Бесплатная загрузка CMS: как получить безопасно и обойти вредонос

Худшая инфекция сайта, которую я когда-либо вычищал, пришла не от хакера. Она пришла из ZIP-файла. Владелец небольшого магазина скачал «премиум»-тему WordPress с сайта, обещавшего платные темы бесплатно, а через одиннадцать месяцев страница оформления заказа начала перехватывать номера карт. Сама CMS была чистой. Обёртка вокруг загрузки, нет. Бесплатная загрузка CMS действительно бесплатна и действительно безопасна, но только если она из правильного места и вы потратите две минуты на проверку. Вот как я делаю и то, и другое.

Откуда на самом деле берётся безопасная бесплатная CMS

У каждой легитимной бесплатной CMS есть ровно один канонический источник, и это никогда не сайт со словом «free downloads» в названии. Домен самого проекта по HTTPS, вот единственное правило. Всё остальное, агрегаторы, «порталы загрузок CMS», зеркала на форумах, это повторные загрузки неизвестного происхождения с неизвестными добавками внутри.

• WordPress: только wordpress.org. Не «wp-free-downloads», не ссылка из поста в блоге, не торрент.
• Joomla: downloads.joomla.org.
• Drupal: drupal.org, через страницу релизов или Composer.
• Grav, Pico, Bludit, WonderCMS: официальный сайт проекта или страница релизов на GitHub.
• Темы и плагины: официальный каталог на сайте самой CMS или магазин разработчика.
• Composer, npm или пакеты вашего дистрибутива, тоже подходят: они тянут из тех же канонических источников с прикреплёнными контрольными суммами.

Один верный признак: настоящие сайты проектов слегка скучные. Страница загрузки, кричащая тремя мигающими кнопками «DOWNLOAD NOW», рекламирует adware, и две из этих кнопок принадлежат кому-то совсем другому. Ещё одна полезная привычка: вводите домен сами или используйте закладку, созданную после однократной проверки, а не кликайте по первому результату поиска. Мальвертайзинг, платная реклама, имитирующая официальные страницы загрузки, это реальный канал распространения, и фальшивая страница часто стоит выше настоящей в результатах поиска.

Nulled-сборки: тёмная сторона бесплатных загрузок

«Nulled», это пиратская премиум-тема, плагин или расширение CMS с вырезанной проверкой лицензии. Кто-то покупает плагин за $59, убирает код активации и раздаёт бесплатно. Задайте очевидный вопрос: зачем незнакомцу тратить деньги, чтобы вы получили что-то бесплатно? Потому что полезная нагрузка, это и есть продукт. В сборку тихо добавляют скрытые бэклинки для спам-сетей SEO, бэкдор для админа на будущее или инжектор, который просыпается через месяцы после установки, когда вы давно перестали связывать это с той загрузкой.

Магазин клиента на WooCommerce почти год работал с nulled-плагином слайдера без видимых проблем. Затем скиммер карт активировался по расписанию. Устранение последствий, форензика, принудительные сбросы паролей, разбирательства с платёжным провайдером, обошлось примерно в сорок раз дороже лицензии на плагин. Бесплатная загрузка, дорогое обучение.

• Тревожный сигнал: сайты, предлагающие премиум-темы или плагины «100% бесплатно, по лицензии GPL, проверено на вирусы».
• Тревожный сигнал: ZIP, внутренние имена папок которого не совпадают с официальной структурой релиза.
• Тревожный сигнал: установщик, который просит отключить антивирус «для совместимости».
• Тревожный сигнал: всё, что описывается как «pre-activated» или «no license needed».
• Тревожный сигнал: ссылки на загрузку через URL-сокращалки, файлообменники или страницы с обратным отсчётом.

Что инфекции реально делают с вашим сайтом? В основном, сдают его в аренду. Спам-сети покупают инъекционные ссылки тысячами, чтобы поднять рейтинги сайтов с таблетками и казино. Операторы ботнетов добавляют ваш сервер в свой DDoS-пул. Команды скиммеров ждут именно магазины, потому что страницы оформления заказа, там, где живут номера карт. Ваш маленький пятистраничный блог не ниже их внимания; это товар с рыночной ценой в несколько долларов, а инфекция полностью автоматизирована.

Что проверить перед запуском бесплатной загрузки CMS

Тридцать секунд подготовки перед распаковкой экономят выходные потом. Мой чек-лист перед установкой, по порядку:

1. Домен совпадает с официальным сайтом проекта, буква за буквой. Следите за подменой символов, например «wordprress».
2. Номер версии, которую вы скачиваете, существует в официальных примечаниях к релизу или changelog проекта.
3. Проект жив: коммиты, релизы или публикации по безопасности за последние двенадцать месяцев.
4. Контрольная сумма или подпись опубликована рядом с файлом, хеш SHA-256, подпись GPG или и то, и другое.
5. Архив содержит файл лицензии, в котором написано то, что вы ожидаете: GPL, MIT или аналогичное.
6. Никто на собственном форуме проекта или в баг-трекере не предупреждает о текущем релизе.

Проверка скачанных файлов

Контрольные суммы звучат заумно, а занимают десять секунд. На Windows откройте терминал в папке загрузки и выполните: certutil -hashfile filename.zip SHA256. На macOS: shasum -a 256 filename.zip. На Linux: sha256sum filename.zip. Сравните результат с хешем на официальной странице загрузки, символ за символом. Совпадение означает, что файл, именно то, что опубликовал проект. Несовпадение означает: удалите и скачайте заново из источника, не разбирайтесь дальше, не «попробуйте всё равно».

Ещё две дешёвые проверки. Во-первых, закиньте ZIP в мультидвижковый сканер вроде VirusTotal до открытия. Во-вторых, бросьте взгляд на список файлов: ядро CMS должно состоять из PHP, шаблонов и ассетов. Подозрительные.exe-файлы, обфусцированные base64-блоки, запиханные в папки тем, или файлы с именами вроде «license-keygen.php», ваш сигнал уйти.

Установка на реальный хостинг без поломок

Большинство неудачных установок спотыкаются о скучные детали, а не о вредонос. Проверьте требуемую CMS версию PHP против того, что реально работает на хостинге, хостинги обожают по умолчанию ставить что-то древнее. Создайте свежую базу данных с собственным пользователем и надёжным паролем и никогда не используйте одного пользователя БД на нескольких сайтах; взлом одного тогда захватит все. Измените префикс таблиц БД со стандартного при установке, выберите админский логин, не равный «admin», и храните учётные данные в менеджере паролей, а не на стикере.

После завершения установки: удалите директорию установки, если она осталась, выставите папкам 755, а файлам 644 и убедитесь, что сайт грузится по HTTPS, прежде чем трогать что-либо ещё. Если CMS поддерживает, перенесите конфигурационный файл выше веб-корня.

Пара слов об однощёлковых установщиках вроде Softaculous, которые идут в комплекте с большинством shared-хостингов: это легитимный средний путь. Они берут релизы из официальных источников, создают базу данных и выставляют разумные права, достаточно для большинства людей и куда безопаснее, чем случайный портал загрузок. Компромисс, контроль: вы получаете версии, упакованные хостингом, иногда на релиз-два устаревшие. Для первой установки берите удобство. Для всего, что приносит доход, со временем освойте ручной путь, чтобы точно знать, что на вашем сервере.

После бесплатной загрузки CMS: первый час настройки

1. Сразу обновите всё, ядро может быть на минорную версию старше текущего патч-релиза.
2. Удалите стандартный контент, примеры постов и неиспользуемые bundled-темы и плагины. Мёртвый код, это поверхность атаки.
3. Настройте автоматические бэкапы с первого дня, в место вне того же сервера.
4. Принудительно включите HTTPS и перенаправляйте каждый HTTP-запрос.
5. Включите защиту входа: двухфакторную аутентификацию там, где есть, и rate limiting там, где нет.
6. Запишите путь восстановления, как вы восстановили бы этот сайт с нуля, пока это свежо в памяти.

И полезный ярлык: если причина, по которой вам нужна бесплатная загрузка CMS, запустить сайт, восстановленный из Wayback Machine, можете пропустить загрузку целиком. Деплои Restorix включают бесплатную однорайловую CMS в /webarchive-cms.php, редактирование контента, поиск-и-замена и файловый менеджер, с безопасным режимом по умолчанию и случайно сгенерированным паролем админа для каждого сайта. Без установщика, без базы данных, без загрузки откуда-либо, это обходит всю эту статью целиком. Процесс восстановления описан в руководстве.