Sklep w osCommerce

Postaram się opisać bolączki jakie mogą Cię spotkać podczas używania wyżej wymienionego skryptu i nie zamierzam być delikatny w dziedzinie dziur. Jest ich tylko od cholery. Nie przejmuj się. Mogło być gorzej.

Zakładam że masz już zainstalowane i skonfigurowany sklep. Instalacja jest banalna, więc nie będę jej opisywał. Poza tym pełno jest stron z mniej czy bardziej szczegółowym opisem.

O ile znalazłeś na forach na forach że musisz wyrzucić pliki do „Eksplorator Plików”, oraz „Definiowanie Języków”, bo znajduje się tam krytyczna dziura pozwalająca rozwalić Ci cały serwis. Jednym z objawów włamu jest wpis w logi:

"GET /admin/includes/languages/english/modules/newsletters/sh.php
?call=proxy&data=http://www.google.com/search?num=100%26hl=en%26safe=off%
26client=opera%26hs=moz%26rls=en%26q=test%26lr=lang_en%26aq=f%26aqi=%26aql
=%26oq=%26gs_rfai=%26tbs=clue:1%26 HTTP/1.1" 404 335 "http://domena.com
/admin/includes/languages/english/modules/newsletters/sh.php?call=proxy&data
=http://www.google.com/search?num=100%26hl=en%26safe=off%26client=opera%26hs=moz%
26rls=en%26q=test%26lr=lang_en%26aq=f%26aqi=%26aql=%26oq=%26gs_rfai=%26tbs=
clue:1%26" "Opera/9.80 (Windows NT 5.1; U; en) Presto/2.6.30 Version/10.62"

Swoją drogą, zawsze wpis jest Opera. Ciekawe czemu?
Tu już biedny robot nie ma dojścia do tego pliku, bo jakiś cham wykasował, ale to jest plik który Ci napsuje krwi i może być wszędzie. Drugi objaw jest .htaccess z dziwnymi wpisami. Powywalaj je, a gdzie były powstawiaj oryginalne.

Naprawę tych plików daruj se. Ona nie jest jedna. Jeszcze nie namierzyłem który plik, ale pozwala założyć admina przez niepowołane osoby. Moja rada jest prostsza. Zmień katalog admin na jakikolwiek, byle nie administrator i administrators. Na przykład zarzadzanie, adminowanie, ustawnictwo, a nawet zarzondzanie. Wiem, zarządzanie piszę się przez ą, ale włamywacze mogą tego nie wiedzieć. Im bardziej „szalona” nazwa katalogu, tym lepiej.

Zmieniłem i co dalej?
W

<twoja_szalona_nazwa>/includes/configure.php znajduje się klucz do sukcesu. Mianowicie:
define('DIR_WS_ADMIN', '/admin/');

zamień na:

define('DIR_WS_ADMIN', '/<twoja_szalona_nazwa>/');

define('DIR_FS_ADMIN', '/<katalog_twojego_sklepu>\AdmiN');

zmień na:

define('DIR_FS_ADMIN', '/<katalog_twojego_sklepu>\<twoja_szalona_nazwa>');

Możesz spać spokojne. Na razie. Jeżeli znajdę jakąś inną dziurę, która jest w sklepie, nie omieszkam tego napisać.

Moim drugim usprawnieniem jeszcze przed naprawą wyżej wymienionych plików jest zmiana katalogu images. W pliku konfiguracyjnym admina zmieniłem z:

define('DIR_FS_CATALOG_IMAGES', DIR_FS_CATALOG . 'images/');

na

define('DIR_FS_CATALOG_IMAGES', DIR_FS_CATALOG . 'obrazunie/');

W pliku konfiguracyjnym sklepu zostawiłem po staremu. Powiecie że nie działa bo nie ma ani jednego obrazka. I tak ma być. Tu trochę jadu dla programistów. Co za poroniony pomysł wrzucać obrazki layoutu ze zdjęciami produktów?
Tak tego zostawić nie można więc potrzebujesz mały wpis do .htaccess:

Options +FollowSymLinks
RewriteEngine On
RewriteRule images/(.*\.(png|gif|jpg)) obrazunie/$1 [L]
RewriteRule obrazunie/(.*\.(sh|txt|php)) tych.php/$1 [L]

W pliku tych.php napisz co myślisz o wszelkich włamaniach, oraz rodzinach włamywaczy, oraz co Cię dziś zdenerwowało. Ogólnie ulżyj se. ;) Bynajmniej tych to nie jest skrót od Tychów, tam są dwa wyrazy. ;)