Joomla - Possibilidades infinitas em CMS.

Transcrição

1 Joomla - Possibilidades infinitas em CMS.

2 Felipe Perin AUV surveyor Consultor de Segurança em TI Desenvolvedor web Entusiasta em software livre Segurança em Redes de Computadores Redator do Pub & Comunic. Linkedin: Blog:

3 Joomla! (pronuncia-se djumla) É um Sistema de gestão de conteúdos (Content Management System - CMS). Desenvolvido a partir do CMS Mambo. É desenvolvido em PHP e pode ser executado no servidor Web Apache ou IIS e base de dados MySQL. Lançado em 16 de setembro de 2005 (6 anos).

4 Características principais Código aberto (Licença GPL); Arquivamento para conteúdo não utilizados (Lixeira); Gerenciamento de banners; Sistema de publicação para o conteúdo; Sumário de conteúdo no formato RSS; Busca otimizada (qualquer palavra registrada); Frontend já traduzido em várias línguas; Fácil instalação para novos templates, módulos e componentes; Hierarquia para grupos de usuários; Editor de conteúdo WYSIWYG; Sistema de enquete simples (com acompanhamento de resultado em tempo real);

5 Quem utiliza o Joomla? El Villarreal CF (Equipe de Futebol 1º Divisão da Liga Espanhola) Cidade do México (a segunda maior cidade do mundo.) Tribunal Superior da Austrália ebay Sony Pictures Jaguar (marca mundialmente famosa de carros de luxo britânica.) MacDonald's Governo da Grécia Groupama (empresa de seguros segundo maior da França e uma das maiores do mundo, com escritórios na Europa e na Ásia) Barnes & Noble (maior varejista de livros nos Estados Unidos com mais de 1300 lojas) Torre Eiffel Ministério da Defesa do Reino Unido Danone Gorilla'z Mais de 2900 sites do governo construído com Joomla! E inúmeros sites não catalogados pelo site oficial.

6 Primeiros Passos - Instalação

7 Verificação dos requisitos mínimos do sistema

8 Licença do software

9 Configuração do Banco de Dados

10 Configuração do FTP

11 Configuração Principal

12 Finalização

13 Página de Administração

14 Página Inicial com as principais funcionalidades

15

16 Organização de artigos

17 Estrutura dos Módulos

18

19

20

21

22 Boas Práticas no Joomla _ Se (Nada funcionar) Então { Leia o Manual ( ) } _

23 Não use o prefixo jos_ como padrão das tabelas do Banco de Dados. Muitos ataques de injeção SQL são baseados na suposição de que as tabelas de seu banco de dados são denominados "jos_". Caso você tenha optado por usar o padrão "jos_", ele poderá ser mudado com um simples script PHP.

24 Um usuário de banco de dados por instalação Não use um mesmo usuário para vários banco de dados e nunca use root como usuário de conexão. Geralmente o usuário de conexão ao banco e o nome do banco, são baseados no nome de seu domínio. Mas isto vai depender do provedor de hospedagem.

25 Considere uma senha forte para a conexão ao banco de dados Use uma senha longa e complicada para o acesso ao seu banco de dados. Hoje em dia é muito fácil de decifrar um hash MD5, base de encriptação utilizada pelo Joomla (já foi quebrado) ou SHA1. Inclusive existem aplicações web que ajudam nesse processo. Se alguém começar a tentar quebrar a senha de acesso ao banco de dados, por força bruta por exemplo, é só questão de tempo até obter o sucesso. Uma boa forma de criar senhas fortes é utilizar caracteres alfanuméricos e caracteres especiais # $ e etc...

26 Não instale o exemplo de conteúdo O exemplo de conteúdo serve para que você se familiarize com o Joomla. Em produção, você não deve utilizá-los tendo em vista que são fáceis de serem identificados pelos "exploits". Além disso, você pode se esquecer de remover totalmente o conteúdo de exemplo.

27 Desinstalar coisas que você não precisa Desinstale todas as extensões que você não irá utilizar em seu projeto. Desde os componentes do núcleo do Joomla até os templates que estão sobrando. Observe, por exemplo, que ao instalar o editor JCE você estará reinstalando o editor WYSIWYG TinyMCE, pois ele funciona encapsulado no JCE. Joomla vem com o editor TinyMCE instalado como editor padrão, então você terá duas instalações TinyMCE.

28 Desativar o registro / login Se o seu website não terá conteúdo restrito ou cadastro de usuários, desabilite o módulo Login form Desativar XML-RPC Desative o XML-RPC do servidor se você não precisa dele.

29 Excluir a conta de usuário padrão O userid 62 e o nome de usuário "admin" presentes na tabela # users, representa uma fraqueza e devem ser substituídos imediatamente após a publicação do website na Internet. Para tal, acesse o backend e crie um novo usuário com perfil de superadministrador. Depois, faça o login com o novo usuário e exclua o antigo admin. Lembre-se que o admin é o primeiro usuário a morrer em qualquer sistema.

30 Ativar o (.htaccess) O htaccess.txt está na raiz do seu website joomla e deve ser renomeado para (.htaccess). Porém, alguns fatores devem ser observados: a) o (.) antes de um nome de arquivo, significa que o arquivo é um arquivo oculto do GNU/LINUX. Logo, não irá funcionar o MS Windows. b) o (.htaccess) é um arquivo extremamente perigoso e alguns provedores simplesmente não permitem o envio do mesmo, ou durante a atualização do apache, passam a restringir seu uso.

31 Use url's amigáveis Muitos "exploits" funcionam baseados em sniffs de robots através das URLs dinâmicas do Joomla!. Por exemplo, digamos que o componente (com_algumacoisa) foi invadido e você está usando o mesmo em seu website. O "exploit" irá buscar por com_algumacoisa em sua url e uma vez achado, irá explorar as vulnerabilidades do mesmo para invadir seu website. O uso de Url's amigáveis além de ajudar sobremaneira na indexação de seu website pelo google é uma excelente prática de segurança.

32 Faça Backup de seu website regularmente Se o provedor não faz backup para você, inclua uma rotina em seu projeto. Para provedores que permitem acesso via ssl você pode agendar o backup no cron do servidor. Não é possível? Use o Akeeba que é uma excelente extensão para backup. Inclusive, a versão paga possibilita o agendamento dos mesmos.

33 Proteja o /administrador com medidas extras Encapsule o /administrator de seu website usando um simples plugin de segurança como o JSecure. 70% das tentativas de ataque serão barradas pelo simples fato de não ser encontrado o /administrator de seu website.

34 Dê as permissões corretas para arquivos e diretórios A permissão dos diretórios de seu website devem estar com 0755 e os arquivos com Nunca, jamais, em hipótese alguma use Considere a instalação de extensões de segurança Existem várias extensões voltadas a implementação de segurança em seu website Joomla. Visite o JED, identifiqueas e faça os devidos testes. Fundamentais: Akeeba, JSecure, Jpudateman e Configuration Ecnrypt

35 Perguntas?

36 Felipe Perin AUV surveyor Consultor de Segurança em TI Desenvolvedor web Entusiasta em software livre Segurança em Redes de Computadores Redator do Pub & Comunic. Linkedin: Blog: