Kui sul on WordPressi koduleht või e-pood, siis failiõigused ei kõla ilmselt nagu asi, millega tahaks reede õhtul tegeleda. Täiesti arusaadav. Aga vaata – just see väike, igav tehniline detail võib olla põhjus, miks lehele tekib vaikne tagauks ja sa ei saa tükk aega arugi.
Failiõigused määravad ära, kes võib serveris faile lugeda, muuta ja käivitada. Kui need on liiga leebed, saab pahatahtlik kood teha rohkem, kui tohiks. Ja kui keegi juba sisse pääseb, siis valed õigused aitavad tal päris mugavalt edasi tegutseda.
Nii et räägime lihtsas keeles läbi, mida 775 tähendab, millal see on okei ja millal see hakkab vaikselt jamasid tootma.
Mida 775 üldse tähendab?
WordPressi failide ja kaustade õigused pannakse tavaliselt numbritega paika. Näiteks 644, 755 või 775. Need numbrid näitavad, mida omanik, grupp ja kõik teised teha saavad.
- 7 – võib lugeda, kirjutada ja käivitada
- 5 – võib lugeda ja käivitada
- 4 – võib ainult lugeda
Kui kaust on 775, siis tähendab see üldiselt seda:
- omanik saab kõike teha
- grupp saab ka kõike teha
- teised saavad lugeda ja käivitada
Esmapilgul tundub ju normaalne. Omanik teeb oma asja, grupp aitab kaasa, kõik toimib. Aga asi on selles, et probleem ei ole ainult numbris endas, vaid selles, kes on see grupp ja milline on su serveri setup.
Millal 775 on täiesti okei?
Ausalt öeldes ei ole 775 alati halb. Mõnes serverikeskkonnas on see täiesti praktiline lahendus, eriti kui veebiserver ja failide omanik peavad mõlemad saama kaustu muuta. Näiteks piltide üleslaadimine, cache failid või mõne plugina automaatsed kirjutamised.
Praktikas võib 775 olla okei siis, kui:
- server on korrektselt eraldatud ja teised kontod ei jaga sama gruppi ohtlikul moel
- sa tead täpselt, milline kasutaja ja grupp su faile haldab
- 775 on pandud ainult kindlatele kaustadele, mitte tervele WordPressile pimesi
- majutuspartneri turvaseadistus on tegelikult korralik
Seejuures väike point – paljud õpetused internetis viskavad lihtsalt ette käsu “pane kõik kaustad 775 peale”, ilma et selgitaks, kas see sinu keskkonnas üldse mõistlik on. See ongi koht, kus hakkavad tekkima vaiksed riskid.
Millal 775 muutub vaikseks tagauksseks?
Oht tekib siis, kui grupi kirjutusõigus annab muutmisvõime kellelegi või millelegi, kellel seda tegelikult olla ei tohiks. Eriti jagatud veebimajutuses. Kui serveri konfiguratsioon on kehv või kasutajate eraldus nõrk, siis võib üks kompromiteeritud konto mõjutada ka teist.
Lühidalt: kui pahatahtlik skript pääseb ligi grupi kaudu kirjutatavatele kaustadele, saab ta sinna faile juurde panna, olemasolevaid muuta või peita pahavara kuhugi uploadsi vahele. Ja sa ei pruugi seda kohe märgata. Leht justkui töötab edasi.
Kõige riskantsemad kohad on tavaliselt need:
- wp-content/uploads – sinna saab üles laadida faile, ja kui kontroll on kehv, võib sinna sattuda midagi enamat kui pildid
- pluginate kaustad – kui plugin on grupile kirjutatav, saab sinna koodi muuta
- teemafailid – üks väike muudatus footeris või functions.php failis ja tagauks ongi olemas
- wp-config.php lähedased õigused – siin ei ole ruumi eksperimenteerimiseks
Päris tihti ei näe see välja nagu suur rünnak. Vaikne lisafail. Kahtlane cron-job. Uus admin-konto. Või leht hakkab spämmlehti tootma alles nädalad hiljem.
Millised õigused on WordPressis tavaliselt mõistlikud?
Üldiselt on rusikareegel lihtne. Failid ja kaustad peaksid olema nii kinnised kui võimalik, aga siiski nii lahti, et leht toimiks. Mitte rohkem.
- enamus faile – 644
- enamus kaustu – 755
- wp-config.php – pigem rangem, näiteks 640 või 600, sõltuvalt serverist
- väldi 777 praktiliselt alati
Samas 775 võib olla erijuhtudel vajalik, aga ainult kindlates kohtades. Mitte kogu saidi peale automaatselt. Kui keegi ütleb, et “paneme kõik 775 ja elu on lihtsam”, siis see on punane lipp. Lihtsam, jah. Turvalisem, ei.
Kui sul ei ole kindel tunne, siis loe ka miks WordPressi uuendusi ei tohi edasi lükata – valed failiõigused ja vanad pluginad on päris halb kombo.
Kuidas kontrollida, kas su lehel on valed failiõigused?
Sa ei pea olema serveriadminn, et algtasemel kontroll ära teha. Kui sul on cPanel, Plesk või ligipääs failihaldurile, saad õigused üsna ruttu üle vaadata. FTP kaudu saab ka, kuigi see on natuke ebamugavam.
Vaata üle vähemalt need kohad:
- kas mõni kaust on 777
- kas pluginate või teemade failid on 775 või 666 ilma reaalse põhjuseta
- kas wp-config.php on liiga avatud
- kas uploads kaustas on imelikke .php faile
Tegelikult tasub vaadata ka omanikku ja gruppi. Mitte ainult numbrit. Kui failide omanik on segane, server kirjutab faile ühe kasutajaga ja sina haldad teisega, siis hakataksegi tihti “ajutiselt” õigusi avama. Ja see ajutine jääb aastateks.
Kui tahad süsteemsemat lähenemist, siis meie haavatavuste kontroll aitab leida avalikke turvaauke enne, kui neist suurem jama tekib.
Mis juhtub päriselus, kui failiõigused on liiga laiad?
Võtame lihtsa näite. Sul on väike WooCommerce e-pood. Keegi paigaldas kunagi ühe plugin-i käsitsi, õigused ei hakanud tööle ja “lahenduseks” pandi mitu kausta 775 või isegi 777 peale. Leht töötab. Kõik unustavad ära.
Mõni kuu hiljem leitakse ühes vanas pluginas turvaauk. Ründaja kasutab seda, kirjutab uploads kausta väikse pahatahtliku faili ja hakkab sealt edasi liikuma. Esialgu ei kuku midagi kokku. Tellimused tulevad. Sina ei tea midagi.
Siis hakkavad juhtuma sellised asjad:
- Google näitab vahel imelikke pealkirju või rämpslehti
- majutusest tuleb hoiatus pahavara kohta
- leht saadab spämmmeile
- adminni tekib uus kasutaja, keda keegi “nagu ei loonud”
Kui selline moment juba käes on, siis loe ka 5 märki, et sinu WordPress on juba häkkerite käes. See aitab üsna kiiresti pildi ette saada, kas asi on lihtsalt kahtlane või juba päriselt halb.
Mida teha, kui kahtlustad, et õigused on valed?
Ära hakka päris pimesi kõiki chmod käske tulistama. See võib lehe katki teha. Mõistlik lähenemine on samm-sammult.
- Tee enne backup. Alati.
- Pane kirja, millised õigused praegu on
- Taasta tavalised õigused – failid 644, kaustad 755
- Kontrolli eraldi wp-config.php ja uploads kausta
- Uuenda WordPress, teemad ja pluginad
- Eemalda kõik, mida sa päriselt ei kasuta
Kui leht pärast muudatusi midagi üles laadida ei saa või plugin ei salvesta seadeid, siis probleem ei pruugi olla selles, et sul on “liiga ranged õigused”. Päris tihti on põhjus hoopis vales failide omandis või kehvas serveri konfiguratsioonis. Ehk probleemi tuleb lahendada juurest, mitte teha ust jälle laiemaks.
Millal tasub abi küsida?
Ausalt öeldes üsna sageli varem, kui inimesed arvavad. Kui sa ei tea, miks mõni kaust on 775, siis see on juba piisav põhjus kontroll teha. Sama siis, kui lehel on olnud mitu arendajat, vana veebimeister on kadunud või hosting on kunagi kiiruga üles pandud.
Abi tasub küsida eriti siis, kui:
- sa ei tea, kas saidil on juba pahavara
- õigused muutuvad ise tagasi või käituvad imelikult
- lehel on e-pood ja kliendiandmed
- Google või majutusfirma annab turvahoiatuse
Sellisel juhul on kõige targem võtta ette kas pidev hooldus või kiire puhastus. Kui sul on tunne, et sait võib juba kompromiteeritud olla, siis vaata abi häkitud veebilehe puhastamiseks. Ja kui tahad, et keegi jälgiks uuendusi, backuppe ja selliseid vaikseid turvariske regulaarselt, siis sobib WordPressi hooldusteenus.
Lihtne reegel, mida meeles pidada
Failiõiguste mõte ei ole teha elu keeruliseks. Nende mõte on piirata kahju, kui midagi läheb valesti. 775 ei ole automaatselt halb, aga ta ei ole ka “safe default”, mida pimesi kõikjale loopida.
Nii-öelda lihtne rusikareegel on see: anna ainult nii palju õigusi, kui päriselt vaja. Mitte rohkem. See üks väike otsus võib hiljem päästa sind päris korralikust jamast, rahakulust ja närvikulust ka.
Ja noh, kui sa ei viitsi serveri failipuud ise lahata, siis see on täiesti okei. Tähtis on, et keegi vaataks need asjad üle enne, kui 775 muutub su kodulehel vaikseks tagauksseks.