月: 2013年3月

パーミッションの設定を正しく行ってください

ヘテムルではディレクトリ、ファイルのパーミッションを 以下の値での設定を推奨しております。

HTML・画像ファイル 604 rw—-r–
CGIの実行ファイル 700 rwx——
CGIのデータファイル 600 rw——-
.htaccessファイル 604 rw—-r–
ディレクトリ 705 rwx—r-x

パーミッションの設定を「777 (rwxrwxrwx)」や「666 (rw-rw-rw-)」などに設定されている場合は、「誰でも書き込める」設定となっているため、改ざんが行われる可能性がございます。ご確認の上、上記の値に変更してください。

また、特に下記の点につきましてご注意くださいますよう、お願いいたします。

「.htaccess」ファイルが書き換えられる事例が多発いたしております。
パーミッションが「604 (rw—-r–)」であるかご確認ください。
WordPressをご利用の場合「wp-config.php」のパーミッションは「404 (r—–r–)」であるかご確認ください。

タイトル : WordPress、htaccessの改竄対策？
記事No : No.1263
投稿日 : 2011-12-06 21:17:21
投稿者 : kucklu

WordPressを使っている自分のサイトでは
一回も改竄を受けたはとがないのでですが………

これがあるからなのかな？と思ったので投稿してみました。

.htaccessの「# BEGIN WordPress」より前に
「= ここから =」から「= ここまで =」の間の文字列を追記する。

====== ここから =========================
AddType image/x-icon .ico

SetOutputFilter DEFLATE
BrowserMatch ^Mozilla/4 gzip-only-text/html
BrowserMatch ^Mozilla/4\.0[678] no-gzip
BrowserMatch \bMSI[E] !no-gzip !gzip-only-text/html
SetEnvIfNoCase Request_URI \.(?:gif|jpe?g|png|ico)$ no-gzip dont-vary
SetEnvIfNoCase Request_URI _\.utxt$ no-gzip
#DeflateCompressionLevel 4
AddOutputFilterByType DEFLATE text/plain
AddOutputFilterByType DEFLATE text/html
AddOutputFilterByType DEFLATE text/xml
AddOutputFilterByType DEFLATE text/css
AddOutputFilterByType DEFLATE application/xhtml+xml
AddOutputFilterByType DEFLATE application/xml
AddOutputFilterByType DEFLATE application/rss+xml
AddOutputFilterByType DEFLATE application/atom_xml
AddOutputFilterByType DEFLATE application/x-javascript
AddOutputFilterByType DEFLATE application/x-httpd-php

ExpiresActive On
ExpiresDefault “access plus 1 seconds”
ExpiresByType text/html “access plus 1 seconds”
ExpiresByType image/gif “access plus 2592000 seconds”
ExpiresByType image/jpeg “access plus 2592000 seconds”
ExpiresByType image/png “access plus 2592000 seconds”
ExpiresByType image/x-icon “access plus 2592000 seconds”
ExpiresByType text/css “access plus 604800 seconds”
ExpiresByType text/javascript “access plus 216000 seconds”
ExpiresByType application/x-javascript “access plus 216000 seconds”
ExpiresByType application/x-shockwave-flash “access plus 216000 seconds”

FileETag none

order allow,deny
deny from all

SetEnvIf Referer “http://example.com/” Ref1
Order Deny,Allow
Deny from all
Allow from env=Ref1

====== ここまで =========================

これが有効化どうかは正直分からないのですが………(；´Д｀)
あとは、htaccessとwp-config.phpのパーミッションをheteml指定のものにしておけば大丈夫なのかな？とか。

ついでなので、wp-content/plugins/直下に空の.htaccessを作成して
「= ここから =」から「= ここまで =」の間の文字列を追記する。

====== ここから =========================
SetEnvIf Referer “http://example.com/” Ref1
Order Deny,Allow
Deny from all
Allow from env=Ref1

====== ここまで =========================
※最後の「Allow from env=Ref1」の後は改行1つ必須。

これで、pluginディレクトリに直接アクセスされることはなくなると思う。
効果の程は分からないです(；´Д｀)