Сравнение 5 популярных cms: особенности, плюсы, минусы

Признаки для поиска наличия вредоносного кода в темах WordPress

Прежде чем обсуждать вопросы «Как обнаружить вредоносный код или вредоносное ПО в темах WordPress», давайте разберем места, где злоумышленники обычно вставляют вредоносный код. Двумя распространенными целями хакеров являются файлы footer.php и style.css.

Кроме того, вы должны вручную проверить все файлы в теме. Темы WordPress могут включать в себя некоторые основные файлы для его функционирования. Но если вы обнаружите дополнительные файлы, которые вызываются без функции php, тогда ваши темы будут заражены серьезным вредоносным ПО.

Признаки, которые выдают, что ваши темы WordPress заражены вредоносным контентом:

1. Предупреждающие сообщения Google. Ваш веб-сайт будет отображаться с предупреждением о вредоносном ПО с полностью или частично заблокированным сайтом.
2. WordPress «белый экран смерти». Когда ваш сайт внезапно начинает показывать «белый экран смерти», это означает, что ваш сайт, эксплуатируется с заражением вредоносным ПО.
3. Поврежден htaccess. Если ваш файл htaccess поврежден, он продолжает перенаправлять ваш сайт на другие спам-ссылки, причину которую вы не можете понять.
4. Всплывающие окна. Когда есть несколько всплывающих окон, запущенных на вашем веб-сайте для запуска перенаправления по вредоносным ссылкам или других всплывающих окон.

Elgg

• Профиль. Elgg поставляется с набором полей профиля, которые могут быть дополнены или изменены администратором сайта. Используя мощную систему виджетов, или элементов, пользователи могут выбрать из галереи имеющиеся виджеты для создания полного, разнообразного и индивидуального профиля. Профиль Elgg действует как широкое поле для обзора сайта и внешних источников, представления пользователем информации о себе, а также как удобное средство общения.
• Активность. Система учета активности, которая дает возможность легко и быстро прослеживать деятельность по всему сайту, причем деятельность как Ваших друзей, так и Вашу собственную. Панель активности может стать первой страницей для вошедших на сайт пользователей, или же Вы можете предоставить пользователям возможность самим формировать первую страницу с помощью виджетов (или элементов). На этой странице пользователи смогут видеть новых членов социальной сети, а также писать сообщения в микроблог.
• Личные сообщения
• Уведомления
• Стена
• Микроблог (а-ля твиттер). Микроблоги позволяют превратить Ваш сайт в персональный Twitter. Пользователи могут писать сообщения в микроблог через сайт или с помощью SMS. Вы можете отправлять сообщения из своего микроблога в Twitter, и наоборот — Elgg поддерживает тесную интеграцию с сервисом Twitter.
• Группы. Пользователи могут создавать группы вокруг интересующей темы и участвовать в совместной групповой дискуссии, обмениваться файлами и изучать страницы групп.
• Блоги.  Инструменты для блогеров обладают следующими полезными функциями: Автосохранение, Категории, Переключатель переписки, Предварительный просмотр, Возможность вставлять изображения, музыку, видео и другие медиа
• Социальные закладки.
• Фото-галерея
• Видео-галерея
• Документы, страницы (с возможностью совместной работы). Плагин Pages позволяет хранить иерархически-организованные страницы с текстом, а также устанавливать, кто может читать и писать их.
• Внешние страницы — это простой способ для администраторов сайта заполнить обязательные страницы «О сайте», «Правила» и «Конфиденциальность».
• Вставка медиа.
• Файлы. Elgg оснащена полноценным файлохранилищем, который поддерживает широкий спектр форматов файлов, включая фотографии, документы Word, аудиозаписи, видео, PDF и другие.
• Панель информации
• Категории
• Доступ
• FAQ, различные модули вопросов-ответов, голосования
• Tinymce
• OpenID

Плагин Exploit Scanner

И, наконец, расскажу про самый мощный способ, который уже для продвинутых пользователей. Если Вы не разбираетесь в тонкостях PHP (как я), то лучше с ним не связываться.

Это настоящая мечта параноика, так как этот плагин настолько подозрителен, что ставит все под сомнение : – ). Например, он считает опасным код роликов от YouTube, Vime, комментарии…

Но, если есть проблема, то он действительно поможет разобраться что к чему.

Когда у меня возникла проблема с первым моим бложиком (мир его праху), то простым сравнением кода с чистой установкой WP, я довольно быстро нашел вредоносный код в одном из плагинов. Пришлось повозиться, конечно и глаза покраснели, но нашел заразу.

Что такое Вордпресс

WordPress — бесплатный движок сайта, который позволяет создавать страницы без знания HTML-кода. Сейчас это самая популярная платформа для сайтов в интернете. Благодаря своей популярности она обросла бесконечным количеством надстроек и возможностей, поэтому сейчас на Вордпрессе можно сделать ВСЁ.

Причина такой популярности — в бесплатности, открытом коде и плагинах. Вордпресс — система с открытым исходным кодом, а это значит, что каждый может посмотреть, как она устроена, и использовать её для своих целей. Благодаря этому программисты поняли, как работает Вордпресс, и сделали для него множество тем и плагинов.

Вордпресс — это движок, или, по-заморскому, CMS, Content management system. По сути это большая программа на PHP, которая умеет хранить и выводить ваши материалы в каком-то дизайне. Грубо говоря, вы пишете статью и сохраняете её в Вордпрессе, а уже Вордпресс беспокоится о вёрстке, оформлении, навигации, оптимизации для поисковиков и всём остальном.

Работая в Вордпрессе, вы не обязательно должны знать код, программирование и стили — система может взять всё это на себя. Но если вы всё это знаете, у вас в руках будет более тонко настраиваемый инструмент.

Многим нравится Вордпресс потому, что за него не нужно платить — это тоже плюс открытых исходников. Его можно легально устанавливать и использовать для своих нужд: от сайта-визитки до корпоративного портала.

Наш журнал «Код» тоже работает на Вордпрессе, но не из-за бесплатности, а потому что Вордпресс довольно легко поддерживать: почти для всего есть готовые плагины, а встроенные инструменты Вордпресса надёжны и хороши.

Поставить себе Вордпресс несложно: большинство хостингов предоставляют такую услугу бесплатно, а на остальные он ставится вручную. Как это сделать самому — расскажем в одной из ближайших статей.

WordPress безопасности

Наконец, давайте обсудим, как защитить сам WordPress. Убедитесь, что эти вещи ниже, вторая натура.

23. Установите плагин безопасности WordPress
Плагины безопасности разработаны по определенной причине. Поскольку проверка вашего веб-сайта на наличие вредоносных и других вредоносных программ занимает слишком много времени, вам необходим способ автоматизации этого процесса.

Плагин безопасности сделает это за вас, поэтому вам не понадобятся дополнительные технические навыки. Sucuri и WordFence отличные варианты.

24. Отключить редактирование файлов
На WordPress легко войти и редактировать свои файлы прямо в браузере. Это означает, что любой, кто может получить доступ к вашему сайту, может испортить ценный код и файлы. Это доступно через Appearance > Editor. Отключить эту функцию для дополнительной безопасности.

25. Обновление WordPress
Да, самый простой способ обеспечить безопасность вашего сайта WordPress — настроить автоматические обновления. Каждое обновление поставляется с расширенными функциями безопасности, что означает, что ваш сайт будет более безопасным. То же самое касается тем и плагинов.

26. Будьте осторожны с новыми пользователями
Если у вас есть несколько авторов в одном блоге, будьте осторожны при добавлении новых пользователей. Чем больше людей имеют доступ к панели администратора, тем больше проблем может пойти не так. Если возможно, ограничьте их доступность ключевыми функциями.

27. Контролируйте свою деятельность
Вы хотите следить за тем, что делают ваши пользователи. Это верно для любого сайта с несколькими авторами. С использованием Плагин WP Security Audit покажет вам полный список действий пользователя, и вы даже можете получать отчеты, отправленные на вашу электронную почту.

28. Удалить ваш номер версии WordPress
Если ваша версия WordPress находится на видном месте на вашем сайте (и, вероятно, так и есть), она может быть использована хакерами для создания идеальной атаки на ваш сайт. Вы можете скрыть это, добавив код для вашего файла функций.

29. Держите ваш компьютер в безопасности
Если ваш компьютер или устройства небезопасны, ни ваш сайт. Установите вредоносный и антивирусный сканер на свой компьютер, чтобы быть в курсе любых проблем безопасности. Никогда не заходите на свой сайт WordPress через общедоступный Wi-Fi или незащищенный сайт.

30

Обучайтесь
И последнее, но не менее важное: найдите время, чтобы узнать о наиболее распространенных атаках WordPress. Чем больше вы знаете о том, как работают хакеры, тем лучше у вас будет возможность бороться с атаками, прежде чем они произойдут

Использование терминала (SSH) для поиска уязвимостей

Самым действенным является проверка кода сайта на содержание условно опасных конструкций. Именно в этом нам помогает SSH доступ к сайту и знание консольных команд Linux. Даный способ сработает, если вы знаете зараженные файлы и можете посмотреть их код. Это нужно для того, чтобы обозначить уникальные фрагменты или идинтификаторы переменных. Так как CMS WordPress написана на PHP, нужно хотя бы базовое знание языка и понимание синтаксиса.

В преведенном выше примере рекомендую искать код используя следующую команду:

grep -R ‘@include «\‘

Это команда выведет список всех файлов, которые содержат фрагмент кода @include «\. Таким же образом можно искать и другие фрагменты кода, например:

• !defined(‘ALREADY_RUN
• $_COOKIE;
• «base» . «64_decode»

WordfenceSecurity – плагин для защиты Вордпресс-блога от вирусов

Если ни один из вышеперечисленных способов вам не пришелся по душе, рекомендую воспользоваться плагином Wordfence Security для WordPress. Его уникальность заключается в том, что он берет каждый файл вашего сайта и проверяет на вирусы, сравнивая с аналогичным дефолтным файлом Вордпресса.  Если плагин обнаруживает расхождения, то выводит файл с кодом, отличным от кода «чистого» движка, в отчет.

Устанавливаем Wordfence Security из репозитория, активируем. В консоли появится раздел «Wordfence».

Переходим во вкладку «Scan» и жмем «Start a Wordfence Scan». Сканирование запускается. По завершению, если никаких отклонений от эталонов в рабочих файлах выявлено не будет, вы получите соответствующее сообщение:

Если же антивирус посчитает какие-то файлы подозрительными, уведомления будут содержать их названия и текст о том, что они отличаются от исходных:

В разделе «Live Traffic» отображаются все обращения к блогу. Чем больше трафика сгенерировано одним IP, тем больше вероятность, что это —  попытка хакерской атаки. В настройках есть возможность ограничить количество неудачных авторизации («Options» — «Login Security Options»). 

Вы можете заблокировать доступ к блогу по IP-адресу всех подозрительных посетителей в разделе «Blocked IPs».

Признаки заражения сайта

Первыми сигналами, говорящими о том, что ваш веб-ресурс столкнулся с проблемами безопасности, являются:

• блокировка сайта со стороны поисковых систем;
• уведомления от хостинг-провайдера о наличии вредоносного кода;
• жалобы посетителей на нежелательную рекламу, автоматические перенаправления на сторонние сайты.

Первое действие, которое необходимо осуществить при появлении подобных сигналов, – это провести полную проверку интернет-ресурса. Проверка на вирусы состоит из двух этапов:

1. статическая проверка файлов и базы данных на сервере хостера;
2. динамическое тестирование страниц сайта на вирусный код, скрытые редиректы и другие проблемы, которые чаще всего невозможно обнаружить при первом варианте сканирования.

Предположим, вы провели полное сканирование сайта на сервере хостера, устранили или даже не обнаружили вредоносных кодов на проверяемых страницах и в подключаемых файлах. Несмотря на это, проблема осталась, поисковик не снимает блокировку, а посетители по-прежнему сталкиваются с нежелательным редиректом. Дело в том, что статический анализ на наличие вирусных скриптов и кодов не всегда эффективен. Например, вредоносный код может автоматически подгружаться с другого ресурса или выполнять несанкционированные действия при определенных условиях:

• по завершении загрузки страницы в нее добавляется javascript, который выполняет drive-by-download атаку;
• пользователь закрывает страницу, в этот момент подгружается код и открывается popunder с нежелательным контентом;
• посетитель сайта находится на странице несколько секунд, и только после этого его перенаправляют на платную подписку за смс.

Для выявления и устранения подобных проблем требуется использование более «продвинутых» антивирусных сканеров. Такие сервисы проводят не только статический анализ сайта, но эмулируют реальное поведение посетителей. Робот сканера совершает определенные действия на сайте, запоминает и анализирует изменения, накапливает данные для итогового отчета. Продвинутый веб-сканер проверяет код страницы и объекты на ней как до начала выполнения всех скриптов, так и спустя некоторое время. Например, код зараженного виджета может через несколько секунд или по движению мыши загрузить скрипт, который вставит на страницу javascript с редиректом на загрузку опасного .apk-файла. Естественно, никакой статический анализ или поиск по файлам не сможет выявить такую угрозу.

В такой ситуации на помощь приходят веб-сканеры, которые выполняют динамический и статический анализ страниц сайта на вредоносный код. Очевидно, что наличие функционала эмуляции поведенческой активности служит основным критерием при определении наиболее подходящего антивирусного веб-сканера. В данной статье сделаем краткий обзор таких ресурсов. Для наглядности экспресс-тестирования я использую один из сайтов, разработанных мною в CMS-конструкторе WIX.

Не используйте в качестве имени пользователя

Помните об этом. Возможно, это самый первый из основных шагов для обеспечения безопасности WordPress, который могут предпринять пользователи платформы. Сделать его несложно, инсталлятор позволяет легко соблюсти такое правило.

Сегодня большинство атак нацелены на wp-admin / wp-login доступ с использованием подбора комбинации имени пользователя и пароля, известном как атака методом «грубой силы». Здравый смысл подсказывает — если вы удалите имя <admin>, то удалите и возможность прямой атаки.

Да, остается вероятность того, что хакер угадает новое имя пользователя, перебирая идентификаторы и имена пользователя. Но безопасность – это не устранение риска, а его снижение. Удаление принятых по умолчанию имен пользователя <admin> или <administrator> поможет защититься от обычных автоматических атак методом подбора.

Как минимум, вы усложните хакеру жизнь при подборе произвольного имени пользователя. Чтобы не было путаницы, уточним: речь идет исключительно об использовании слов <admin> и <administrator> в качестве имени пользователя, а не о правах администратора.

Создайте новое имя пользователя в меню «Пользователь —> Новый пользователь» и назначьте ему права администратора. После этого удалите пользователя <admin>. Не переживайте о сохранности публикаций или страниц, которые были созданы под его именем.

WordPress любезно поинтересуется у вас: «Что вы хотите сделать с контентом, принадлежащим этому пользователю?», а затем предложит на выбор удалить весь контент или привязать его к новому пользователю (например, созданному вместо <admin>).

Подробнее: 3 способа изменить логин администратора wordpress

CMS для виртуальных магазинов

1С-Bitrix

Система Битрикс универсальная и используется для создания довольно крупных интернет-порталов. Разработана линейка продуктов для реализации любых веб-проектов.

Плюсы:

• разнообразие готовых решений для реализации различных проектов и множество готовых шаблонов и функциональных дополнений;
• регулярно обновляется;
• отзывчивая тех.поддержка;
• на многих хостингах CMS Битрикс является предустановленной с оптимально подобранной конфигурацией сервера для обеспечения быстрой работы;
• Bitrix просто и полноценно интегрируется с 1С «Бухгалтерия» и «Предприятие».

Минусы:

Многих пользователей сети, которые нацелены на создание своего проекта, интересует вопрос, какому движку отдать предпочтение – WordPress или Битрикс? Это зависит от того, чем именно вы хотите заниматься.

Если вы мечтаете о собственном блоге, тогда вам подойдет движок Вордпресс. Если же вас привлекает перспектива создать крупную кампанию в интернете, либо хотите иметь собственный виртуальный магазин, тогда лучше остановить выбор на платформе Битрикс.

OpenCart

Еще одна CMS для электронной торговли. Как и ИнстантЦМС распространяется бесплатно и имеет открытый код. Имеет гибкие настройки и проста в использовании. Разработаны различные дополнения, имеется встроенная система отчетов.

OpenCart – один из самых простых в использовании движков, с помощью которого можно быстро создать собственный онлайн-магазин и подключить всевозможные платежные системы. С настройками данной платформы может разобраться даже новичок, благодаря чему она пользуется большой популярностью.

Magento

Плюсы:

• имеет много расширений и подключаемых модулей для создания безграничного функционала и возможностей для интернет-торговли;
• система с открытым кодом;
• более 1000 вариантов шаблонов оформления;
• своя система аналитики посещаемости страниц покупателями и совершенных продаж;
• можно подключать разные системы приема платежей и принимать различные валюты;
• удобная система управления товарами и специальными предложениями.

Недостатки:

• админка не простая в использовании;
• для рынка рунета еще не достаточно адаптирована, в то время как в мире, является одной из популярнейших;
• расходы на оплату услуг профессиональных программистов.

UMI.CMS

Если вы не знаете, на каком движке лучше сделать сайт для небольшого коммерческого проекта, то данная система станет отличным вариантом. Есть платная и бесплатная версия этого сервиса, однако вторая ограничивает количество страниц сайта. Их можно создать не больше 10.

Данная система  имеет довольно широкий функционал и привлекательный интерфейс. К тому же она стала работать намного быстрее других платформ, а скорость загрузки страниц на сайте очень важна для посетителей.

Другие

Какой движок для интернет магазина лучше, сказать трудно, поскольку все зависит от ваших возможностей и пожеланий. Однако большинство пользователей склонны к выбору в пользу 1 и 2 вариантов.

Нагрузка на сервер и низкая скорость работы.

Как следствие проблемы, обозначенной выше, сайт на WP может легко начать тормозить и оказывать существенную нагрузку на сервер. Неоптимизированный код, а также некоторые другие вещи вроде неоптимизированных изображений могут значительно снизить скорость загрузки страниц. Сайт работает медленнее – поисковые системы понижают его в выдаче, да и сами пользователи начинают все реже заходить на него. А при повышенной нагрузке на сервер вам начнет писать хостер с требованием разобраться с проблемой.

И если человек не очень знаком с сайтостроением, он начинает паниковать «Что происходит с моим сайтом? Что делать? Кто может починить?». Поэтому у меня всегда вопрос к тем, кто советует WP направо и налево – вы уверены, что человек сможет освоить его и правильно использовать его возможности? Они вообще ему нужны?

Prestashop

• Возможность использования водяных знаков на фотографии
• Отзывы и оценки товаров клиентами
• Отображение цены с налогом или без него
• Отображение количества товаров на складе
• Сортировка товаров по разным параметрам (релевантность, цена)
• Показ скидок в процентах
• Отображение производителей и брендов
• Опция «отправить другу»
• Оплата банковским переводом, чеком, наличными при доставке, GoogleCheckout, PayPal, Moneybookers, HiPay, QIWI, WebMoney, ЯндексДеньги, Робокасса
• Статистика
• При установке доступны для выбора 8 языков: английский, французский, испанский, немецкий, итальянский, португальский, голландский и русский
• Автоматический пересчёт всех цен в любую валюту
• Синхронизация валют с действующим курсом
• Пересчёт налогов по ставкам страны (региона) покупателя

ОписаниеСкачатьДемо

WordPress вирусы: причины попадания на сайт и симптомы заражения

Поскольку WordPress является чрезвычайно открытой системой (данная CMS с открытым исходным кодом). Одной из часто встречающихся проблем из-за этого, является вредоносное ПО, которое может попасть на сайт различными путями:

• От фрилансеров, выполняющих какую-то работу за вас, но, возможно, испытывающих недостаток в бдительности, чтобы неосознанно вызвать заражение вашего проекта.
• Из-за использования плагинов и шаблонов, скачанных из непроверенных источников. Зачастую это касается премиальных платных продуктов, которые вы скачиваете бесплатно.
• По причине беспечности самих владельцев сайтов, например небеpопасное использование FTP, не надежный пароль и тд.

Безусловно существуют и другие пути «подхватить» wordpress вирусы, такие как не надежный хостинг, целенаправленная атака на ваш сайт конкурентами или через слабые места в самом ВордПресс.

WordPress вирусы: симптомы

Это знакомая история, и обычно она звучит так: вы нанимаете кого-то, чтобы внести некоторые изменения в ваш проект WordPress — может быть, даже какую-то разработку, и тогда все кажется просто отлично, но через некоторое время ваш сайт WordPress начинает работать, занимая больше системных ресурсов, чем следовало бы, иногда сбои с внутренними ошибками сервера 500 или отображение какого-либо неправильного поведения.

Другой ситуацией может быть обнаружение исходящих ссылок с вашего сайта, в панели webmaser.yandex.com, на ресурсы, которые вы видите впервые. Бывает, что при переходе на ваш сайт, например с мобильного устройства срабатывает редирект на сторонний ресурс, при этом с ПК сайт работает в штатном режиме.

И тогда вы могли бы даже обвинить в этом хостинг и недостаток ресурсов

При этом, казалось бы код был уже проверен и оптимизирован, меры предосторожности были приняты, верно? Что может быть не так тогда?. Что ж, вот плохие новости: может быть, сканирование вашего провайдера / облачного сервиса на вредоносное ПО было не таким тщательным, как им показалось и антивирус для ВордПресс пропустил какую-то угрозу

Возможно, ваш сайт WordPress  был незаметно заражен вредоносным ПО. В любом случае велика вероятность wp-vcd позитивности на сайте и если это так, то ниже разберемся как это проверить, а также, как с этим нужно бороться

Что ж, вот плохие новости: может быть, сканирование вашего провайдера / облачного сервиса на вредоносное ПО было не таким тщательным, как им показалось и антивирус для ВордПресс пропустил какую-то угрозу. Возможно, ваш сайт WordPress  был незаметно заражен вредоносным ПО. В любом случае велика вероятность wp-vcd позитивности на сайте и если это так, то ниже разберемся как это проверить, а также, как с этим нужно бороться.

Преимущества WordPress

• Главное преимущество – CMS бесплатна. Для сравнения, от 1С-Битрикс стоит 15 900 рублей.
• Открытый код платформы дает разработчику возможность самостоятельно вносить изменения и дорабатывать веб-ресурс.
• У движка огромный набор различных дополнений, расширений, шаблонов, причем как коммерческих, так и бесплатных.

Например, популярный SEO-плагин – Yoast SEO с бесплатной и платной версиями: 

Yoast SEO нужен для создания карты сайта, управления заголовками, описаниями и ключевыми словами, оптимизации страниц для социальных сетей и прочих задач, важных для SEO.

Бесплатный плагин для создания форм обратной связи – Contact Form 7, позволяет создать несколько разных форм, настроить их внешний вид, настроить отправку данных на почту. Есть и коммерческий брат – Gravity Forms с расширенным функционалом, с его помощью можно создать опрос, провести исследование или сделать викторину.

Есть как бесплатные темы для сайтов, например, шаблон для пекарен: 

Так и коммерческие, например,

• В случае возникновения каких-либо вопросов в работе с WordPress можно поискать информацию в документации или обратиться к опытным специалистам на .
• Система существует уже много лет и продолжает активно развиваться и совершенствоваться, регулярно появляются как официальные обновления, так и новые пользовательские дополнения.
• CMS подойдет для разработки и сайта-визитки на 10 страниц, и крупного информационного портала с разветвленной структурой на множество страниц.
• WordPress имеет вполне понятный интерфейс административной части, поэтому работать в системе легко:

Движок просто установить на любой хостинг: большинство популярных хостеров имеют встроенный инструмент установки WordPress.

Некоторые плюсы и минусы WordPress связаны: в каких-то случаях возможности упрощают разработку, и они же усложняют решение возможных проблем.