Nieprawidłowe uprawnienia do plików i katalogów ShopGold to jeden z najczęstszych wektorów ataków hakerskich i jednocześnie jedna z najprostszych do poprawienia kwestii bezpieczeństwa. Zbyt liberalne uprawnienia (np. 777 na wszystkich katalogach) umożliwiają złośliwemu kodowi modyfikację plików sklepu. Zbyt restrykcyjne blokują zapis zdjęć, plików cache lub logów. Konfigurujemy uprawnienia optymalnie.
Bezpieczeństwo systemu plików ShopGold opiera się na zasadzie najmniejszych uprawnień: każdy plik i katalog powinien mieć dokładnie takie uprawnienia, jakich wymaga do prawidłowego działania – nie więcej. Dla typowego środowiska Apache/Nginx na shared hostingu lub VPS optymalne uprawnienia różnią się nieco dla poszczególnych kategorii plików.
Prawidłowe uprawnienia dla ShopGold
- Pliki PHP aplikacji: 644 (właściciel czyta i pisze, reszta tylko czyta)
- Katalogi aplikacji: 755 (właściciel pełen dostęp, reszta czyta i wykonuje)
- Katalog z zdjęciami produktów (uploads): 755, pliki zdjęć 644
- Katalog cache: 755 lub 775 jeśli PHP uruchamiane przez innego użytkownika
- Plik konfiguracyjny z hasłem bazy (config.php): 600 lub 640
- Katalog panelu administracyjnego: rozważyć dodatkowe zabezpieczenie przez .htaccess
- Katalog tymczasowy (tmp): 755
Diagnoza i korekta uprawnień
Audyt uprawnień przeprowadzamy przez skanowanie drzewa plików i katalogów ShopGold. Identyfikujemy pliki z uprawnieniami 777 (zapis przez wszystkich – krytyczne zagrożenie), pliki PHP wykonywalne przez serwer www w katalogach przeznaczonych wyłącznie na media (potencjalny webshell), oraz pliki konfiguracyjne z uprawnieniami zbyt liberalnymi dla zawartości (hasła, klucze API). Korektę uprawnień przeprowadzamy masowo przez komendy chmod/chown, a w przypadku środowisk współdzielonych weryfikujemy konfigurację SuPHP lub PHP-FPM wpływającą na efektywne uprawnienia. Testujemy sklep po zmianie uprawnień – weryfikujemy możliwość zapisu zdjęć, generowania cache i działania wszystkich funkcjonalności.
