Sitenin bir yedeği indirilebiliyor

ÖnemKritik

KapsamTüm site

EmekAz

DoğrulamaGüvenlik taraması (haftalık ya da Yeniden tara)

Kural anahtarısec_exposed_backup

Kısa cevap

Sitenizden /backup.zip, /backup.sql ya da /wp-config.php.bak gibi bir yedek dosyası indirilebiliyor. Veritabanı dökümü tüm kullanıcı hesaplarını, e-posta adreslerini ve parola özetlerini içerir; ayar kopyası veritabanı parolasını düz metin olarak içerir. Dosyayı herkese açık klasörden silin, yedekleri web kökünün dışında tutun ve veritabanı parolası başta olmak üzere içindeki tüm kimlik bilgilerini değiştirin.

Neden önemli

Yedek adları tahmin edilebilir; botlar bunları her sitede ister. Tam bir arşiv saldırgana kodunuzu, ayarlarınızı ve verinizi tek indirmede verir; bir .sql dökümü ise veri koruma mevzuatına göre bildirmeniz gerekebilecek bir kişisel veri ihlalidir. wp-config.php.bak ya da wp-config.php~ özellikle yaygındır: bir düzenleyici ya da elle yapılan bir düzenleme, sunucunun PHP olarak çalıştırmak yerine düz metin olarak gönderdiği bir kopya bırakır.

Arama etkisi sonra gelir; sızıntı bir saldırıya yol açarsa: spam sayfaları, zararlı yazılım ve Google güvenlik uyarıları.

Glimana bunu nasıl tespit eder

Glimana HTTPS üzerinden kısa bir yaygın adlar listesi ister: /wp-config.php.bak, /wp-config.php~, /wp-config.php.save, /backup.zip, /backup.sql ve ad alan adınızın ilk parçası olmak üzere /ad.zip ile /ad.sql. Yalnız ilk 2 KB'ı okur ve içerik eşleşirse dosyayı açıkta sayar: ZIP başlığı, SQL döküm komutları (CREATE TABLE, INSERT INTO ya da MySQL, MariaDB veya PostgreSQL döküm başlığı) ya da WordPress DB_ ayarları içeren PHP. Sunucu 2 KB sınırını yok sayar ve dosya okunamayacak kadar büyükse, HTML olmayan ve 1 KB'tan büyük bir arşiv ya da SQL içerik türü yeterlidir. HTML sayfaları ve var olmayan rastgele bir adresle aynı yanıtlar yok sayılır. Kritik; yeni bir bulgu ayrıca hemen uyarı e-postası gönderir.

Nasıl düzeltilir

Dikkat

Açığa çıkanı yenileyin: veritabanı parolası (wp-config.php ya da .env dosyasını aynı anda güncelleyin), wp-config.php içindeki WordPress tuzları (herkesin oturumu kapanır) ve döküm açıkta kaldıysa kullanıcılardan parolalarını sıfırlamalarını isteyin ve bildirim yükümlülüğünüz olup olmadığını değerlendirin. Birçok yedekleme eklentisi klasörünü .htaccess ile korur; Nginx bunu okumaz, o klasörü de kontrol edin.

Glimana'da bulguyu bulun. Güvenlik sayfasını açın; bu kontrol Açıkta kalan dosyalar grubunda, son taramanın kanıtı başlığının altında. Aynı sorun Sorunlar › Sitenin bir yedeği indirilebiliyor altında da listelenir.
Düzeltmeyi platformunuzda uygulayın.

WordPressApacheNginx

Dosyayı FTP ya da barındırma dosya yöneticisiyle silin. Yedekleme eklentinizi kopyaları herkese açık bir klasörde tutmak yerine uzak depolamaya (bulut depolama ya da başka bir sunucu) gönderecek şekilde ayarlayın. api.wordpress.org/secret-key/1.1/salt/ adresinden yeni tuzlar üretip wp-config.php içindeki sekiz satırı değiştirin. wp-config.php dosyasını kendi bilgisayarınızda ya da barındırıcının dosya yöneticisinde düzenleyin; ~ ya da .save kopyası bırakan bir sunucu düzenleyicisiyle değil.

Tipik yedek ve düzenleyici kopyası adlarını sanal sunucu ayarında ya da .htaccess içinde engelleyin: RewriteEngine On ve RewriteRule "(\.(sql|bak|old|orig|save|swp)|~)$" - [F,NC]. İndirme sunuyorsanız .zip dosyalarını sitenin tamamında engellemeyin; yedek arşivlerini silin.

server bloğunda: location ~* (\.(sql|bak|old|orig|save|swp)|~)$ { deny all; }, ardından nginx -t && systemctl reload nginx. Yedekleri root dışındaki bir klasörde tutun, örneğin /var/backups/site/.
Glimana'da kontrol edin. Güvenlik sayfasında Yeniden tara düğmesine basın (saatte en çok iki tarama) ya da pazar günkü haftalık taramayı bekleyin; kontrol geçince sorun kapanır.

Düzeltme nasıl doğrulanır

Düzelttikten sonra Güvenlik sayfasında Yeniden tara düğmesine basın (ya da pazar günkü haftalık taramayı bekleyin); kontrol geçtiği anda sorun kapanır.