укрепляющий друпал для живого развертывания - PullRequest
5 голосов
/ 20 августа 2009

Существуют ли какие-либо особые меры безопасности при развертывании сайта Drupal на рабочем сервере?

Например: я могу представить, что нам нужно удалить install.php из корневого каталога. Есть еще действия?

Или есть модуль, который проверяет сайт на "готовность к миру"

Ответы [ 6 ]

5 голосов
/ 20 августа 2009

Отчет о состоянии на http://your -site / admin / reports / status сообщит вам, если что-то не так.

На странице администрирования производительности вы можете включить различные параметры кэширования, но перед развертыванием протестируйте свой сайт с их включенными.

Существует книга от greggles для защиты друпалов, на которую стоит взглянуть.

2 голосов
/ 22 апреля 2011

В идеале вы проверяли свой код на отсутствие безопасности перед развертыванием, но настройку часто можно пропустить. Есть режим для анализа вашего сайта Drupal на предмет неправильной конфигурации, которая может привести к уязвимостям http://drupal.org/project/security_review

Проверка безопасности выполняет следующие проверки:

  • Безопасные разрешения для системных файлов
  • PHP в комментариях или узлах
  • Включено ли сообщение об ошибке
  • Небезопасные форматы ввода
  • Если личные файлы включены и каталог с файлами находится за пределами webroot
  • Разрешенные расширения для загрузки
  • Права администратора, предоставленные ненадежным пользователям
1 голос
/ 30 января 2013

Вот превосходное краткое изложение для Drupal 7: http://www.madirish.net/242.

Большинство предложений относятся и к Drupal 6.

1 голос
/ 29 июня 2010

все эти ответы заставляют вас перестать думать после того, как установка завершена - но у программного обеспечения есть история, и после установки drupal у вас есть еще один ребенок, которого нужно наблюдать - в случае с drupal следите ОЧЕНЬ внимательно! Это означает, что вы ДОЛЖНЫ подписаться на список рассылки по безопасности drupal и читать все письма, которые там приходят - будьте готовы получить много писем. Хорошо, что команда drupal быстро предоставляет эту информацию, но грустно, что таких писем слишком много, что может быть связано со стилем программирования drupals. будьте готовы не раз вставать посреди ночи, чтобы обновить вашу установку на drupal, потому что какой-то разработчик расширений так и не понял, почему нужно очищать входные данные из Интернета (да, такие проблемы с безопасностью все еще происходят в мире drupal .) Таким образом, «усиление» означает «идти в ногу с обновлениями», в случае с drupals они случаются довольно часто. Подумайте об этом, если у вас много сайтов и вы хотите развернуть их на нескольких серверах - автоматическое развертывание поможет вам сэкономить много времени.

1 голос
/ 20 августа 2009

В дополнение к другим предложениям также удалите update.php.

Я бы также (пере) переместил / скрипты из рута

Это незначительная вещь, но вы можете удалить текстовые файлы в корне дистрибутива, которые пропускают номер версии. Такие как CHANGELOG.txt и т. Д.

Я не помню, насколько безопасно cron.php защищает себя от приливов. Возможно, вы захотите выяснить, стоит ли это ограничивать только локальным доступом или доступом только из командной строки.

Убедитесь, что файлы .inc обрабатываются PHP.

0 голосов
/ 20 августа 2009

Также следует удалить параметр перестройки реестра тем.

Он перестраивает реестр вашей темы при каждой загрузке страницы, поэтому он делает ваш сайт очень медленным.

...