หนึ่งในการรักษาความปลอดภัยที่พบมากที่สุดปฏิบัติที่ดีที่สุดวันนี้ดูเหมือนว่าจะมีการเคลื่อนย้ายwp-config.phpไดเรกทอรีหนึ่งสูงกว่ารากเอกสาร vhost ของ ฉันไม่เคยพบคำอธิบายที่ดี แต่ฉันคิดว่ามันจะลดความเสี่ยงของสคริปต์ที่เป็นอันตรายหรือติดไวรัสภายใน webroot ไม่ให้อ่านรหัสผ่านฐานข้อมูล

แต่คุณยังต้องให้ WordPress เข้าถึงได้ดังนั้นคุณต้องขยายopen_basedirเพื่อรวมไดเรกทอรีด้านบนรูทเอกสาร ไม่เพียง แต่เอาชนะวัตถุประสงค์ทั้งหมดและยังอาจเปิดเผยบันทึกเซิร์ฟเวอร์ข้อมูลสำรองและอื่น ๆ แก่ผู้โจมตีด้วย

หรือเป็นเทคนิคที่พยายามป้องกันสถานการณ์ที่wp-config.phpจะแสดงเป็นข้อความธรรมดาสำหรับทุกคนที่ร้องขอhttp://example.com/wp-config.phpแทนที่จะถูกแยกวิเคราะห์โดยโปรแกรม PHP? ดูเหมือนว่าจะเกิดขึ้นได้ยากมากและจะไม่เกินความเสียเปรียบของการเปิดเผยบันทึก / การสำรองข้อมูล / ฯลฯ ไปยังคำขอ HTTP

อาจเป็นไปได้ไหมที่จะย้ายออกนอกรูทเอกสารในการตั้งค่าโฮสติ้งบางแบบโดยไม่ต้องเปิดเผยไฟล์อื่น แต่ไม่ใช่ในการตั้งค่าอื่น

สรุป: หลังจากมีการพูดคุยซ้ำ ๆ กันในเรื่องนี้สองคำตอบก็ปรากฏว่าฉันคิดว่าควรได้รับการพิจารณาว่าเป็นเรื่องจริง อาโรนอดัมส์ทำให้เป็นกรณีที่ดีในความโปรดปรานของการย้าย WP-config และ chrisguitarguymakes ดีกรณีกับมัน นี่คือคำตอบสองข้อที่คุณควรอ่านหากคุณยังใหม่ต่อเธรดและไม่ต้องการอ่านสิ่งทั้งหมด คำตอบอื่น ๆ อาจจะซ้ำซ้อนหรือไม่ถูกต้อง

คำตอบสั้น ๆ : ใช่

คำตอบสำหรับคำถามนี้เป็นใช่ชัดเจนและพูดอย่างอื่นคือการขาดความรับผิดชอบอย่างสมบูรณ์

คำตอบยาว: ตัวอย่างจริงของโลก

อนุญาตให้ฉันให้ตัวอย่างจริงจากเซิร์ฟเวอร์จริง ๆ ของฉันซึ่งการย้ายwp-config.phpภายนอกรูทเว็บเป็นการป้องกันไม่ให้เนื้อหาถูกจับโดยเฉพาะ

ข้อผิดพลาด:

ดูคำอธิบายของบั๊กใน Plesk (แก้ไขใน 11.0.9 MU # 27):

Plesk รีเซ็ตการส่งต่อโดเมนย่อยหลังจากซิงค์การสมัครกับแผนโฮสต์ (117199)

ฟังดูไม่เป็นอันตรายใช่มั้ย

นี่คือสิ่งที่ฉันทำเพื่อกระตุ้นจุดบกพร่องนี้:

1. ตั้งค่าโดเมนย่อยเพื่อเปลี่ยนเส้นทางไปยัง URL อื่น (เช่นsite.staging.server.comไปที่site-staging.ssl.server.com)
2. เปลี่ยนแผนการบริการของการสมัครรับข้อมูล (เช่นการกำหนดค่า PHP)

เมื่อฉันทำสิ่งนี้ Plesk รีเซ็ตโดเมนย่อยเป็นค่าเริ่มต้น: แสดงเนื้อหาของ~/httpdocs/โดยไม่ต้องใช้ล่าม (เช่น PHP)

และฉันไม่ได้สังเกต เป็นเวลาหลายสัปดาห์

ผลลัพธ์:

• ด้วยwp-config.phpในรากเว็บขอให้/wp-config.phpจะได้ดาวน์โหลดไฟล์การกำหนดค่า WordPress
• เมื่อwp-config.phpอยู่นอกเว็บรูทคำขอให้/wp-config.phpดาวน์โหลดไฟล์ที่ไม่เป็นอันตรายโดยสมบูรณ์ wp-config.phpไม่สามารถดาวน์โหลดไฟล์จริง

ดังนั้นจึงเห็นได้ชัดว่าการย้ายwp-config.phpนอกเว็บรากมีประโยชน์การรักษาความปลอดภัยโดยสุจริตในโลกจริง

วิธีการย้ายwp-config.phpไปยังตำแหน่งใด ๆ บนเซิร์ฟเวอร์ของคุณ

WordPress จะค้นหาไดเรกทอรีหนึ่งโดยอัตโนมัติเหนือการติดตั้ง WordPress ของคุณสำหรับwp-config.phpไฟล์ของคุณดังนั้นถ้านั่นคือสิ่งที่คุณได้ย้ายคุณทำเสร็จแล้ว!

แต่ถ้าคุณย้ายมันไปที่อื่นล่ะ ง่าย. สร้างใหม่wp-config.phpในไดเรกทอรี WordPress ด้วยรหัสต่อไปนี้:

<?php

/** Absolute path to the WordPress directory. */
if ( !defined('ABSPATH') )
    define('ABSPATH', dirname(__FILE__) . '/');

/** Location of your WordPress configuration. */
require_once(ABSPATH . '../phpdocs/wp-config.php');

(อย่าลืมเปลี่ยนพา ธ ด้านบนเป็นพา ธ ที่แท้จริงของwp-config.phpไฟล์ที่ย้ายไป)

หากคุณพบปัญหาopen_basedirเพียงเพิ่มเส้นทางใหม่ไปยังopen_basedirคำสั่งในการกำหนดค่า PHP ของคุณ:

open_basedir = "/var/www/vhosts/example.com/httpdocs/;/var/www/vhosts/example.com/phpdocs/;/tmp/"

แค่นั้นแหละ!

การแยกข้อโต้แย้งออกจากกัน

ทุกข้อโต้แย้งต่อการเคลื่อนย้ายwp-config.phpนอกรูทเว็บจะขึ้นอยู่กับสมมติฐานที่ผิดพลาด

อาร์กิวเมนต์ที่ 1: ถ้า PHP ถูกปิดการใช้งานพวกเขาอยู่แล้ว

วิธีเดียวที่ใครบางคนจะเห็นเนื้อหาของ [ wp-config.php] คือถ้าพวกเขาหลีกเลี่ยงเซิร์ฟเวอร์ล่าม PHP ของคุณ ... ถ้าเกิดขึ้นคุณมีปัญหาอยู่แล้ว: พวกเขามีการเข้าถึงเซิร์ฟเวอร์ของคุณโดยตรง

เท็จ : สถานการณ์ที่ฉันอธิบายข้างต้นเป็นผลมาจากการกำหนดค่าผิดพลาดไม่ใช่การบุกรุก

อาร์กิวเมนต์ที่ 2: การปิดใช้งาน PHP โดยบังเอิญนั้นหายากและไม่สำคัญเลย

หากผู้โจมตีสามารถเข้าถึงตัวจัดการ PHP ได้อย่างเพียงพอคุณก็กำลังถูกโจมตีอยู่ การเปลี่ยนแปลงโดยบังเอิญนั้นหายากมากในประสบการณ์ของฉันและในกรณีนี้มันง่ายที่จะเปลี่ยนรหัสผ่าน

เท็จ : สถานการณ์ที่ฉันอธิบายไว้ข้างต้นเป็นผลมาจากข้อผิดพลาดในซอฟต์แวร์เซิร์ฟเวอร์ทั่วไปที่มีผลต่อการกำหนดค่าเซิร์ฟเวอร์ทั่วไป นี่คือ "หายาก" แทบจะไม่ (และนอกจากนี้ความปลอดภัยหมายถึงการกังวลเกี่ยวกับสถานการณ์ที่หายาก)

WTF : การเปลี่ยนรหัสผ่านหลังจากการบุกรุกช่วยแทบจะไม่ได้รับข้อมูลที่ละเอียดอ่อนระหว่างการบุกรุก จริง ๆ แล้วเรายังคิดว่า WordPress ใช้สำหรับบล็อกชั่วคราวเท่านั้นและผู้โจมตีนั้นสนใจในการทำให้เป็นรูปเป็นร่างเท่านั้น? มากังวลเกี่ยวกับการปกป้องเซิร์ฟเวอร์ของเราไม่ใช่แค่คืนค่าหลังจากที่ใครบางคนเข้ามา

อาร์กิวเมนต์ 3: การปฏิเสธการเข้าถึงwp-config.phpดีพอ

คุณสามารถ จำกัด การเข้าถึงไฟล์ผ่านการกำหนดค่าโฮสต์เสมือนของคุณหรือ .htaccess- จำกัด การเข้าถึงไฟล์ภายนอกได้อย่างมีประสิทธิภาพในลักษณะเดียวกับการย้ายนอกรูทเอกสาร

เท็จ : ลองจินตนาการว่าค่าเริ่มต้นของเซิร์ฟเวอร์ของคุณสำหรับโฮสต์เสมือนคือ: ไม่มี PHP, ไม่.htaccess, allow from all(แทบจะผิดปกติในสภาพแวดล้อมการใช้งานจริง) หากการกำหนดค่าของคุณถูกรีเซ็ตในระหว่างการดำเนินการตามปกติเช่นการอัปเดตพาเนลทุกอย่างจะกลับสู่สถานะเริ่มต้นและคุณจะได้รับการเปิดเผย

หากรูปแบบความปลอดภัยของคุณล้มเหลวเมื่อการตั้งค่าถูกรีเซ็ตเป็นค่าเริ่มต้นโดยไม่ตั้งใจคุณต้องมีความปลอดภัยมากขึ้น

WTF : ทำไมทุกคนจะแนะนำการรักษาความปลอดภัยเลเยอร์น้อยลงโดยเฉพาะ? รถยนต์ราคาแพงไม่เพียง แต่มีกุญแจเท่านั้น พวกเขายังมีการเตือนภัย immobilizers และตัวติดตาม GPS หากสิ่งที่ควรค่าแก่การปกป้องทำถูกต้อง

อาร์กิวเมนต์ที่ 4: การเข้าถึงโดยไม่ได้รับอนุญาตwp-config.phpไม่ใช่เรื่องใหญ่

ข้อมูลฐานข้อมูลเป็นสิ่งที่ละเอียดอ่อนเพียงอย่างเดียวใน [ wp-config.php]

FALSE : คีย์การรับรองความถูกต้องและเกลือสามารถใช้ในการโจมตีที่อาจเกิดการแย่งชิงจำนวนเท่าใดก็ได้

WTF : แม้ว่าข้อมูลรับรองฐานข้อมูลจะเป็นเพียงสิ่งเดียวในwp-config.phpนั้นคุณควรกลัวผู้โจมตีที่จะได้รับข้อมูล

อาร์กิวเมนต์ 5: การย้ายwp-config.phpภายนอกเว็บรูททำให้เซิร์ฟเวอร์มีความปลอดภัยน้อยลง

คุณยังต้องให้การเข้าถึง WordPress [ wp-config.php] ดังนั้นคุณต้องขยายopen_basedirเพื่อรวมไดเรกทอรีด้านบนรูทเอกสาร

FALSE : สมมติว่าwp-config.phpอยู่ในhttpdocs/เพียงแค่ย้ายไป../phpdocs/และกำหนดopen_basedirให้มีเฉพาะและhttpdocs/ phpdocs/ตัวอย่างเช่น

open_basedir = "/var/www/vhosts/example.com/httpdocs/;/var/www/vhosts/example.com/phpdocs/;/tmp/"

(อย่าลืมรวม/tmp/หรือtmp/ไดเรกทอรีผู้ใช้ของคุณเสมอหากคุณมี)

สรุป: แฟ้มการกำหนดค่าควรเสมอเสมอจะอยู่นอกรากเว็บ

ถ้าคุณใส่ใจเรื่องความปลอดภัยคุณจะย้ายwp-config.phpออกไปนอกรูทเว็บของคุณ

สิ่งที่ใหญ่ที่สุดคือwp-config.phpมีข้อมูลที่ละเอียดอ่อน: ชื่อผู้ใช้ / รหัสผ่านฐานข้อมูลของคุณเป็นต้น

ดังนั้นความคิด: ย้ายออกนอกรูทเอกสารและคุณไม่ต้องกังวลอะไรเลย ผู้โจมตีจะไม่สามารถเข้าถึงไฟล์นั้นจากแหล่งภายนอกได้

อย่างไรก็ตามนี่คือการขัดถู: wp-config.phpห้ามพิมพ์สิ่งใด ๆ ลงบนหน้าจอเลย เพียงกำหนดค่าคงที่ต่างๆที่ใช้ตลอดการติดตั้ง WP ของคุณ ดังนั้นวิธีเดียวที่ใครบางคนจะเห็นเนื้อหาของไฟล์นั้นคือถ้าพวกเขาหลีกเลี่ยงเซิร์ฟเวอร์ล่าม PHP ของคุณ - พวกเขาได้รับ.phpไฟล์ที่จะแสดงเป็นข้อความธรรมดา หากสิ่งนั้นเกิดขึ้นแสดงว่าคุณมีปัญหาอยู่แล้วพวกเขามีการเข้าถึงเซิร์ฟเวอร์ของคุณโดยตรง (และอาจเป็นสิทธิ์การใช้งานรูท) และสามารถทำสิ่งที่พวกเขาต้องการ

ฉันจะไปข้างหน้าและบอกว่าไม่มีประโยชน์ที่จะย้ายwp-configออกนอกรูทเอกสารจากมุมมองด้านความปลอดภัย - ด้วยเหตุผลข้างต้นและสิ่งเหล่านี้:

1. คุณสามารถ จำกัด การเข้าถึงไฟล์ผ่านการกำหนดค่าโฮสต์เสมือนหรือ. htaccess - จำกัด การเข้าถึงไฟล์ภายนอกในลักษณะเดียวกับการย้ายนอกรูทเอกสาร
2. คุณสามารถมั่นใจได้ว่าสิทธิ์ของไฟล์นั้นเข้มงวดในwp-configการป้องกันผู้ใช้โดยไม่มีสิทธิ์เพียงพอจากการอ่านไฟล์แม้ว่าพวกเขาจะได้รับ (จำกัด ) การเข้าถึงเซิร์ฟเวอร์ของคุณผ่าน SSH
3. ข้อมูลที่ละเอียดอ่อนการตั้งค่าฐานข้อมูลของคุณจะใช้ในเว็บไซต์เดียวเท่านั้น ดังนั้นแม้ว่าผู้โจมตีจะสามารถเข้าถึงข้อมูลดังกล่าวได้ไซต์เพียงไซต์เดียวที่จะมีผลกระทบคือการติดตั้ง WordPress ที่wp-config.phpเป็นของไฟล์ ที่สำคัญกว่านั้นคือผู้ใช้ฐานข้อมูลมีสิทธิ์อ่านและเขียนไปยังฐานข้อมูลของการติดตั้ง WP นั้นและไม่มีสิ่งอื่นใด - ไม่สามารถเข้าถึงเพื่อให้สิทธิ์ผู้ใช้รายอื่น ในความหมายอื่น ๆ หากผู้โจมตีเข้าถึงฐานข้อมูลของคุณได้ก็เป็นเรื่องของการกู้คืนจากการสำรองข้อมูล (ดูจุดที่ 4) และการเปลี่ยนผู้ใช้ฐานข้อมูล
4. คุณสำรองข้อมูลบ่อยครั้ง มักจะเป็นคำที่เกี่ยวข้อง: หากคุณโพสต์บทความ 20 รายการทุกวันคุณควรสำรองข้อมูลทุกวันหรือทุก ๆ สองสามวัน หากคุณโพสต์สัปดาห์ละครั้งการสำรองข้อมูลสัปดาห์ละครั้งก็เพียงพอแล้ว
5. คุณมีเว็บไซต์ของคุณภายใต้การควบคุมเวอร์ชัน ( เช่นนี้ ) ซึ่งหมายความว่าแม้ว่าผู้โจมตีจะสามารถเข้าถึงได้คุณสามารถตรวจจับการเปลี่ยนแปลงรหัสและย้อนกลับได้ หากผู้โจมตีเข้าถึงwp-configได้พวกเขาอาจทำตัวยุ่งกับสิ่งอื่น
6. ข้อมูลฐานข้อมูลเป็นสิ่งที่อ่อนไหวเพียงอย่างเดียวwp-configและเนื่องจากคุณระมัดระวัง (ดูข้อ 3 และ 4) จึงไม่ใช่เรื่องใหญ่ เกลือและสิ่งนั้นสามารถเปลี่ยนแปลงได้ตลอดเวลา สิ่งเดียวที่เกิดขึ้นคือมันทำให้การล็อกอินคุกกี้ของผู้ใช้เป็นโมฆะ

สำหรับฉันแล้วการย้ายwp-configออกจากรากเอกสารทำให้เกิดความปลอดภัยโดยความสับสนซึ่งเป็นคนฟางมาก

ฉันคิดว่าแม็กซ์เป็นคำตอบที่มีความรู้และนั่นคือด้านหนึ่งของเรื่องราว WordPress Codex มีคำแนะนำเพิ่มเติม :

ตรวจสอบให้แน่ใจว่ามีเพียงคุณ (และเว็บเซิร์ฟเวอร์) เท่านั้นที่สามารถอ่านไฟล์นี้ (โดยทั่วไปหมายถึงการอนุญาต 400 หรือ 440)

หากคุณใช้เซิร์ฟเวอร์ที่มี. htaccess คุณสามารถนำไฟล์นี้ไปไว้ในไฟล์นั้น (ที่ด้านบนสุด) เพื่อปฏิเสธการเข้าถึงการท่องเว็บของใครก็ตาม:

<files wp-config.php>
order allow,deny
deny from all
</files>

โปรดทราบว่าการตั้งค่าสิทธิ์ 400 หรือ 440 ใน wp-config.php อาจป้องกันไม่ให้ปลั๊กอินเขียนหรือแก้ไข เช่นกรณีของแท้จะเป็นปลั๊กอินแคช (W3 Total Cache, WP Super Cache เป็นต้น) ในกรณีนี้ฉันจะไปกับ 600 (สิทธิ์เริ่มต้นสำหรับไฟล์ใน/home/userไดเรกทอรี)

บางคนขอให้เราส่องแสงและฉันจะตอบกลับที่นี่

ใช่มีประโยชน์ด้านความปลอดภัยจากการแยก wp-config.php ของคุณจากไดเรกทอรีรากของเว็บไซต์ของคุณ

1- ถ้าตัวจัดการ PHP ของคุณเสียหรือแก้ไขไม่ทางใดก็ทางหนึ่งข้อมูลฐานข้อมูลของคุณจะไม่ถูกเปิดเผย และใช่ฉันเห็นสิ่งนี้เกิดขึ้นสองสามครั้งในโฮสต์ที่ใช้ร่วมกันระหว่างการอัปเดตเซิร์ฟเวอร์ ใช่ไซต์จะใช้งานไม่ได้ในช่วงเวลานั้น แต่รหัสผ่านของคุณจะยังคงอยู่

2- แนวทางปฏิบัติที่ดีที่สุดแนะนำให้แยกไฟล์กำหนดค่าออกจากไฟล์ข้อมูลเสมอ ใช่มันเป็นเรื่องยากที่จะทำเช่นนั้นด้วย WordPress (หรือเว็บแอปใด ๆ ) แต่การขยับขึ้นมานั้นค่อนข้างโดดเดี่ยว

3- จำช่องโหว่ของ PHP-CGI ได้ที่ไหนบ้างที่ใคร ๆ ก็สามารถส่งผ่านได้? -s ไปยังไฟล์และดูซอร์ส http://www.kb.cert.org/vuls/id/520827

ในตอนท้ายรายละเอียดเล็ก ๆ น้อย ๆ แต่ช่วยลดความเสี่ยงได้ พิเศษถ้าคุณอยู่ในสภาพแวดล้อมที่ใช้ร่วมกันที่ทุกคนสามารถเข้าถึงฐานข้อมูลของคุณ (ทั้งหมดที่พวกเขาต้องการคือผู้ใช้ / ผ่าน)

แต่อย่าปล่อยให้สิ่งรบกวน (การปรับให้เหมาะสมก่อนกำหนด) เข้าหาสิ่งที่จำเป็นจริงๆในการทำให้ไซต์ปลอดภัยอย่างเหมาะสม:

1- หมั่นอัพเดทอยู่เสมอ

2- ใช้รหัสผ่านที่คาดเดายาก

3- จำกัด การเข้าถึง (ผ่านการอนุญาต) เรามีโพสต์เกี่ยวกับที่นี่:

http://blog.sucuri.net/2012/08/wordpress-security-cutting-through-the-bs.html

ขอบคุณ

ใช่แน่นอน

เมื่อคุณย้ายwp-config.phpนอกไดเรกทอรีสาธารณะคุณปกป้องจากการอ่านโดยใช้เบราว์เซอร์เมื่อตัวจัดการ php ได้รับอันตราย (หรือตั้งใจ!) เปลี่ยนไป

การอ่านเข้าสู่ระบบฐานข้อมูล / รหัสผ่านของคุณเป็นไปได้เมื่อเซิร์ฟเวอร์ติดยากผ่านความผิดของผู้ดูแลอ่อนแอ ชาร์จผู้ดูแลระบบให้ถูกต้องและได้รับโฮสต์เซิร์ฟเวอร์ที่มีแนวโน้มดีขึ้นและเชื่อถือได้มากขึ้น แม้ว่านั่นอาจจะแพงกว่า

ฉันแค่ต้องการชี้แจงให้ชัดเจนว่าการย้ายไฟล์ wp_config.php ของคุณนั้นไม่ได้แปลว่าคุณต้องย้ายมันไปยังไดเรคทอรีหลักเท่านั้น สมมติว่าคุณมีโครงสร้างเช่น / root / html ที่ html มีการติดตั้ง WP และเนื้อหา HTML ทั้งหมดของคุณ แทนที่จะย้าย wp_config.php ไปที่ / root คุณสามารถย้ายไปที่ / root / secure ... ซึ่งอยู่นอกไดเรกทอรี html และไม่อยู่ในไดเรกทอรีรากของเซิร์ฟเวอร์ แน่นอนคุณจะต้องแน่ใจว่า php สามารถทำงานในโฟลเดอร์ที่ปลอดภัยนี้ได้เช่นกัน

เนื่องจาก WP ไม่สามารถกำหนดค่าให้ค้นหา wp_config.php ในโฟลเดอร์ sibling เช่น / root / secure คุณต้องทำขั้นตอนเพิ่มเติม ฉันออกจาก wp_config.php ใน / root / html และตัดส่วนที่ละเอียดอ่อนออก (การเข้าสู่ระบบฐานข้อมูล, เกลือ, คำนำหน้าตาราง) และย้ายไปยังไฟล์แยกต่างหากที่เรียกว่า config.php จากนั้นคุณเพิ่มincludeคำสั่งPHP ลงใน wp_config.php ของคุณดังนี้:include('/home/content/path/to/root/secure/config.php');

นี่คือสิ่งที่ฉันได้ทำในการตั้งค่าของฉัน ตอนนี้จากการอภิปรายข้างต้นฉันยังคงประเมินว่ามันจำเป็นหรือเป็นความคิดที่ดี แต่ฉันแค่อยากจะเพิ่มว่าการกำหนดค่าข้างต้นเป็นไปได้ มันจะไม่เปิดเผยข้อมูลสำรองและไฟล์รูทอื่น ๆ ของคุณและตราบใดที่โฟลเดอร์ความปลอดภัยไม่ได้ตั้งค่าด้วย URL สาธารณะของตัวเองมันจะไม่สามารถเรียกดูได้

นอกจากนี้คุณสามารถ จำกัด การเข้าถึงโฟลเดอร์ที่ปลอดภัยโดยการสร้างไฟล์. htaccess ในนั้นด้วย:

order deny,allow
deny from all
allow from 127.0.0.1

มีธีมและปลั๊กอินที่เขียนไม่ดีจำนวนมากซึ่งทำให้ atatckers สามารถฉีดโค้ด (จำปัญหาความปลอดภัยกับ Timthumb) ถ้าฉันจะเป็นผู้โจมตีทำไมฉันต้องค้นหา wp-config.php เพียงฉีดรหัสนี้:

var_dump( DB_NAME, DB_USER, DB_PASSWORD );

คุณสามารถลองซ่อน wp-config.php ของคุณ ตราบใดที่ WordPress ทำให้ข้อมูลที่อ่อนไหวเข้าถึงได้ทั่วโลกนั้นไม่มีประโยชน์ที่จะซ่อน wp-config.php

ส่วนที่ไม่ดีใน wp-config.php ไม่ได้เก็บข้อมูลที่ละเอียดอ่อน ส่วนที่ไม่ดีคือการกำหนดข้อมูลที่สำคัญเป็นค่าคงที่การเข้าถึงทั่วโลก

ปรับปรุง

ฉันต้องการที่จะชี้แจงปัญหาด้วยdefine()และทำไมมันเป็นความคิดที่ไม่ดีในการกำหนดข้อมูลที่ละเอียดอ่อนเป็นค่าคงที่ทั่วโลก

มีหลายวิธีในการโจมตีเว็บไซต์ การฉีดสคริปต์เป็นวิธีเดียวที่จะโจมตีเว็บไซต์

การสันนิษฐานว่าเซิร์ฟเวอร์มีช่องโหว่ที่ทำให้ผู้โจมตีเข้าถึงการถ่ายโอนข้อมูลหน่วยความจำ ผู้โจมตีจะพบหน่วยความจำดัมพ์ค่าทั้งหมดของตัวแปรทั้งหมด หากคุณกำหนดค่าคงที่การเข้าถึงทั่วโลกจะต้องอยู่ในหน่วยความจำจนกว่าสคริปต์จะสิ้นสุดลง การสร้างตัวแปรแทนค่าคงที่มีโอกาสดีที่ตัวรวบรวมขยะจะเขียนทับ (หรือว่าง) หน่วยความจำหลังจากไม่จำเป็นต้องใช้ตัวแปรอีกต่อไป

วิธีที่ดีกว่าในการปกป้องข้อมูลที่สำคัญคือการลบทันทีหลังจากใช้งาน:

$db_con = new stdClass();
$db_con->db_user = 'username';
$db_con->password = 'password';
$db_con->host = 'localhost';

$db_handler = new Database_Handler( $db_con );

$db_con = null;

หลังจากใช้ข้อมูลที่ละเอียดอ่อนการกำหนดให้nullจะเขียนทับข้อมูลในหน่วยความจำ ผู้โจมตีต้องได้รับการถ่ายโอนข้อมูลหน่วยความจำเพียงครู่เดียวเมื่อ$db_conมีข้อมูลที่ละเอียดอ่อน และนั่นเป็นเวลาสั้น ๆ ในตัวอย่างด้านบน (ถ้าคลาส Database_Handler ไม่บันทึกสำเนา)

นอกเหนือจากสิทธิประโยชน์ด้านความปลอดภัยแล้วยังช่วยให้คุณสามารถรักษาอินสแตนซ์ WordPress ของคุณไว้ภายใต้การควบคุมเวอร์ชันในขณะที่เก็บไฟล์ WordPress หลักไว้เป็น submodule / ภายนอก นี่คือวิธีที่ Mark Jaquith ติดตั้งโครงการ WordPress-Skeleton ของเขา ดูhttps://github.com/markjaquith/WordPress-Skeleton#assumptionsเพื่อดูรายละเอียด