sichere Websites, die auf demselben Webserver laufen

Question

Ich habe zwei Websites, die auf meinem eigenen Root-Server laufen (ubuntu/nginx/php-fpm). Jetzt möchte ich eine weitere Website hinzufügen, einen Wordpress Blog. Wie Sie wissen, kann Wordpress ein Sicherheitsrisiko darstellen und deshalb frage ich mich, wie ich Wordpress von den anderen Websites "trennen" kann. Als WordPress gehackt wurde, möchte ich, dass der Angreifer in WordPress gefangen ist. Es wäre fatal, wenn er "mehr sehen" könnte als der Wordpress-Blog. Was ist Ihre Strategie, um Websites voreinander zu schützen?

Answer 1

Legen Sie Berechtigungen fest und erstellen Sie einen separaten Benutzer/Gruppe für den Webserver, wenn Sie Wordpress ausführen, und verwenden Sie suexec, um Wordpress mit diesen Benutzer-/Gruppenberechtigungen auszuführen. Beachten Sie, dass Ihre anderen Websites für WordPress-Benutzer nicht einmal lesbar sein sollten.

Answer 2

Ich finde es bedauerlich, dass die allgemeine Zählung auf Wordpress ist "wenn es gehackt wird". Aber dann denke ich, dass es keinen Rauch ohne Feuer gibt.

Ich denke, das Erstellen der richtigen Berechtigungen, Benutzer/Gruppen usw. ist ein guter Weg zu gehen, aber persönlich, wenn es Budget gibt, würde ich empfehlen, diese Anwendungen auf verschiedene Ressourcen vollständig zu trennen.

Angesichts der Geschichte der Exploits in WordPress würde ich nicht riskieren, etwas von Wert auf die gleiche Box zu setzen.

Answer 3

Sicherstellen, dass Sie Berechtigungen festlegen, hilft jedoch nicht unbedingt für die Sicherheit.

Dies sollte mit einer Vielzahl anderer Fixes als auch verwendet werden. Im Folgenden sind einige davon:

1) Ändern Sie die URL für wp-admin

2) Untersuchen und Sicherheit Plugins installieren. Es gibt einige, die clean bekommen und posten, bevor sie sie benutzen.

3) Ändern Sie den Standardbenutzernamen für den Benutzer admin.

4) Deaktivieren Sie Funktionen, die das Hochladen von Dateien ermöglichen. Stellen Sie sicher, dass die Ordner-Dateien auch hochgeladen werden und nicht beschreibbar sind.

5) Sie können den Ordner wp-admin auch mit htaccess sichern.