آموزش ساده ی تصویری افزایش امنیت WHMCS از طریق هاست

نویسنده: نویسنده 1 ژانویه 2020 مشاهده: 857 بار

آموزش ساده ی تصویری افزایش امنیت WHMCS از طریق هاست

یکی از بهترین و پرطرفدار ترین اوتوماسیون ها یا سیستم مدیریت محتوا های تحت وب ، whmcs می باشد که در شرکت های هاستینگ و شرکت های خدماتی برای ارائه سرویس و پشتیبانی از مشتریان استفاده می گردد . قابلیت های فوق العاده ای دارد، کاربران می توانند به عنوان مثال چندین هزار مشتری در whmcs خود داشته باشند و مطمئن باشند که whmcs در تاریخ تعیین شده ای اتمام اعتبار سرویس های خریداری شده توسط مشتریان برایشان صورتحساب ارسال می کند و توسط ارسال ایمیل یادآوری می کند که صورتحساب باید پرداخت شود، بنابراین whmcs یکی از قوی ترین اتوماسیون های مالی یا قلب تراکنشات و ارتباطات در یک شرکت هاستینگ است که اطلاعات و مشخصات سرویس ها یا مشخصات هاست هزاران مشتریان را در خود نگهدار می دارد.

زمانیکه این همه اطلاعات مهم در یک سیستم تحت وب قرار داده می شود باید بتوانیم امنیت whmcs خود را به نحوه احسنت ایجاد کنیم تا به هیچ عنوان عوامل خارجی به آن نفوذ نکنند و اطلاعات مهم کاربران را استخراج نکنند .

مرحله اول قبل از اجرای این مقاله زیر آن است که whmcs شما حتما لایسنس دار یا اورجینال باشد و از نسخه کرک شده استفاده نکنید، در این مقاله با موارد امنیتی که در ابتدای شروع به کار با سیستم مدیریت هاستینگ WHMCS میبایست اعمال نمایید آشنا می شوید whmcs دارای ویژگی هایی است که به جهت کمک نمودن برای ایمن نگه داشتن اطلاعات شما ایجاد شده است. ولی ، چند مرحله اضافی ساده هست که شما می توانید نصب و راه اندازی WHMCS خود را حتی بیشتر ایمن نمایید.

مراحل افزایش امنیت WHMCS از طریق هاست

به صورت مختصر مباحث زیر در ادامه توضیح داده خواهند شد:

1- پوشه Admin سیستم مدیریت هاستینگ WHMCS تغییر نام یابد.
2- Protect (حفاظت) برای پوشه Admin ایجاد شود.
3-سه پوشه Attachments، Downloads و Themplates_C به پوشه root منتقل شود.
4- پوشه Cron انتقال یابد.
5- دسترسی IP به مدیریت WHMCS به وسیله فایل .htaccess محدود شود.
6- امتیازات دیتابیس محدود شود.

1- پوشه Admin سیستم مدیریت هاستینگ WHMCS تغییر نام یابد.

توسط بسیاری از نرم افزار های مبتنی بر وب ، همه می دانند که می توان با نام های رایج دایرکتور ها مانند : Admin، Admincp، Manage و … ادمین کنترل پنل ها را پیدا کنند. پس سفارسی سازی کردن مسیر ناحیه مدیریت WHMCS از مراحلی است که می توان به منظور مشکل نمودن لاگین کاربران مخرب به کار گرفت. WHMCS نیاز دارد نام پوشه Admin را بدانسته حتی اگر شما آن را تغییر نام بدهید.

از محدودیت هایی که در امن نمودن پوشه Admin است:

شما نمی توانید دایرکتوری Admin را روت WHMCS انتقال دهید، می توانید آن را تغییر نام دهید اما نه انتقال به صورت کامل.
نام پوشه ادمین شامل کاراکتر های استاندارد لاتین a-z و 0-9 هم چنین کاراکترهای (-)، (_) و (.) است.

تغییر نام پوشه ادمین:

ابتدا وارد File Manager شوید و مسیر پوشه حاوی فایل های WHMCSرا بیابید.
پوشه admin را انتخاب نموده و بر روی دکمه Rename کلیک کنید.
در پنجره محاوره ای باز شده نام دلخواه جدید را وارد کنید و بر روی دکمه Rename Folder کلیک کنید.

پس از تغییر نام پوشه Admin بایدبر روی فایل Configuration.php نیز تغییراتی انجام دهید. هنگامی که مسیر پوشه Admin تغییر دهید می بایست در WHMCS و در فایل Configuration.php نیز نام جدید پوشه مدیریت خود را تعریف کنید تا WHMCS نیز بتواند آن را بیابد و به آن دسترسی دارد. مراحل زیر را دنبال نمایید:

فایل php را انتخاب کنید و بر روی دکمه Edit کلیک کنید.

کاربران عزیز در صفحه کد ادیتور قبل از تگ پایانی php یعنی ?> می بایست خط زیر را وارد کنید:

1	$customadminpath = “mycustomfoldername”;

mycustomfoldername همان نام جدید پوشه Admin می باشد.

در این قسمت نیازی به نوشتن کل مسیر این دایرکتوری نیست و نام پوشه ادمین کفایت می کند، درصورتی که در فایل Configuration.php خطی مشابه خط بالا مشاهده کردید، نیازی به وارد کردن مجدد آن نیست و می بایست همان خط را ویرایش کنید.

و سپس بر روی دکمه Save کلیک نمایید.

درصورتی که شما قبلا Cron job ایجاد کرده باشید و یا اگر Cron job جدید ایجاد کنید، میبایست مسیر کرون را به روز رسانی کنید.

php -q /home/mylogin/public_html/secure/myfoldername/cron.php

2- Protect (حفاظت) برای پوشه Admin ایجاد شود.

یک لایه دوم محافظتی برای دایرکتوری ادمین که می تواند با استفاده از .htaccess ایجاد کند. اغلب کاربران این کار را با استفاده از گزینه Password Protect Directories و بدون نیاز تغییر در فایل Configuration.php انجام می دهند.

ایجاد Protect از طریق Cpanel:

ابتدا به قسمت File Manager و مسیر Portal (حاوی فایل های WHMCS) وارد شوید، پوشه مدیریتی خود را که تغییر نام داده اید بیابید، بر روی آن کلیک راست کرده و از منوی باز شده گزینه Password Protect را انتخاب کنید.

وارد صفحه Directory Privacy می شوید.

از قسمت Security Setting ، تیک مربوط به گزینه Password protect this directory را برای فعال سازی محافظت این پوشه به حالت انتخاب در بیاورید، در قسمت Name of the protected directory نام دلخواه برای پوشه محافظت شده را وارد کنید، بر روی دکمه Save کلیک کنید.

از قسمت Create User باید کاربر مجاز برای دسترسی به این دایرکتوری را تعریف کنید.

از قسمت Username نام کاربری مورد نظر را وارد کنید.

از قسمت Password رمز عبور کاربر را وارد کنید.

توصیه می شود از Password Generator استفاده کنید تا رمز عبور شما از حداکثر درجه امنیت برخوردار باشد.

بر روی دکمه Save کلیک کنید.

Protect مربوط به پوشه admin شما ایجاد شده و در هنگام رجوع به این آدرس ابتدا از شما رمز عبور و نام کاربری خواسته می شود.

ایجاد Protect از طریق فایل .htaccess :

اگر هاست شما دارای قابلیت Password Protect نباشد می توان این کار را به صورت دستی خودتان انجام داد.مراحل رو به رو را دنبال کنید:

وارد File Manager و دایرکتوری مورد نظرتان بشوید، در مسیر مورد نظر بر روی دکمه Create File کلیک کنید، در پنجره محاوره ای ساخت فایل جدید، نام فایل مورد نظر را .htaccess قرار بدهید و بر روی دکمه Create File کلیک کنید، فایل .htaccess بوجود می آید آن را انتخاب و بر روی دکمه Edit کلیک کنید تا به صفحه کد ادیتور انتقال یابید، می بایست دستورات زیر را در این فایل وارد نمایید.

به نام فایل ها و کدها دقت کنید حروف کوچک و بزرگ میبایست به همین شکل باشند:

AuthType Basic

AuthName “password”

AuthUserFile “/passwd”

require valid–user

password یک نام برای پوشه محافظت شده می باشد.

/passwd مسیر و نام فایل متنی حاوی نام کاربری و رمزعبور یوزر مجاز برای دسترسی به پوشه محافظت است.. این فایل را در مسیر روت ایجاد کنید. برای تعریف یوزرها نیز باید ابتدا نام کاربری مورد نظر را تایپ کنید، یک کاراکتر «:» وارد کنید و در مقابل آن رمز عبور هش شده را وارد کنید، جهت hash کردن رمز عبور طبق استاندارد کدگذاری md5 می توان به سایت mf5hasher.net مراجعه کرد. رمز عبور مورد نظر را وارد کنید و با کلیک بر روی دکمه Hash it کد هش شده را دریافت کنید.

در زمان مراجعه به مسیر پروتکت شده می بایست رمز عبور اصلی و نه هش شده را وارد کنید.

3-سه پوشه Attachments، Downloads و Themplates_C به پوشه root منتقل شود.

همتن طور که می دانیم سه پوشه ی Attachments، Downloads و Themplates_C نیاز دارند که برای WHMCS قابل نوشتن و تغییر باشند، پس به سطح دسترسی 777 (قابل نوشتن برای همه) نیاز هست. هنگامی که پوشه ای دارای سطح دسترسی 777 باشد بهتره برای امنیت بیشتر آن را در مسیری خارج از روت یا public_html قرار داد تا از دسترسی سایر کاربران غیر مجاز در امنیت باشد. WHMCS امکان انجام این کار را می دهد. شما می توانید این 3 پوشه را به روت هاست خود انتقال دهید، ولی مسیر جدید این پوشه ها را به WHMCS نشان دهید.

برای این کار به صورت زیر اقدام کنید:

به File Manager و پوشه Portal مراجعه کنید و سه پوشه Attachments، Downloads و Themplates_C را به حالت انتخاب قرار بدهید و بر روی دکمه Move کلیک کنید، از شما مسیر جدید جهت انتقال پوشه ها پرسیده می شود. برای انتقال به روت باید در قسمت مسیر مقصد هیچ چیزی وارد نکنید و بر روی دکمه move کلیک کنید.

در این حالت 3 پوشه مذکور به روت انتقال می یابد اما به صورت پراکنده و در بین فایل ها و پوشه های دیگر قرار دارد. برای مرتب شدن فایل هایتان بهتره یک پوشه در روت بسازید و سپس 3 پوشه مورد نظر را به این پوشه در روت منتقل دهید، پس از انتقال پوشه ها به روت باید به WHMCS مسیر جدید را نشان دهیم . 3 خط کد زیر را در فایل configuration.php اضافه می کنیم:

1	$templates_compiledir = “/home/username/templates_c/”;$attachments_dir = “/home/username/attachments/”;$downloads_dir = “/home/username/downloads/”;

نکته username همان نام یوزر هاست Cpanel شما می باشد.

اگر 3 پوشه مورد نظر را در روت و در یک پوشه مجزا برای مثال پوشهmramooz منتقل کنید، باید 3 خط کد را به صورت زیر تغییر دهید:

1	$templates_compiledir = “/home/username/mramooz/templates_c/”;$attachments_dir = “/home/username/mramooz/attachments/”;$downloads_dir = “/home/username/mramooz/downloads/”;

در صورتی که شما از suphp و یا phpsuexec استفاده می نمایید نیازی به اعمال تغییرات فوق نیست چون در این حالت نمی توان سطح دسترسی این پوشه ها را به 777 تغییر داد. بالاترین سطح دسترسی برای پوشه ها و فایل ها در این حالت 755 است.

4- پوشه Cron انتقال یابد.

پوشه کرون حاوی فایل domain synchronisation file (همگام سازی دامنه ها) است. این پوشه نیز میبایست به روت جهت جلوگیری از دسترسی های غیر مجاز انتقال گردد، مراحل زیر را انجام دهید:

به قسمت File Manager سپس مسیر Portal مراجعه کنید. در این مسیر پوشه Crons را پیدا کرده و انتخاب کنید.

بر روی دکمه move کلیک کنید . در پنجره محاوره ای انتقال، مسیر روت را مشخص نموده و بر روی دکمه Move کلیک کنید. پوشه Crons همراه با دو فایلی که حاوی آن ها می باشد، یعنی domainsync.php و config.php انتقال یابد..

پس از انتقال پوشه به روت نیز باید مسیر آن را به WHMCS معرفی کنید:

فایل Config.php موجود در پوشه Crons را ویرایش کنید و خط کد زیر را در آن تایپ نمایید، بر روی فایل Config.php کلیک و آن را انتخاب نمایید. بر روی دکمه Edit کلیک نمایید تا صفحه کد ادیتور باز شود، در این صفحه خط زیر را وارد نمایید:

1	$whmcspath = ‘/home/username/public_html/Portal/’;

username همان نام کاربری هاست Cpanel شما می باشد و Portal همان مسیر نصب فایل های WHMCS می باشد.

در صورتی که قبلا Cron job ایجاد نموده اید نیز باید مسیر آن را تصحیح نمایید. مثال :

(مسیر اولیه) php -q /path/to/home/public_html/whmcspath/crons/domainsync.php

(مسیر روت مشخص شده است) php -q /home/mylogin/crons/domainsync.php

5- دسترسی IP به مدیریت WHMCS به وسیله فایل .htaccess محدود شود.

جهت امنیت بیشتر، اگر کارکنان شما از ip ایستاتیک یا ثابت استفاده می سود ، می توان امنیت بیشتری برای ناحیه مدیریت WHMCS خود با استفاده از ایجاد محدودیت دسترسی برای یک رنج از ip های خاص تعریف کنید. برای انجام این کار باید فایلی با نام .htaccess در مسیر ادمین WHMCS با محتوای زیر ایجاد کنید

(اگر وجود داشت آن را ویرایش نمایید):

order deny,allow

allow from 12.34.5.67

allow from 98.76.54.32

deny from all

قسمت allow باید ip های مجاز برای دسترسی به مدیریت WHMCS را تعریف کنید. می توانید با مشخص نمودن بخش اول و دوم ip خود، اجازه دسترسی به زیر شبکه این ip را ایجاد نمایید. مثال:

order deny,allow

allow from 12.34.

deny from all

6- امتیازات دیتابیس محدود شود.

در 2 مرحله صورت می گیرد:

استفاده روزانه دیتابیس:

فقط مواردی که برای استفاده روزانه از دیتابیس مورد نیاز هستند را فعال و مابقی موارد را نیز باید غیر فعال کنید. موارد مورد نیاز به شرح ذیل می باشند:

DELETE
INSERT
SELECT
UPDATE

در هنگام ارتقاع دیتابیس:

نصب و راه اندازی، ارتقاع، فعال سازی و غیر فعال سازی ماژول ها، نیازمند امتیازات اضافی زیر است:

ALTER
CREATE
DROP
INDEX

شما توانسته اید تمامی موارد امنیتی WHMCS خود را ایجاد نمایید

در صورتی که این آموزش برای شما مفید بود حتما به شما توصیه می کنیم که از سایر آموزش های whmcs هم استفاده کنید.

آموزش ساده ی تصویری افزایش امنیت WHMCS از طریق هاست