Några ord om säkerhet - hos Levonline IT hotell, web hotel

Några ord om säkerhet

Vi får ibland ärenden från kunder som blivit utsatta för ett eller annat hack försök mot sin website hos oss. Denna artikel visar på några möjliga scenarier som ofta ligger bakom försöken samt den lösning vi rekommenderar.

Code / SQL injection

Detta är ett sätt under vilket hackarna utnyttjar hål i dåligt skriven kod för att genom formulär eller URL strängen skicka in data som sedan tolkas av webservern som körbar kod. På detta sätt kan man som hackare få en webserver att exempelvis skriva till ftp ytan på disken eller köra SQL kommandon i databasen som kundens egen användare och med hjälp av kundens databas login och lösen. Vanligast är att kunden använder något form av open source verktyg, exempelvis ett CMS system, som sedemera inte uppdaterats. Äldre versioner av open source programvara är mycket ofta full av hål som hackare lätt kan upptäcka då informationen dels finns tillgänglig på internet, dels har hackarna tillgång till koden och kan själva testköra sina hack. Då användare ofta special anpassar sina installationer kan det innebära mycket jobb att uppdatera sin installation. Detta är dock av största vikt om man vill undvika att bli hackad.

Hack via FTP

Det är inte helt ovanligt att hackare kommer över våra kunders lösenord. Historiskt sätt har det vart vanligast att hackare tar sig in genom att knäcka ett lösenord. Detta görs enklast genom att använda en ordlista och sedan testa att logga in med olika kombinationer tills man hittar ett konto med ett dåligt lösenord (en s.k. brute force attack). På Levonline har vi redan från början insisterat på svårare lösenord som inte går att knäcka via en brute force attack. Dock är det inte helt ovanligt att hackare trots detta får tag på våra kunders svåra lösenord. Detta sker normalt via virus, keyloggers och andra klient baserade hack som installeras på våra kunders datorer och spriders sig i våra kunders nätverk. Ett bra antivirus skydd kan minska risken substantiellt. Vi rekommenderar även att använda sig av SCP eller SFTP istället för vanligt ftp. Detta eftersom dessa 2 protokoll är krypterade och inte går att avlyssna på samma sätt. Om din sida blir utsatt för en attack är det viktigt att komma ihåg att det finns tillgång till backup men att det första steget är att byta lösenord på det konton som drabbats (och helst också resterande konton som använts på samma nätverk). Därefter virus scanna alla datorer på nätverket med ett bra virusskydd. CMS system kan också använda FTP för att skriva de sidor som skapas via CMS systemet till disk. Om ni vet med er att ni har ett såndant CMS system, uppdatera programmet.

Filrättigheter och användare på servern

Levonline ger möjlighet att köra webservern antingen som din egen användare (ftp användaren som slutar på 00) eller en separat användare. Detta betyder att om du kör webservern som din egen användare kommer den ha samma rättigheter till dina filer som om du själv loggat in med FTP. Om man via ex. ett CMS system skapar ett dokument på servern skapas det som om du laddat upp det med FTP. Detta gäller då även ev. hack som laddas upp via URL injections. Om du väljer att köra webservern som sin egen användare skapas filer med ägaren "nobody" och webservern har heller inte rätt att påverka innehållet i filer som du laddat upp via FTP om du inte explicit satt dessa rättigheter. Mer information om rättigheter här. Vår support kan hjälpa dig att avgöra vad du kör din webserver som och dessutom ändra mellan de 2 alternativen.

Hur kan jag skydda mina filer?

Först och främst bör du köra senaste versionen av ditt opensource system. Om du väljer att köra webservern som din egen användare kan du inte styra filrättigheter eftersom besökare har samma rättigheter som du själv. Nedan tips gäller alltså endast om du kör webservern som en separat användare.

Om du redigerar rättigheterna för att ett CMS system skall komma åt att skriva på din FTP yta, tänk på att inte sätta mer rättigheter än vad CMS systemet behöver. Det är lockande att köra chmod -R 777 public_html för att snabbt få ett CMS system att fungera. Detta betyder att din sida är 100% tillgänglig för code injections. En besökare kan ändra alla dina filer och även skapa filer på ditt konto om ett hål upptäcks i ditt CMS system.

Bättre är att se till att så få mappar som möjligt (cms systemet brukar tala om under installationen vilka mappar som krävs) har skriv rättigheter för webservern. Om man dessutom byter ägare på sina filer då och då blir dessa filer immuna mot code injection hack men kan fortfarande ses på webben. Dock kan inte CMS systemet lägre hantera dem utan de blir låsta.

Detta gäller i synnerhet .htaccess filer eftersom dessa är populära mål för hackare då man kan styra viktiga parametrar från dem. En god ide är att skapa en tom .htaccess fil i alla kataloger som är skrivbara för webservern som din FTP användare (alltså genom att ladda upp via (s)FTP eller skapa dem inloggade via SSH). Då kan inte hackare skapa egna .htaccess filer.

Skydd via .htaccess filer

Om du har ett admin gränssnitt på din sida som inte skall vara öppet för allmänheten är det en mycket god idé att skydda katalogen detta körs ifrån med en .htaccess fil. Skapa en fil som heter .htaccess med följande innehåll:

order deny,allow
deny from all
allow from 192.168.0.1

Men byt ut ip adressen 192.168.0.1 mot din egen publika ip adress. För att få reda på vilken din publika ip adress är, surfa till www.whatismyip.com. Nu kommer endast trafik från denna IP adress att tillåtas via http/https (d.v.s. detta påverkar inte FTP eller SSH). Ett alternativ är att lösenordsskydda katalogen via vår kontrollpanel.

Phishing sidor

Ett annat hot som blir allt vanligare är att hackare laddar upp material på hemsidor (via ovan nämnda metoder) som är tänkta att likna en större webportals login funktion. Det kan handla om en bank, en social-media sida eller en e-post portal. Anledningen till detta görs är att man sedan lurar användare att "logga in" på dessa fakesidor för att stjäla deras inloggningsuppgifter (detta är en typ av man-in-the-middle attack). Om er sida blivit hackad på detta vis kan ni alltså vara delvis ansvariga för att hjälpa hackare att komma över känsliga uppgifter vilket givetvis är olyckligt när det sker. Ett sätt att skydda sig är att inte tillåta vissa filer att köras från vissa kataloger. Om du ex. har en katalog som du vet endast kommer innehålla bilder och som är skrivbar för webservern kan du ta bort möjligheten att köra ex. .html eller .php dokument från den katalogen. Detta gör du genom att skapa en .htaccess fil i katalogen (se till att den inte är skrivbar för webservern) med detta innehåll:

<FilesMatch "*.htm*">
        deny from all
</FilesMatch>
<FilesMatch "*.php">
        deny from all
</FilesMatch>
<FilesMatch "*.txt">
        deny from all
</FilesMatch>

Även om hackarna lyckas få upp deras material på servern kan om du har detta på plats, inte använda det. Vi rekommenderar detta för samtliga mappar som är skrivbara och som inte skall köra annat än bilder el. dyl.

Temporär lösning

Viktigt att poängtera är att om inte problemet löses permanent enligt ovan kommer problemet uppstå igen. De hack som sker är automatiserade, d.v.s. det är datorer som håller koll på att sidan är hackad och om så inte är fallet, kör hacket igen. Om man vill lösa problemet snabbt för att bli av med hacket rekommenderar vi detta tillvägagångssätt. I tur och ordning, utför dessa steg;

• Rensa samtliga datorer som kommer logga in på servern och som sitter i samma nätverk som datorer som kommer logga in på servern, med ett uppdaterat antivirus program.
• Byt lösenord på hemsidan genom vår kontrollpanel när din dator är garanterat virusfri
• Byt namn på sidans dokumentroot (ligger i mappen public_html på servern) och skapa en ny, inloggad via SSH (detta kan vi göra åt er).
• Ladda upp sidan från er lokala dator via programmet win-scp (http://winscp.net/eng/download.php), glöm inte att logga in mot ssh.XXX.levonline.com istället för ftp.XXX.levonline.com.

Detta är givetvis under förutsättning att ni har en lokal-backup. Om ni inte har en lokal backup kan vi dra fram en backup på er sida och lägga upp på ert konto som ni sedan laddar ner till er dator, förmodligen har dock de som byggt er sida tillgång till en dylik. Hör gärna av er till oss om ni har frågor.