Почему важно закрывать служебные файлы CMS

[krakin666]

Введение
Если у вас есть сайт на CMS или собственный форум, одна из первых задач — не дать злоумышленникам получить доступ к служебным файлам. Такие файлы содержат конфигурации, пароли к базе данных, логи и другие данные, которые могут раскрыть внутренние механизмы сайта и привести к компрометации. В этом посте расскажу, почему важно именно их закрывать, как проверить и что с этим делать.

Что это такое
Служебные файлы CMS — это всякие .ini, .env, config.php, .bak, файлы резервных копий, логи, скрипты обновлений, админ-панели без авторизации и прочие служебные артефакты. Например, config.php в форумах на phpBB или on-line редакторы конфигов могут по ошибке попасть в зону публичного доступа.
Если такие файлы открыты, злоумышленник без труда увидит пароль от базы, секретные ключи, структуру файлов и многое другое.

Где применяется
Это актуально для любых сайтов и форумов на популярных движках — WordPress, Drupal, Joomla, phpBB, SMF и других.

[Polkovodez]

Ну, это, конечно, правильный подход, но на практике часто хватает просто базовых мер — типа настройки прав доступа. Особенно если у тебя нормальный хостинг, там и так многое под контролем. Закрывать все подряд — это хорошо, но слишком параноить тоже не всегда нужно, главное — не халтурить с основами.

[Evil]

Закрывать служебные файлы реально важно, потому что если кто-то случайно к ним доберётся, там часто пароли и ключи лежат, и всё почти как на ладони. Настройка прав доступа — это база, но лучше уж перестраховаться и заблокировать напрямую, чтобы случайно не вывалилось что лишнее. Паранойя — не всегда плохо, когда речь о безопасности сайта.

[фыва]

Точно, закрывать служебные файлы — это базовая защита. Даже если хостинг какие-то права ставит, ошибки всё равно случаются, и файлы могут просочиться. Проще лишний раз сделать запрет на уровне сервера, чем потом реагировать на взлом или сливы паролей. Лучше не халтурить с мелочами — они часто решают многое.