WordPress Community Vulnerable

Baru baca Feedreader trus menemukan kenyataan bahwa WordPress memiliki banyak kelemahan! BlogSecurity » WordPress Community Vulnerable.
Ini sangat mengerikan mengingat wordpress adalah web application paling populer saat ini. Sehingga kelemahan terhadap aplikasi ini bisa mempengaruhi hampir sebagian besar website terutama blog yang ada di internet.

Apakah weblog Anda masuk dalam daftar beresiko? Gue ngga mau beritahu versinya berapa, entar dihack lagi

Untuk mendownload versi-versi wordpress, bisa menggunakan link ini. Vote untuk Drupal sebagai web application terbaik dan populer saat ini di sini.

Masalah CHMOD

Situs paling parah yang saya temukan bulan ini, sehariberbagi.org, menggunakan limbo-cms dan menset hampir semua permission file dan foldernya menjadi 0777 (word writable)!

Akhirnya situs ini dideface (sudah saya perbaiki) bahkan yang melaporkan adalah datacenter kami sendiri. Server sebenarnya sudah dilengkapi tool untuk menanggulangi cross site scripting atau serangan-serangan yang menggunakan kelemahan skrip yang dipakai oleh situs. Namun biasanya pembuat website tidak terlalu peduli dengan masalah ini. Yang penting skrip jalan. Biasanya mungkin tidak disengaja. Bisa saja dia mengupload dari mesin Windoze yang notabene permissionnya secara default adalah 777.

Tidak bisa dipungkiri bahwa sistem operasi yang awalnya dirancang tidak aman ini (Windows), membawa sial penggunanya… . Saya juga pernah mendapatkan situs yang menggunakan mambo open source dihack karena beberapa folder seperti components, template dsb harus diset 0777 agar bisa mengupload dengan sempurna. Hal ini adalah kesalahan fatal jika tidak diamankan secara penuh mekanisme upload data ini akan dimanfaatkan oleh orang lain untuk mengupload phpshell atau cgitelnet, kemudian mengupload file-file yang ia perlukan untuk menjalankan bot, backdoor dan sebagainya.

Saya sudah buat satu aturan dengan menggunakan skrip yang saya jalankan lewat cron job. Skrip ini saya gunakan untuk mencek permission semua situs yang menggunakan mambo open source atau joomla. Namun ada beberapa member yang keberatan karena akan mempersulit member jika ingin mengupload datanya. Security in mind belum dimiliki oleh sebagian besar web programmer (lebih-lebih hanya web designer), yang penting skrip bisa jalan namun ujung-ujungnya setelah kena deface atau kena hack atau disuspend karena kedapatan menggunakan bot atau backdoor, baru menyalahkan administrator server tersebut. So, who’s the stupid person here?

Perilaku spammer yang menjengkelkan!

Perilaku spam akhir-akhir ini sudah memprihatinkan. Server kadang jadi sangat sibuk karena ulah spam ini. Mengirim email dalam jumlah banyak (mass email) walaupun untuk kepentingan bisnis bisa juga dikategorikan sebagai spam. Pengiriman mass email ini juga berdampak pada beban server yang semakin tinggi sehingga menjadi down.Nah, ada trik untuk menanggulangi email-email nakal ini. Biasanya email yang dikirim menggunakan nama email samaran yang umum misalnya user@yahoo.com, user@hotmail.com dan sebagainya. Tetapi setelah dicek ternyata menggunakan user nobody untuk mengirim email.Email yang diidentifikasi sebagai spam juga biasanya tidak mencantumkan tanggal pada bagian data email, sehingga kita bisa menggunakan Access Control List (ACL) yang dimasukkan dalam konfigurasi exim.conf (saya menggunakan exim sebagai mail server) sebagai berikut:

deny message = Faked Yahoo, so you must be spam.
log_message = Fake Yahoo
senders = *@yahoo.com
condition = ${if match {$sender_host_name}{Nyahoo.com$N}{no}{yes}}
deny message = Faked hotmail, so you must be spam.
log_message = Fake hotmail
senders = *@hotmail.com
condition = ${if match {$sender_host_name}{Nhotmail.com$N}{no}{yes}}
deny message = Faked MSN, so you must be spam.
log_message = Fake MSN
senders = *@msn.com
condition = ${if match {$sender_host_name}{N(hotmail|msn).com$N}{no}{yes}}
deny message = Faked AOL, so you must be spam.
log_message = Fake AOL
senders = *@aol.com
condition = ${if match {$sender_host_name}{Nmx.aol.com$N}{no}{yes}}
deny message = User nobody dilarang kirim email
log_message = User nobody kirim email
senders = nobody
deny condition = ${if !def:h_Date: {1}}
message = Message SHOULD have Date: but does not

Silakan dicoba

Server down dan SATA, apa hubungannya?

Sebulan ngga ada catatan sama sekali! Apa karena terlalu sibuk? Ya, saya sibuk sekali… (alasan klasik buat blogger pemalas)

Bulan Februari adalah bulan yang mengesankan. Saya sempat cuti selama dua minggu pada bulan Januari lalu. Tanggal 28 Januari saya menikah! hehehe, berarti sekarang status saya sudah resmi jadi suami orang…Server sering down akhir-akhir ini. Terutama server lokal tempat situs ini di host. Ada namanya hardware failure yang terjadi di server. Dari awal sebenarnya saya sudah was-was dengan kernel yang dimiliki oleh OS yang dipakai karena tidak mendeteksi secara sempurna ethernet card walaupun drive SATA bisa dikenali dengan baik.Nah, ternyata kernel setelah diupgrade bisa lebih mulus jalannya. Namun masalah terjadi karena kemungkinan harddisk SATA ngga cocok dengan spesifikasi hardware yang ada. Juga kemungkinan ada ketidakcocokan antara harddisk dan OS-nya.Hmm, harus dibackup dulu nih semuanya… trus diganti harddisknya dan see what happen…