Эксплуатация / безопасность MODX
Безопасность сайта на MODX
Проверяю специфический контур MODX: версии ядра и extras, Manager, пользовательский код, права файлов, серверную конфигурацию и резервные копии. По подтверждённым находкам устраняю уязвимости и документирую дальнейшую эксплуатацию.
Обсудить проверку
01 Контекст
Редкая CMS не означает отсутствия рисков
Поверхность атаки складывается из версии MODX, дополнений, стороннего кода, учётных записей, файловых прав, сервера и внешних интеграций. Слабое место может находиться не в ядре, а в старом сниппете или оставленном доступе.
Безопасность MODX — это не установка одного дополнения. Нужны инвентаризация, ограничение доступов, проверяемые обновления, наблюдение и заранее подготовленное восстановление.
02 Исходная ситуация
Какой режим нужен
Профилактическая проверка
Сайт давно не обновлялся, передаётся новому владельцу или должен пройти техническую приёмку.
Укрепление конфигурации
Известны слабые настройки Manager, прав файлов, сервера или резервного копирования, которые нужно исправить без полной перестройки.
Подозрение на взлом
Обнаружены неизвестные пользователи, сниппеты, плагины, файлы, редиректы или необычные записи в журналах.
Подготовка эксплуатации
Нужен порядок обновлений, выдачи доступов, проверки копий и действий при инциденте.
03 Состав
Что проверяется в MODX-контуре
Профилактический аудит и разбор инцидента имеют разный порядок, но используют одну карту компонентов и доступов.
Ядро, extras и код
Фиксирую версии, известные обновления, кастомные сниппеты и плагины, подозрительные изменения и источники установленных компонентов.
- реестр компонентов
- перечень обновлений
- карта пользовательского кода
Manager и учётные записи
Проверяю пользователей, группы, политики доступа, способы входа, сессии и доступность административного интерфейса.
- матрица ролей
- список лишних доступов
- изменения настроек
Сервер и файловая система
Анализирую права, веб-сервер, PHP, журналы, cron-задачи и каталоги, доступные из веба.
- карта поверхности атаки
- подтверждённые находки
- план укрепления
Копии и обнаружение
Проверяю изоляцию резервных копий, путь восстановления и способы заметить значимые изменения файлов, пользователей и конфигурации.
- схема восстановления
- контрольные события
- порядок действий
04 Метод
Порядок работы
При признаках инцидента сначала сохраняется состояние, чтобы не уничтожить следы поспешным обновлением.
- 01
Фиксация
Сохраняю доступные журналы, версии файлов и базы, отмечаю наблюдаемые признаки и недавние изменения.
На выходе: исходные материалы проверки - 02
Локализация
Ограничиваю подозрительные учётные записи и точки входа, сохраняя доступ к необходимым частям системы.
На выходе: контролируемый периметр - 03
Исправление
Удаляю подтверждённые изменения, обновляю или заменяю уязвимые компоненты, корректирую права и конфигурацию.
На выходе: зафиксированный перечень изменений - 04
Проверка и регламент
Проверяю рабочие сценарии, копии и журналы, описываю дальнейшие обновления и доступы.
На выходе: план безопасной эксплуатации
05 Ответственность
Кто за что отвечает
Я отвечаю
- за техническую фиксацию и проверку найденных признаков
- за согласованные изменения MODX, кода и конфигурации
- за документацию границ проверки и выполненных действий
Со стороны владельца нужны
- доступ к MODX, хостингу, DNS и резервным копиям
- история недавних изменений и участников с доступом
- решения по смене учётных данных и временной остановке функций
06 Оценка
От чего зависит объём
Профилактика, укрепление и восстановление оцениваются после первичной фиксации системы.
- 01версия MODX, PHP и extras
- 02объём пользовательского кода
- 03количество учётных записей и интеграций
- 04доступность серверных журналов
- 05состояние и изоляция резервных копий
- 06давность и масштаб подозрительных изменений
До диагностики нельзя достоверно назвать точку входа или полный состав восстановления.
07 Среда
Средства проверки
Инструменты выбираются по окружению и подтверждают гипотезы, а не заменяют ручной разбор проекта.
- 01MODX Revolution и Evolution
- 02журналы MODX и веб-сервера
- 03контроль целостности файлов
- 04WAF и ограничения запросов
- 05MFA и управление ключами
- 06изолированные резервные копии
08 Вопросы
До начала работы
01MODX безопаснее WordPress?
Количество массовых атак может отличаться, но это не определяет безопасность конкретного проекта. Версии, код, доступы и эксплуатация важнее названия CMS.
02Что делать при подозрении на взлом?
Не удалять файлы и не запускать массовое обновление до фиксации. Ограничить административный доступ, сохранить журналы и сообщить время и признаки инцидента.
03Достаточно ли изменить адрес Manager?
Нет. Это может убрать часть автоматических запросов, но не исправляет уязвимый код, слабые учётные данные, лишние права или открытые резервные копии.
04Проверяете сторонние extras?
Да. Важны источник, версия, обновления, переопределения и права, с которыми компонент работает.
05Можно полностью исключить повторный инцидент?
Нет. Можно закрыть подтверждённый путь, сократить поверхность атаки, улучшить обнаружение и подготовить восстановление. Новые уязвимости и ошибки эксплуатации остаются возможными.
10 Следующий шаг
Начать с фиксации MODX
Пришлите адрес сайта, версию MODX и описание наблюдаемых признаков или известных рисков. Я обозначу порядок первичной проверки и необходимые доступы.
Обсудить проверку