Ücretsiz CMS İndirme: Güvenli İndirin, Zararlı Yazılımdan Kaçının

Temizlediğim en kötü site enfeksiyonu bir hackerdan gelmedi. Bir ZIP dosyasından geldi. Küçük bir mağaza sahibi, ücretli temaları ücretsiz sunan bir siteden 'premium' bir WordPress teması indirmişti ve on bir ay sonra ödeme sayfası kart numaralarını toplamaya başladı. CMS'in kendisi temizdi. İndirme dosyasının etrafındaki paket temiz değildi. Ücretsiz bir CMS indirme gerçekten ücretsiz ve gerçekten güvenlidir, ancak yalnızca doğru kaynaktan geliyorsa ve kontrol etmek için iki dakikanızı ayırırsanız. İkisini nasıl yaptığımı anlatayım.

Güvenli ücretsiz CMS indirme aslında nereden gelir

Her meşru ücretsiz CMS'in tam olarak bir tane resmi adresi vardır ve bu asla adında 'ücretsiz indirme' geçen bir site değildir. Tek kural, projenin kendi alan adının HTTPS üzerinden kullanılmasıdır. Bunun dışındaki her şey, toplayıcı siteler, 'CMS indirme portalları', forum aynaları, kökeni belirsiz ve içine ne eklendiği bilinmeyen yeniden yüklemelerdir.

• WordPress: yalnızca wordpress.org. 'wp-free-downloads' değil, blog yazısı bağlantısı değil, torrent değil.
• Joomla: downloads.joomla.org.
• Drupal: drupal.org, sürümler sayfası veya Composer üzerinden.
• Grav, Pico, Bludit, WonderCMS: projenin resmi sitesi veya GitHub sürüm sayfası.
• Temalar ve eklentiler: CMS'in kendi resmi dizini veya geliştiricinin kendi mağazası.
• Composer, npm veya dağıtımınızın paketleri de uygundur, aynı resmi kaynaklardan, sağlama toplamlarıyla birlikte çekilirler.

Güvendiğim bir ipucu: gerçek proje siteleri hafifçe sıkıcıdır. Üç yanıp sönen 'ŞİMDİ İNDİR' butonuyla çığlık atan bir indirme sayfası reklam yazılımı pazarlıyordur ve bu butonlardan ikisi tamamen başka birine aittir. Bir diğer iyi alışkanlık: ilk arama sonucuna tıklamak yerine alan adını kendiniz yazmak veya bir kez doğruladıktan sonra oluşturduğunuz bir yer imini kullanmaktır. Zararlı reklamcılık, resmi indirme sayfalarını taklit eden ücretli reklamlar, gerçek bir dağıtım kanalıdır ve sahte sayfa sıklıkla arama sonuçlarında gerçek sayfanın üstünde yer alır.

Nulled sürümler: ücretsiz indirmelerin karanlık yüzü

'Nulled', lisans kontrolü sökülmüş korsan premium tema, eklenti veya CMS eklentisi anlamına gelir. Biri $59'lık bir eklentiyi satın alır, aktivasyon kodunu çıkarır ve hiçbir şey karşılığında dağıtır. Apaçık soruyu sorun: bir yabancı, sizin bir şeyi ücretsiz almanız için neden para harcasın? Çünkü asıl ürün yükün kendisidir. Pakete sessizce SEO spam ağları için gizli geri bağlantılar, sonrası için bir yönetici arka kapısı veya kurulumdan aylar sonra uyanan ve sizin o indirmeyle ilişkilendirmeyi çoktan kestiğiniz bir enjektör eklenir.

Bir müşterimin WooCommerce mağazası, nulled bir slider eklentisini neredeyse bir yıl boyunca görünürde sorunsuz çalıştırdı. Sonra kart hırsızı zamanlayıcıyla devreye girdi. Temizlik, adli inceleme, zorunlu parola sıfırlamaları, ödeme sağlayıcısı itirazları, eklenti lisansının yaklaşık kırk katına mal oldu. Ücretsiz indirme, pahalı bir eğitim.

• Kırmızı bayrak: premium tema veya eklentileri 'yüzde yüz ücretsiz, GPL lisanslı, virüs taramasından geçmiş' olarak sunan siteler.
• Kırmızı bayrak: iç klasör adları resmi sürüm yapısıyla eşleşmeyen bir ZIP.
• Kırmızı bayrak: sizden antivirüsünüzü 'uyumluluk için' devre dışı bırakmanızı isteyen bir yükleyici.
• Kırmızı bayrak: 'önceden etkinleştirilmiş' veya 'lisans gerekmez' olarak tanımlanan her şey.
• Kırmızı bayrak: URL kısaltma servisleri, dosya kilitleyiciler veya geri sayım sayfaları üzerinden yönlendirilen indirme bağlantıları.

Bu enfeksiyonlar sitenizle gerçekte ne yapar? Çoğunlukla onu kiraya verirler. Spam ağları, ilaç ve casino sıralamalarını yükseltmek için binlerce enjekte edilmiş bağlantı satın alır. Botnet operatörleri sunucunuzu DDoS havuzlarına ekler. Kart hırsızları özellikle mağazaları bekler çünkü kart numaraları ödeme sayfalarında bulunur. Beş sayfalık küçük blogunuz onların ilgi alanı dışında değildir; birkaç dolarlık piyasa fiyatı olan bir emtiadır ve enfeksiyon tamamen otomatiktir.

Ücretsiz CMS indirmesini çalıştırmadan önce kontrol edilecekler

Herhangi bir şeyi açmadan önce otuz saniyelik bir ön çalışma, sonraki hafta sonlarınızı kurtarır. Kurulum öncesi kontrol listem, sırasıyla:

1. Alan adı, projenin resmi sitesiyle harf harf eşleşiyor. 'wordprress' gibi karakterleri değiştirilmiş sürümlere dikkat edin.
2. İndirdiğiniz sürüm numarası, projenin resmi sürüm notlarında veya değişiklik günlüğünde mevcut.
3. Proje hâlâ aktif: son on iki ay içinde commit'ler, sürümler veya güvenlik gönderileri var.
4. Dosyanın yanında bir sağlama toplamı veya imza yayımlanmış, bir SHA-256 karması, GPG imzası veya her ikisi.
5. Arşiv, beklediğinizi söyleyen bir lisans dosyası içeriyor: GPL, MIT veya benzeri.
6. Projenin kendi forumunda veya sorun takibinde kimse mevcut sürüm hakkında uyarı vermiyor.

İndirdiğiniz dosyaları doğrulama

Sağlama toplamları teknik gibi görünür ama on saniye sürer. Windows'ta indirme klasöründe bir terminal açın ve şunu çalıştırın: certutil -hashfile filename.zip SHA256. macOS'ta: shasum -a 256 filename.zip. Linux'ta: sha256sum filename.zip. Çıktıyı, resmi indirme sayfasındaki karmayla karakter karakter karşılaştırın. Eşleşme, dosyanın projenin yayımladığıyla birebir aynı olduğu anlamına gelir. Uyuşmazlık, dosyayı silip kaynaktan yeniden indirmek demektir, daha fazla araştırmayın, 'yine de deneyeyim' demeyin.

İki ucuz kontrol daha. İlk olarak, ZIP'i açmadan önce VirusTotal gibi çok motorlu bir tarayıcıya bırakın. İkinci olarak, dosya listesine bir göz atın: bir CMS çekirdeği PHP, şablonlar ve varlıklardan oluşmalıdır. Rastgele.exe dosyaları, tema klasörlerine sıkıştırılmış gizlenmiş base64 yığınları veya 'license-keygen.php' gibi adlandırılmış dosyalar, uzaklaşmanız için işaretinizdir.

Gerçek bir barındırmada işleri bozmadan kurulum

Başarısız kurulumların çoğu, kötü amaçlı yazılımdan değil sıkıcı ayrıntılardan dolayı başarısız olur. CMS'in gerektirdiği PHP sürümünü, barındırıcınızın fiilen çalıştırdığı sürümle karşılaştırın, barındırıcılar eski bir sürümle varsayılan olarak gelmeyi sever. Kendi kullanıcısı ve güçlü parolası olan yeni bir veritabanı oluşturun ve bir veritabanı kullanıcısını birden çok sitede asla yeniden kullanmayın; birindeki ihlal o zaman hepsini ele geçirir. Kurulum sırasında veritabanı tablo önekini varsayılandan değiştirin, 'admin' olmayan bir yönetici kullanıcı adı seçin ve kimlik bilgilerini yapışkanlı bir nota değil, bir parola yöneticisinde saklayın.

Yükleyici tamamlandıktan sonra: arkasında bir kurulum dizini bıraktıysa silin, klasörleri 755 ve dosyaları 644 olarak ayarlayın ve başka bir şeye dokunmadan önce sitenin HTTPS üzerinden yüklendiğini doğrulayın. CMS destekliyorsa, yapılandırma dosyasını web kökünün üstüne taşıyın.

Çoğu paylaşımlı barındırıcının paketlediği Softaculous gibi tek tıkla yükleyiciler hakkında bir söz: bunlar meşru bir orta yoldur. Sürümleri resmi kaynaklardan çekerler, veritabanı oluşumunu hallederler ve mantıklı izinler ayarlarlar, çoğu kişi için yeterince iyidir ve rastgele bir indirme portalından çok daha güvenlidir. Takas kontrol kaybıdır: barındırıcının paketlediği sürümleri alırsınız, bazen bir veya iki sürüm geride. İlk kurulum için kolaylığı tercih edin. Gelir getiren her şey için, sunucunuzda tam olarak ne olduğunu bilmek adına sonunda manuel yolu da öğrenin.

Ücretsiz CMS indirmesinden sonra: ilk kurulum saati

1. Her şeyi hemen güncelleyin, çekirdek, mevcut yama sürümünün bir alt sürümü olabilir.
2. Varsayılan içerikleri, örnek yazıları ve kullanılmayan paketlenmiş temaları ve eklentileri silin. Kullanılmayan kod, saldırı yüzeyidir.
3. Birinci gün, aynı sunucu dışında bir yere otomatik yedeklemeler ayarlayın.
4. HTTPS'yi zorunlu kılın ve her HTTP isteğini yönlendirin.
5. Giriş korumasını etkinleştirin: sunuluyorsa iki faktörlü kimlik doğrulama, yoksa hız sınırlama.
6. Kurtarma yolunuzu not alın, bu siteyi sıfırdan nasıl geri yükleyeceğinizi, tazeyken.

Bilmeye değer bir kısayol: ücretsiz CMS indirmek istemenizin nedeni Wayback Machine'den geri yüklenen bir site çalıştırmaksa, indirme adımını tamamen atlayabilirsiniz. Restorix dağıtımları /webarchive-cms.php adresinde ücretsiz tek dosyalık bir CMS içerir, içerik düzenleme, arama ve değiştirme ile bir dosya yöneticisi, varsayılan olarak güvenli mod açık ve siteye özel rastgele oluşturulmuş bir yönetici parolası ile. Yükleyici yok, veritabanı yok, hiçbir yerden çekilen bir şey yok; bu da tüm bu makaleyi devre dışı bırakır. Geri yükleme akışı eğitimde anlatılmıştır.