Как защитить свой сайт интернет магазина

[DmitriyVetrov]

Всем добра! Открываю интернет магазин интересных товаров. Регистрация на сайте и обратная связь через почту. Вопрос в следующем: может ли хацкер каким то образом, взломать сайт и получить доступ к базе данных покупателей, а именно к связке почта>логин >пароль, так как в личном кабинете есть физический адрес доставки.?
Если это возможно, подскажите стратегию действий, хочу сам себя проверить.

 

[Andhacker]

Всем добра! Открываю интернет магазин интересных товаров. Регистрация на сайте и обратная связь через почту. Вопрос в следующем: может ли хацкер каким то образом, взломать сайт и получить доступ к базе данных покупателей, а именно к связке почта>логин >пароль, так как в личном кабинете есть физический адрес доставки.?
Если это возможно, подскажите стратегию действий, хочу сам себя проверить.

Зависит от уязвимости движка интернет магазина (cms). Если в конкретной версии появится уязвимость, то она же будет и на вашем сайте. Злоумышленник может воспользоваться этим и получить доступ к почте и логину.

 

[DmitriyVetrov]

Спасибо, а как самостоятельно проверить есть ли уязвимость? Какие инструменты есть?

 

[Andhacker]

Спасибо, а как самостоятельно проверить есть ли уязвимость? Какие инструменты есть?

Используются сканеры уязвимлстей

Самое простое открыть 2ip и узнать версию cms сайта

 

[DmitriyVetrov]

Понял, спасибо огромное.

 

[alfabuster]

Спасибо, а как самостоятельно проверить есть ли уязвимость? Какие инструменты есть?

Есть онлайн инструменты, причем бесплатные

Ссылка скрыта от гостей

На тех же сайтах есть рекомендации по защите. Самое простое, что можно сделать уже сейчас это прописать HTTP заголовки в корне вашего сайта файла .htaccess пропишите основные:

<IfModule mod_headers.c>
Header set Strict-Transport-Security "max-age=31536000" env=HTTPS
Header set X-XSS-Protection "1; mode=block"
Header set X-Content-Type-Options nosniff
Header always append X-Frame-Options SAMEORIGIN
Header set X-Permitted-Cross-Domain-Policies "none"
Header set Referrer-Policy "no-referrer"
Header always set Feature-Policy "fullscreen 'none' "
Header set Expect-CT 'enforce, max-age=43200, report-uri="https://ваш урл/report"'
</IfModule>

А остальные уже добавляйте либо убирайте, тут как говорится на вкус и цвет...

 

[alfabuster]

Злоумышленник может воспользоваться этим и получить доступ к почте и логину.

Доступ к почте злоумышленник получит в том случае если пароль от админки и от почты одинаковый.

Если почта защищена двухфакторной аутентификацией (причем второй фактор не СМС код на телефон, а код с приложения E-Num или Google Autentificator), то злоумышленник получит болт, а не доступ.

К тому же сейчас есть возможно прикрутить 2fa практически на любой сайт. Так что ТС пользуйтесь двухфакторной аутентификацией. Да иногда геморойно вводить все эти коды, но это действенный метод захиты, а безопасность превышего всего...

 

[Pulsera]

Спасибо, а как самостоятельно проверить есть ли уязвимость? Какие инструменты есть?

А какая у тебя CMS используется?)

 

[DmitriyVetrov]

Доступ к почте злоумышленник получит в том случае если пароль от админки и от почты одинаковый.

Если почта защищена двухфакторной аутентификацией (причем второй фактор не СМС код на телефон, а код с приложения E-Num или Google Autentificator), то злоумышленник получит болт, а не доступ.

К тому же сейчас есть возможно прикрутить 2fa практически на любой сайт. Так что ТС пользуйтесь двухфакторной аутентификацией. Да иногда геморойно вводить все эти коды, но это действенный метод захиты, а безопасность превышего всего...

Спасибо за советы, обязательно так и сделаю!
Я наверное немного некорректно задал вопрос, а он был в следующем. Сможет ли злоумышленник заполучить базу данных клиентов (тх логины и пароли), если взломает сайт?

 

[Pulsera]

Спасибо за советы, обязательно так и сделаю!
Я наверное немного некорректно задал вопрос, а он был в следующем. Сможет ли злоумышленник заполучить базу данных клиентов (тх логины и пароли), если взломает сайт?

Ну если они хранятся в базе данных, то конечно сможет). А если на сайте еще стоит хеш-функции, то пароли будут просто зашифрованы и их придется злоумышленнику расшифровывать подбором.

 

[alfabuster]

Ну если они хранятся в базе данных, то конечно сможет). А если на сайте еще стоит хеш-функции, то пароли будут просто зашифрованы и их придется злоумышленнику расшифровывать подбором.

Как правило, если базу слили, то ее все ровно расшифруют, хоть там даже будет bcrypt, это все упирается во время, а чтобы его сократить, прибегнут к мощной вычислительной технике...