Делаем бекап базы на Amazon S3.

#видео #backup #amazon

Тем временем, мой Wordpress прислал уведомление о том, что он обновился до версии 4.8.2. Разработчики закрыли 9 серьёзных проблем безопасности (SQL injection и пачка XSS), так что обязательно обновитесь, если ещё не сделали этого.

Подробности здесь:
https://goo.gl/msR29d

К слову, судя по всему, CVE-2017-8295 разработчики так и не закрыли. При том что первые репорты об уязвимости получили ещё аж в июле 2016.

Подробности уязвимости можно найти здесь:
https://goo.gl/ZKwABg

Если кратко - злоумышленник может сформировать определённый HTTP запрос, содержащий предустановленную переменную hostname и в то же время инициирующий сброс пароля для нужного пользователя. В ходе выполнения атаки, письмо будет отправлено на почту того пользователя, чей пароль сбрасывается, но в полях From и Return-Path уже будет стоять ящик атакующего на проблемном домене.

Если атакующий, при этом, сделает так, что почта пользователя окажется не доступна, то письмо для сброса пароля будет перенаправлено на email злоумышленника. Так же, при ответе пользователем на письмо (Но разве на них кто-то отвечает?), ответ уйдёт злоумышленнику.

Проблема актуальна на серверах с Apache, и так как патчей и исправлений разработчиками представлено не было (они, судя по всему, не считают эту проблему критической), специалисты рекомендуют в конфиге апача использовать опцию UseCanonicalName, которая позволит установить статическое значение SERVER_NAME, что не даст злоумышленнику подменить переменную.

#wordpress #security

Начальный курс по Google Cloud Platform от CBT Nuggets.

#видео #google

Очень маленький командный интерпретатор.

https://github.com/rain-1/s

#shell

https://www.youtube.com/watch?v=8IksUajJZ04

Трансляция от Selectel. Вдруг кому-то будет интересно. 🤓

👨🏼‍💻 Заметка о настройке rate limit в Nginx. Небольшой разбор настройки ограничений и создание белого списка для них.

📗 Открыть на сайте

#будничное #nginx

🏷 Пара слов о том, что такое CAA запись, для чего она нужна, как её правильно использовать для защиты своего домена и сайта, и как её можно быстро сгенерировать с помощью https://sslmate.com/caa/

📗 Открыть на сайте

#будничное #ssl #dns #caa

А вы уже прописали CAA для своих доменов?

✅ - Да, CAA уже использую.
❎ - Нет, CAA не использую.

💭 Помогая одному товарищу, пришлось оперативно вспомнить старый добрый DDOS Deflate и его использование. Собственно, заметка по работе с этим скриптом прилагается.

📗 Открыть на сайте

#будничное #ddos

🆖 Небольшой мануал о том, как подружить между собой ModSecurity и Nginx. Ставим, настраиваем, проверяем работу и получаем почти что ModSecurity WAF для Nginx Plus.

📗 Открыть на сайте

#будничное #nginx #modsecurity

⚙️ ️Буквально пара слов и примеры использования параметров ядра для увеличения производительности сети. Не претендую на истину в последней инстанции, просто записал то, что в разных ситуациях на разных площадках использую сам.

📗 Открыть на сайте

#будничное #sysctl

Red Hat Enterprise Linux Network Performance Tuning Guide

А вот рекомендации по оптимизации уже от Red Hat. Там уже не только sysctl.

#будничное #sysctl

Меж тем, в ядре обнаружена очередная уязвимость (CVE-2017-1000253), которая позволяет при её использовании повысить привилегии в системе. Под ударом оказались версии:

- CentOS 7 до выпуска 1708;
- RHEL 7 до выпуска 7.4;
- CentOS и RHEL 6;

В последних обновлениях CentOS 7 и RHEL 7 уязвимость была закрыта, так что обязательно установите их, если ещё не сделали этого.

Подробности можно найти здесь:

http://seclists.org/oss-sec/2017/q3/541

#security #kernel

📉 Разбираемся с sysdig и csysdig - утилитами для мониторинга работы процессов и активности системы в реальном времени.

📗 Открыть на сайте

#будничное #sysdig #scysdig

К слову, как раз сейчас sysdig проводит двухдневную конференцию. Запись прошедшего дня уже есть на ютубе:

https://youtu.be/-Z17GnfcmFU?t=2007

Трансляция второго дня так же будет доступна на канале sysdig'а. Ребята основательно проходятся по теме контейнеров, поднимают вопросы безопасности, показывают свои продукты, работающие на основе sysdig и обещают ещё много интересного. Пожалуй, вечерком, под чаёчек, стоит запустить и посмотреть.

#видео #sysdig

Продолжая тему sysdig - графическая утилита для анализа scap файлов - функционал тот же что и у csysdig, но выглядит, конечно, куда приятней.

https://github.com/draios/sysdig-inspect

#sysdig

🐧 Несколько слов о Linuxbrew. К нему я в будущем буду время от времени обращаться при установке какого-то ПО с гитхаба, так что эта заметка точно лишней не будет.

📗 Открыть на сайте

#linuxbrew #brew

💻 О том как можно расшарить вывод теримнала в вебе, и о том как можно организовать совместную работу над одной сессией терминала из разных мест.

📗 Открыть на сайте

#ttyd #gotty #tmate

Ещё один неплохой pastebin сервис в коллекцию ссылок:

https://glot.io/

Желающие могут сделать себе такой же, исходники доступны на Github:

https://github.com/prasmussen/glot

#фидбечат #pastebin

И вот ещё веб-сервер с функциями защиты от XSS и CSRF атак и SQL инъекций. SSL\TLS, аутентификация, сжатие, URL rewriting, CGI\FastCGI, IPv6 и ещё много того, то должен уметь делать веб-сервер, hiawatha делать умеет.

Желающим попробовать что-то кроме Nginx в проекте очень рекомендую к ознакомлению.

https://github.com/hsleisink/hiawatha

#hiawatha