такой флуд на форумах), что в ней такого, подожду следующей если там что-то новое будет обновлюсь…
Обновляться или нет дело конечно личное, но стоит учесть, что в новых версиях совершенно любого программного обеспечения разработчики в первую очередь исправляют ошибки а уж потом добавляют новые функции. Возможно в версии 2.8. этих функций не так уже и много (зато подсветка синтаксиса как радует), но некоторые ошибки были исправлены.

Кстати, после автоматического обновления через админку блога в папке на хостинге может появится и файл wp-config-sample.php который используется только при первичной установке блога, после чего переименовывается в wp-config.php в котором хранятся пароль и логин для доступа к базе данных MySql. Файл -sample.php лучше удалить, а на wp-config.php установить права доступа не больше 644. Права доступа на другие файлы и папки тоже стоит перепроверить, так как излишние (особенно 777) только создают дополнительную возможность для взлома.

Еще один метод защиты обычно предоставляет сам хостинг. Почти в каждой панели управления есть возможность установить парольную защиту на определенные папки. В нашем случае это может быть папка wp-admin/ . Включаете функцию, выбираете папку, ставите на нее пароль. Таким образом у вас получается два пароля для входа в блог, что может быть и не создает дополнительного удобства, но безопасность от этого только повысится.

Другой вариант (и может быть даже лучший!) ограничить доступ к определенным файлам и папкам по своему IP адресу. Делается это при помощи файла .htaccess в который добавляется следующий код:


Order Allow,Deny
Allow from 192.168.1


Где 192.168.1 ваш IP адрес. Создав такую инструкцию доступ к файлу wp-login.php будет возможен только с адресов в диапазоне 192.168.1.1-192.168.1.255
Если у вас постоянный (выделенный) IP адрес просто пропишите его полностью.

Тоже самое сделаем для папки wp-admin/
Создаем файл .htaccess в котором пишем:

Order Allow,Deny
Allow from 192.168.1

Файл закачиваем в саму папку. Не забудьте сменить IP адрес на свой! Все.
Теперь доступ к админке вашего блога только с указанного ip адреса.

Кстати, как вы наверное поняли, данным способом можно защищать не только админку блога, но и файлы и папки любых других движков/сайтов/магазинов и т.д. и т.п. доступ к которым у вас есть.

Про взлом и защиту сервера можно написать отдельную статью. Да что там статья люди пишут довольно интересные книги по этой теме. А тема эта длиной в бесконечность… Существует сотни способов взлома/перехвата/перебора паролей для доступу к серверам, десятки тысяч уязвимых скриптов, и огромное множество ленивых администраторов не латающих дырки, подвергая сайты и аккаунты клиентов риску быть взломанными. Но несколько советов я все-таки могу вам дать.

Не хранить пароли в кукисах браузеров и вообще на компьютере. Т.е. просто не ставить галочки на ‘запомнить пароль’ для жизненно важных сервисов. Если же решили хранить секретные данные на своем компьютере, лучше всего для этого подойдет виртуальный защищенный PGP диск.

PGP диск обладает настолько сильным алгоритмом шифрования, что по некоторым данным справится с ним (при наличии длинных паролей) не могут даже спец.службы. Возможно поэтому во многих странах с некоторых пор появилась поправка вроде ответственности за не предоставление информации для расшифровки.

Если есть причины не использовать pgp (мало места, чужой компьютер и т.п.) может выручить usb флэшка с данным если не в pgp то хотя бы в зашифрованном архиве. Некоторые архивы RAR последних версий по данным многих хакерских сайтов менее подвержены взлому/перебору паролей, чем архивы формата ZIP. Одно но! Рельно сложным для перебора паролем является комбинация различных букв, цифр и знаков (совместно и в перемешку) длиной не меньше 13 символов. Это касается не только архивов а без исключения ВСЕХ паролей для совершенно любых сервисов! Для перебора пароля вроде этого: jHDlo2Zw/)&kF#lBV понадобятся годы работы программы переборщика даже при использовании целой сети мощных компьютеров. А ваше возможное: 12345, или qwerty, или pupkin77 подбираются любой специализированной программой по словарю (!) может быть даже за несколько минут..

ps. данный пост будет всегда актуален, так как будет редактироваться мною при нахождении новой информации по этой теме, выхода новых версий блога или появления новых уязвимостей в нем.

SSH намного защищеннее FTP (пароли в ftp протоколе никак не шифруются и перехватываются любой программой сниффером без каких либо проблем (здравствуйте провайдер ;) ).

Отсутствие блога намного безопасней его присутствия..

Хостинг как известно бывает разный. По некоторым данным только в рунете насчитывается несколько сотен более менее крупных компаний предоставляющих услуги размещения сайтов, и тысячи мелких реселлеров, покупающих хостинг “оптом” у крупных компаний для перепродажи или для своих проектов/клиентов (как часто делают например различные дизайнерские студии).

В принципе я невижу никаких особых преимуществ реселлерского хостинга кроме иногда на удивление хорошо работающей тех.поддержки. На таких реселлерских хостингах вам часто может помочь с каким-то вопросом круглосуточно доступный человек в icq, так как каждый клиент, в отличии от крупных компаний у реселлера на счету. За клиента держаться, его обычно уважают и пытаются удержать. Но зарекаться конечно же не стоит. У каждого свой подход и принципы в работе, но все-таки чем крупнее компания, чем чаще на одного клиента в отдельности им побоку. ;(

Итак. Хостинг для бизнес сайта. Вообщем то заголовок скорее для сео чем для людей
И стоит задуматься чем же бизнес сайт отличается от небизнес проектов. Хм..
Ну да ладно. Мало чем. Вот в чем ответ.
Возможно вам понадобиться больше места (в Мгб. или даже Ггб.), больше баз данных
(обычно MySql), поддержка php, asp, perl, большое кол-во e-mail адресов и поддоменов (для вас и ваших сотрудников), максимальный включенный трафик, и кол-во доменов на одном аккаунте если одним сайтом (доменом) вы ограничиваться не собираетесь..

Бывает долго работающий хостинг и бывает работающий иногда, бывает качественный, а бывает и полный отстой, бывает даже, что у хостинга отличная тех.поддержка, а бывает, что вместо тех.поддержки в ICQ сидит бот.. еще бывает дешевый и дорогой хостинг, и как не странно дешевый не означает, что он обязательно хуже, а дорогой не должен быть обязательно лучшим хостингом.

В хостинг бизнесе всё бывает, и чтобы лишний раз не посчитать себя “лапухом”, ни в коем случае не рекомендую (как бы вас не пытались уговорить на это на сайтах предлагающих услуги хостинга) платить за полгода-год вперед, так как в случае вашего отказа от некачественных услуг, вернуть деньги все-равно может оказаться не просто.

Если же проблема выбора хостинга стоит перед вами в срочном порядке, рекомендую попробывать следующие хостинг компании. И рекомендации эти не ради подзаработать, это именно то, чем пользуюсь я сам.

http://ruweb.net/

RuWeb – хостинг.
Отличная техподдержка, форум, сервера в России или США на ваш выбор,
все работает на отлично уже второй год! Именно у этой компании покупают
реселлерские аккаунты многие другие.

http://robo-host.ru/

Робо-хост – Один из самых недорогих тарифов, который я очень часто использую,
особенно для временных сайтов или экспериментов.
Тарифы начинаются с 40 центов, т.е. примерно от 10 рублей!
Тарифов много, стоит призадуматься и не брать самый большой
(для этого есть другие варианты), а вот для маленького сайта, блога,
или партнерского магазинчика хостинг в самый раз.

Советую если вы еще сами не в курсе, сколько и чего конкретно потребуется
вашему сайту и какой из тарифов вам подойдет лучше всего – берите любой из дешевых тарифов для начала, ну а потом вы запросто сможете перейти на на более серьезный и соответственно дорогой.

Если вы собрались делать сайты пачками или хотите хостинг для нескольких пользователей сразу. Лучше выбирайте специальные тарифы для реселлеров.
В них всегда имеется возможность создания дополнительных аккаунтов с отдельными возможностями для каждого из них. Т.е. вы сами сможете создавать аккаунты для других пользователей!

Удачи! И чтобы ваш сайт, ваш бизнес, т.е.главное в этом хостинг! не тормозил и работал
24 часа в сутки без перерывов и выходных!

DiamondElectric – это Интернет магазин по продаже смартфонов, коммуникаторов, карманных компьютеров, спутниковых GPS навигаторов и различных аксессуаров для них и для мобильных телефонов.

Можно слать трафик по обычной ссылке или баннеру, но все-таки лучше всего, создать свой собственный магазин. Вы будете получать от 10 до 20% от стоимости заказа.
В рунете не часто можно встретить партнерскую программу, в которой с одного заказа можно заработать пару тысяч рублей! Здесь же, при стоимости многих товаров в 10-20 тысяч (к примеру модные нынче смартфоны и коммуникаторы) даже 10% от суммы, будет
весьма ощутимым доходом.

Данная партнерка предлагает вебмастерам уже готовый магазин состоящий всего из двух скриптов. Установка и настройка магазина проще простого.
Несложно интегрировать шоп в любой другой сайт, к примеру как сделал я,
вы можете посмотреть здесь:

мой магазин мобильной техники

Можете покритиковать, но по моему как родненький ;-)

Кстати, есть скрипты для создания своего WAP магазина, для заказчиков недорогих товаров возможна доставка без предоплаты, т.е. наложенным платежом с оплатой при получении на почте, что уж точно никак не уменьшит количество покупателей, а только наоборот.

Вообще цены в данном магазине на товары и на доставку невысокие, выбор товаров большой, навигация по магазину очень удобная, раздаются подарки каждому заказчику (кстати стоимостью в 300р!), проходимость заказов просто отличная.

Альтернативных партнерок в рунете я вообще не видал, похожие по тематике только магазины Sotmarket и Dixis, о которых я расскажу подробней в ближайшее время.

Если же у вас есть сайт мобильной (или близкой к этому) тематики, или есть трафик, который можно сливать на данный шоп, можете регистрироваться сразу здесь:

Партнерская программа Diamond Electric

Если лень делать все самостоятельно (но все-таки хочется), и при этом вам
не жалко вложить 29у.е, здесь вы можете купить готовый сайт с уже интегрированным
магазином, с хостом и собственным доменом

Короче, полностью готовый и работающий онлайн бизнес за копейки
или даже вообще бесплатно (зависит от того, что у вас уже есть)!

Если поторопитесь, то в течении месяца действует специальная акция для
участников партнерской программы по набору активных рефералов с призом
в 1000$ ! Рай для любителей привлекать рефов!

Подробней читайте на сайте партнерки.

По любым вопросам можете писать мне на e-mail или здесь в комментарии.

Начало письма:

EstDomains Inc., a US-based domain registrar, announces the extension of its promo offer regarding INFO domains. 1-year registration of an INFO domain will remain priced at $3 until Dec 31st 2007…

Раньше брал .info “пачками”, для новых сайтов, и даже просто для экспериментов по чисто символической цене в 1$ на год (продление домена на второй и последующие годы как обычно, около 5$).

После окончания акции дешевой распродажи прошло несколько месяцев, за которые я не приобрел не одного info домена.

А зачем? За пять баксов есть и порентабильней:
com, net, biz, не говоря уже о экзотических доменных зонах,
типа: name или in.

Конечно, для хорошей идеи домен в зоне info не самый лучший вариант, но для первого сайта, или наоборот, для тех кто делает сайты “кучками”, а также для экспериментов, почему бы и нет?

Акция продлена до 31 декабря 2007 года, правда вот стоимость теперь не 1$, а 3$. Но в некоторых случаях,
это оправдано.

Еще больше информации о выборе хостинга и доменного имени

Зачем нужен сайт если есть блоги?

Многие желающие иметь свой собственный сайт,
не могут создать его самостоятельно.
У одних не хватает знаний, у других времени,
а желание обрести свое место в сети для того,
чтобы выкладывать там свою информацию, имеется
и немалое…

Мысль такова:
«зачем нужно создавать сайт с нуля, если почти все,
что можно, можно сделать на основе уже готового блога?»

Вот вам несколько доказательств в пользу этого:

1. Установить блог может любой неленивый и внимательный человек. Всю процедуру установки можно описать так: идем на wordexpress.ru, качаем последнюю версию блога, разархивируем файлы на своем компьютере, лезем на хостинг и создаем там базу данных MySql, прописываем данные базы
в специальном файле конфигурации, закачиваем блог на хост и все! Запускаем и добавляем инфу!

2. На базе блог можно сделать почти любой из возможных типов  сайтов. Это может быть и дневник для ваших публикаций (для чего обычно и предназнаены блоги), и каталог ссылок, и  доска объявлений, и мини-форум и даже подобие Интернет магазина с обзорами и комментариями к товарам!

3. Для того, чтобы управлять блогом, не нужны FTP и прочие  заморочки, характерные для обычных сайтов (не считая специальных систем управления сайтами CMS, но у них своих минусов хватает).
Управление и добавление новой информации происходит через специальную панель администрирования блогом.

4. Обновление версии блога проходит проще некуда. Закачиваете новые скрипты поверх старых и все работает на Окей!
А так как все ваши сообщения и комментарии хранятся в одной базе данных, вы их не потеряете. Также переезд на другой хостинг, при сохраненной заранее базе данных, не составляет никаких  серьезных проблем.

5. Блоги отлично цитируются поисковыми системами.
+ к этому, благодаря своей структуре, получают дополнительный  бонус за частое обновление, так как при каждом новом посте,  обновляется весь блог, все старые сообщения сдвигаются вниз,  что воспринимается поисковиками как полное обновление сайта!

6. Для блогов существуют сотни различных плагинов и примочек. Это и готовые шаблоны для изменения внешнего вида, формы, капчи, различные дополнительные модули прибавляющие новые  возможности и функциональность. Стоит лишь поискать то, что вам нужно, и скорее всего что-то наподобие этого уже есть!

7. Если вышеописанных причин вам достаточно, для того,
чтобы заиметь себе собственный блог, добро пожаловать
обратно, к пункту номер 1.

Если вы так и не уловили ход моих мыслей, то зачем вам
вообще нужен сайт?

Если сайт (блог) вам все таки нужен, но пункт номер 1,
вам не удался, или есть причины не делать это самостоятельно, обращайтесь, помогу!
ВНИМАНИЕ!

Принимаются любые коммерческие предложения по поводу создание сайтов любого типа, блогов, форумов и Интернет магазинов!

Цены на услуги дизайна и программирования смотрите по этой ссылке:

http://svoishop.biz/price

А по следующей ссылке, вы можете скачать прайс-лист в RAR архиве для просмотра его в оффлайн в Microsoft EXEL  (всего 7 Кб!)

http://svoishop.biz/price/svoishop-price.rar 

ВСЕ ПОДРОБНОСТИ ЗДЕСЬ: http://shop.rubiznes.info

Говорить вам, что без собственного сайта о собственном бизнесе не может быть и речи, наверное не стоит. Вообщем если своего сайта еще нет, торопитесь! Начинайте уже сегодня! Всё, что вам понадобится это три вещи- справочник по html командам, программа html редактор и главное интересная идея! Даже без первых двух вещей можно обойтись, но делать сайти без идеи это…

О создании сайтов: http://rubiznes.info/createsite.shtml

Там же вы сможете скачать подробный справочник по тегам html, есть всё и динамический и стили! + удобная навигация и конечно бесплатно!