ASIX/M17/UF3/PT1 - Historial de revisió

Guillem: Guillem ha mogut M17/UF3/PT1 a ASIX/M17/UF3/PT1 sense deixar una redirecció: Crear subnivell ASIX

2020-04-15T11:34:51Z

Guillem ha mogut M17/UF3/PT1 a ASIX/M17/UF3/PT1 sense deixar una redirecció: Crear subnivell ASIX

Guillem a 12:41, 23 feb 2019

2019-02-23T12:41:58Z

Guillem: /* Prevenir hotlinking */

2019-02-23T12:29:30Z

Prevenir hotlinking

Guillem: /* Prevenir hotlinking */

2019-02-23T12:28:13Z

Prevenir hotlinking

Guillem: /* Prevenir hotlinking */

2019-02-23T12:27:50Z

Prevenir hotlinking

Guillem: /* Prevenir hotlinking */

2019-02-23T12:21:56Z

Prevenir hotlinking

Guillem: /* Prevenir hotlinking */

2019-02-23T12:18:24Z

Prevenir hotlinking

Guillem: /* Canviar permisos d’arxiu */

2019-02-23T12:11:55Z

Canviar permisos d’arxiu

Guillem: /* Ocultar la versió de Wordpress */

2019-02-23T12:07:24Z

Ocultar la versió de Wordpress

Guillem: /* Ocultar la versió de Wordpress */

2019-02-23T12:06:51Z

Ocultar la versió de Wordpress

@@ Línia 218: / Línia 218: @@
 ===Ocultar la versió de Wordpress===
-si mirem el codi font de la pàgina principal de Wordpress, per exemple, veurem que hi ha una línia amb un contingut semblant a aquest
+Si mirem el codi font de la pàgina principal de Wordpress, per exemple, veurem que hi ha una línia amb un contingut semblant a aquest
 {{imatge|M17UF3PT1-20.png}}
@@ Línia 248: / Línia 248: @@
 ===Prevenir ''hotlinking''===
-el ''hotlinking'' és fer referència a una imatge a la nostra web però que es demana des d'un altre servidor; de manera que si algú fa ''hotlinking'' d'una imatge del nostre WordPress, per a cada petició que rebi "l'atacant", tindrem nosaltres una petició perquè s'ha referenciat des de la nostra pàgina. Això pot suposar un increment de l'ample de banda i de les peticions que puguin commprometre la disponibilitat del nostre servidor; de manera que és interessant evitar que se serveixin arxius de la nostra pàgina des de dominis (''referrers'') que no siguin la nostra pròpia pàgina.
+El ''hotlinking'' és fer referència a una imatge a la nostra web però que es demana des d'un altre servidor; de manera que si algú fa ''hotlinking'' d'una imatge del nostre WordPress, per a cada petició que rebi "l'atacant", tindrem nosaltres una petició perquè s'ha referenciat des de la nostra pàgina. Això pot suposar un increment de l'ample de banda i de les peticions que puguin commprometre la disponibilitat del nostre servidor; de manera que és interessant evitar que se serveixin arxius de la nostra pàgina des de dominis (''referrers'') que no siguin la nostra pròpia pàgina.
 Això es pot aconseguir amb un conjunt de directives a l'arxiu <code>.htaccess</code> del directori base del nostre Wordpress

← Versió més antiga		Revisió del 12:29, 23 feb 2019
Línia 283:		Línia 283:
	Aleshores, si accedeixo a http://localhost per a veure la imatge de portada del meu wordpress, llançant la petició a ell, em trobo el següent		Aleshores, si accedeixo a http://localhost per a veure la imatge de portada del meu wordpress, llançant la petició a ell, em trobo el següent
	{{imatge\|M17UF3PT1-22.png}}		{{imatge\|M17UF3PT1-22.png}}
		+
		+	És el resultat esperable, ja que es reescriu la petició i es deriva cap a una altra URL, en aquest cas, d'una imatge d'error 404.

@@ Línia 281: / Línia 281: @@
 </source>
-Aleshores, si accedeixo a http://localhost per a veure la imatge de portada del meu wordpress, llançant la petició a ell, em trobo
+Aleshores, si accedeixo a http://localhost per a veure la imatge de portada del meu wordpress, llançant la petició a ell, em trobo el següent
-{{M17UF3PT1-23.png}}
+{{imatge|M17UF3PT1-22.png}}

@@ Línia 259: / Línia 259: @@
 D'aquesta manera, si jo des d'un altre servidor web faig referència a una imatge des d'aquella ruta però demanant-la des d'un domini que no correspongui al del propi servidor, mostraré una imatge d'error 404 (que, paradoxalment, faré servir ''hotlinking'' per a mostrar-la)
 Faré la prova intentant mostrar una imatge des del servidor web del meu Fedora ''hotlinkejada'' des de la màquina virtual de wordpress. He creat un arxiu que serviré per la web amb el contingut
@@ Línia 272: / Línia 271: @@
    </body>
 </html>
 </source>

← Versió més antiga		Revisió del 12:21, 23 feb 2019
Línia 260:		Línia 260:
	D'aquesta manera, si jo des d'un altre servidor web faig referència a una imatge des d'aquella ruta però demanant-la des d'un domini que no correspongui al del propi servidor, mostraré una imatge d'error 404 (que, paradoxalment, faré servir ''hotlinking'' per a mostrar-la)		D'aquesta manera, si jo des d'un altre servidor web faig referència a una imatge des d'aquella ruta però demanant-la des d'un domini que no correspongui al del propi servidor, mostraré una imatge d'error 404 (que, paradoxalment, faré servir ''hotlinking'' per a mostrar-la)
	{{}}		{{}}
		+
		+	Faré la prova intentant mostrar una imatge des del servidor web del meu Fedora ''hotlinkejada'' des de la màquina virtual de wordpress. He creat un arxiu que serviré per la web amb el contingut
		+	<source>
		+	<html>
		+	<head>
		+	<title>Prova Hotlink wordpress</title>
		+	</head>
		+	<body>
		+	<h1>Prova hotlink</h1>
		+	<img src="http://wordpressm09.asix/wp-content/uploads/2019/02/cropped-abstract.jpg" alt="Prova portada hotlinkejada des de Wordpress" />
		+	</body>
		+	</html>
		+
		+	</source>

← Versió més antiga	Revisió del 11:34, 15 abr 2020
(Cap diferència)

← Versió més antiga		Revisió del 12:18, 23 feb 2019
Línia 248:		Línia 248:

	===Prevenir ''hotlinking''===		===Prevenir ''hotlinking''===
		+	el ''hotlinking'' és fer referència a una imatge a la nostra web però que es demana des d'un altre servidor; de manera que si algú fa ''hotlinking'' d'una imatge del nostre WordPress, per a cada petició que rebi "l'atacant", tindrem nosaltres una petició perquè s'ha referenciat des de la nostra pàgina. Això pot suposar un increment de l'ample de banda i de les peticions que puguin commprometre la disponibilitat del nostre servidor; de manera que és interessant evitar que se serveixin arxius de la nostra pàgina des de dominis (''referrers'') que no siguin la nostra pròpia pàgina.
		+
		+	Això es pot aconseguir amb un conjunt de directives a l'arxiu <code>.htaccess</code> del directori base del nostre Wordpress
		+	<source>
		+	RewriteEngine on
		+	RewriteCond %{HTTP_REFERER} !^$
		+	RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?wordpressm09.asix [NC]
		+	RewriteRule \.(jpg\|jpeg\|png\|gif)$ https://www.unwantedwitness.or.ug/wp-content/uploads/2017/04/ERROR-404.jpg [NC,R,L]
		+	</source>
		+
		+	D'aquesta manera, si jo des d'un altre servidor web faig referència a una imatge des d'aquella ruta però demanant-la des d'un domini que no correspongui al del propi servidor, mostraré una imatge d'error 404 (que, paradoxalment, faré servir ''hotlinking'' per a mostrar-la)
		+	{{}}

← Versió més antiga		Revisió del 12:11, 23 feb 2019
Línia 235:		Línia 235:

	===Canviar permisos d’arxiu===		===Canviar permisos d’arxiu===
		+	WordPress recomana que l'arxiu de configuració només sigui llegit pel servidor web, de manera que podem ajustar els permisos a un ''400'' de manera que tampoc pugui ser escrit:
		+	<source>
		+	chmod 400 /srv/www/htdocs/wp-config.php
		+	</source>
		+
		+	Si comprovem ara els permisos veurem que
		+	<source>
		+	-r-------- 1 wwwrun www 42 23 feb 12:31 /srv/www/htdocs/wp-config.php
		+	</source>
		+
		+	Només té permisos de lectura; suficients per a fer funcionar la web.
		+
	===Prevenir ''hotlinking''===		===Prevenir ''hotlinking''===

@@ Línia 219: / Línia 219: @@
 ===Ocultar la versió de Wordpress===
 si mirem el codi font de la pàgina principal de Wordpress, per exemple, veurem que hi ha una línia amb un contingut semblant a aquest
+{{imatge|M17UF3PT1-20.png}}
 Això és públic i podria ser analitzat per atacants per a saber quines vulnerabilitats té aquesta versió concreta i poder triar un atac adequat a aquesta versió. Si modifiquem la funció que genera aquest ''string'' on s'explicita la versió, podem enganyar, confondre o ocultar la versió del nostre Wordpress de manera que sigui més difícil saber a quines vulnerabilitats està exposat.
@@ Línia 231: / Línia 231: @@
 </source>
-Després de fer aquest canvi:
+Després de fer aquest canvi
 ===Canviar permisos d’arxiu===
 ===Prevenir ''hotlinking''===