Обезопасить созданный на MODX сайт

Добрый вечер, уважаемые пользователи MODX!

Пару месяцев назад открыл для себя MODX Revo, чему несказанно рад. До этого работал с разными CMS в т.ч. Joomla и Wordpress, но после знакомства с MODX сразу же про них забыл по объективным причинам, как и большинство в этом сообществе.

Сейчас делаю простой интернет-магазин. Недавно начал переносить верстку и на свежей установке MODX мое внимание привлекло следующее:

Скрин

Полез за решением проблемы и тут же наткнулся на статью в офф. документации:

Hardening Modx Revo

В связи с этим у меня возник ряд вопросов:

1) Всегда ли вы меняете расположение папки core, путь к админке (manager) и папке connectors в своих проектах или не делаете этого? Или есть более быстрое решение (допустим, в виде extras)?

2) Как часто, исходя из опыта, в Рунете «хакали» ваши сайты на MODX?

3) Влияет ли перенос и правка путей на установленные extras?

Я конечно понимаю, что безопасность всегда не помешает, но насколько это актуально для MODX? Тем более, изменение структуры этих папок потом также может добавить новых проблем при переносе сайта и т.п.

Исходя из своего опыта, сайты на Joomla часто заражались вирусами. Как обстоят дела с MODX я еще не знаю, поэтому хотелось бы узнать ваше мнение на сей счёт и рекомендации.
Сергей
Сергей
19 августа 2015, 17:48
modx.pro
2 000

Комментарии: 13

Ганин Роман
Ганин Роман
19 августа 2015, 20:56
1) Да, всегда. Использую автоматическую установку;
2) Один раз на сайте, который создавал, но не поддерживал (т. е. версия устарела на пару лет), но, судя по всему, изначально был получен доступ по FTP, а уж потом — инъекция.
3) Нет, если они написаны правильно и используют системные переменные для указания пути, а не относительные ссылки.
    Ганин Роман
    Ганин Роман
    19 августа 2015, 20:59
    Скрипт автоматической установки качает исходники с официального Git-репозитория из master-ветки. Т. е. это последняя стабильная версия. Чтобы «поиграться» с последней альфой, нужно в 166 строчке заменить master на develop
      Сергей
      Сергей
      19 августа 2015, 21:15
      Спасибо за ответ, учту!

      Касательно этого скрипта — подскажите, есть ли к нему где-то мануал по установке? Хотелось бы узнать поподробней как он работает.

      И еще интересует — перенос core, переименование connectors и manager достаточно? Или что-то еще дополнительно делаете для рядовых проектов?
        Ганин Роман
        Ганин Роман
        19 августа 2015, 21:30
        Он делает Advanced Installation, по крайней мере я руководствовался этой и следующими тремя статьями и версией стандартной установки от Василия Наумкина. Работает просто — кладёте его на сервере (я тестировал только на Ubuntu), запускаете из консоли:

        $ sh secure_install.sh

        Скрипт спросит у вас root-пароль от БД, имя пользователя и адрес, по которому будет доступен сайт (например, mysupersite.dev — этот адрес с IP нужно будет добавить в hosts вашего компьютера, если домен вымышленный).
          Ганин Роман
          Ганин Роман
          19 августа 2015, 21:41
          Установленный сайт будет доступен в

          /var/www/<указанное имя пользователя>/www
          Уровнем выше создается файл pass.txt со всеми логинами, паролями, новыми именами ядра, коннекторов и менеджера. Кстати, для скриптов, стилей и картинок я использую или каталог src (а не assets), или в корне создаю соответствующие: styles, scripts, images.
          Подразумевается, что вы используете Nginx, а не Apache. Остальные параметры вроде бы идентичны по статье «Правильный хостинг для MODX Revolution 2»
            Сергей
            Сергей
            19 августа 2015, 21:52
            Благодарю за ответ! Надо будет попробовать.
      Виталий Батушев
      Виталий Батушев
      20 августа 2015, 06:45
      А обновление руками делаешь?
        Сергей Шлоков
        Сергей Шлоков
        20 августа 2015, 08:29
        Не думаю, что даже половина разработчиков меняет расположение этих папок. Но для безопасности лучше это сделать.
        Перемещают обычно только core — выносят на уровень выше. А manager и connectors обычно просто переименовывают.
        И еще вот совет
        //Чтобы исключить подмены HTTP_HOST, нужно в конфиге вместо
$http_host= $_SERVER['HTTP_HOST'];
// указать свой хост или определить константу
define('MODX_HTTP_HOST', 'mysite.com');
// или в настройках контекста указать site_url или вызывать тег [[!++site_url]] некэшированным
          Сергей Шлоков
          Сергей Шлоков
          20 августа 2015, 08:46
          Упс. Коммент улетел не туда… метился в корень.
            Alexander V
            Alexander V
            20 августа 2015, 13:07
            Очень плохо, что не делают… С другой стороны, это не должно быть критичным для безопасности.
              Сергей Шлоков
              Сергей Шлоков
              20 августа 2015, 13:22
              Даже у нас тут редко всплывает проблема взлома. А на joomla постоянно.
              Был кипишь, когда AgelNash в открытую выложил дыру. Но потом вроде затихло.
              А вообще лучше перебдеть.
                Alexander V
                Alexander V
                20 августа 2015, 13:28
                Joomla/WP обычно летят из-за кривых рук. Ставят, что не попадя.
                В 2012г. принимал хозяйство одной вебстудии, порядка 200 сайтов на Joomla! Так, вот там контент-менеджеры сайты собирали из шаблонов и дополнений из файловых помоек. Постоянно вылетали из Яндекса. Наверное с год я перебирал всё это безобразие…
                  Сергей
                  Сергей
                  20 августа 2015, 18:06
                  Чем система распространеней, тем больше взломов. Думаю да, хотя бы как-то обезопасить надо. Правда если и сайт не с банковскими требованиями к безопасности, то чрезмерно увлекаться тоже думаю не стоит))
        Авторизуйтесь или зарегистрируйтесь, чтобы оставлять комментарии.
        13