☰

osCommerceがハッキングされる

tag-icon • tag-icon htaccess
osCommerceがハッキングされる

少し前に osCommerce がハッキングされ、バカどもがそれを使って電子メールを送信しています。osCommerce の画像ディレクトリ内にスクリプトが配置されていることが確認されました。

.htaccess などを使用して、画像を含むディレクトリなどの特定のディレクトリでスクリプトの実行を禁止する方法はありますか?

単純に

<Files *.*>
order allow,deny
deny from all
</Files>

.htaccess では画像がサイトに表示されないため、これは適切ではありません。

osCommerce を強化するために、すべての osCommerce パッチを適用する以外に何ができるでしょうか?

答え1

スクリプトの実行を許可したくない場所に、これを .htaccess にドロップできると思います:

<Files *.*>
Options -ExecCGI
</Files>

すべての「不良」ファイルが特定の方法で名前付けされていることがわかっている場合は、次のようにして、それらのファイルが特定のハンドラーに関連付けられないようにすることもできます。

<Files *.*>
RemoveHandler cgi-script .php .pl .py .jsp .asp .htm .shtml .sh .cgi
</Files>

最上位ディレクトリから次のコマンドを使用して、特定の名前付きファイルを完全にシャットダウンすることもできます。

<Directory full-path-to/dir>
     <FilesMatch "\.(php?|pl|perl)$">  
         Order Deny,Allow
         Deny from All
     </FilesMatch>
 </Directory>

または、アクセスに使用された実際の URL に基づいてロックダウンすることもできます。

<LocationMatch "/URL/TO/FILES/.*\.(php?|pl|perl)$">
     Order Deny,Allow
     Deny from All
</LocationMatch>

関連情報