Zen Cart™サイト セキュリティー...


Zen Cart™GNU General Public License の下、ソフトウェアの利用、機能の追加、変更などに費用がかかることはありません。

ソフトウェアのご利用に費用はかかりませんが、あなたがこのソフトウェアの新バージョンをダウンロードした機会などに寄付していただくことは、常に歓迎いたします。このことは、Zen Cartのメンテナンス、機能のアップグレード、無料のサポートフォーラム、そしてあなたのオンラインショップ構築ソフトの継続的なサポートに役立つのです。

寄付はこちらのURLでしていただけます: The Zen Cart™ Team Page/日本語版「Zen Cartに貢献する」

あなたのサポートに感謝いたします。
Zen Cart? 開発チーム一同

Zen Cart™はosCommerceから派生しました。/ Copyrightc 2003 osCommerce
このプログラムは利用者のお役に立つことを願い、しかし一切の保証なしに提供されています。
商品としての適格性(MERCHANTABILITY)や、特定目的への適合(FITNESS FOR A PARTICULAR PURPOSE)についての暗黙の保証もしておりません。
このソフトウェアは、GNU General Public Licenseの下、再配布することができます。



このソフトウェアはOSIが認証したオープンソースソフトウェアです。
OSIはOpen Source Initiativeが認証したというマークです。

あなたのZEN CART™を安全にするステップ

下記のステップはあなたのZEN CART!™サイトを安全にします:

1./zc_installフォルダーを削除する

一度完全にインストールすれば、サーバーから /zc_installフォルダーを削除しましょう。
名前を付けなおしたフォルダーを見つけて攻撃を受けやすくしたようなフォルダー名にしないでください。

2. configure.phpファイルの属性(パーミッション)をread-onlyにする

2つのconfigure.phpの属性(パーミッション)を変更することが重要です。これは属性(パーミッション)を"644",場合によっては"444"に設定することを 意味します。
It's important that you CHMOD (set permissions) on the two configure.php files as read-only.
Typically this means setting it to "644", or in some cases "444".

FTPソフトで変更出来なければ、貴方のサーバーのアカウントで提供されているファイルマネージャを使って試してください。

Windowsサーバーの場合、"Everyone"を"Read-Only"としてファイルを設定してください。特にIISの場合、IUSR_xxxxx userは設定してください。もしくは "System" かApacheが機能しているなら "apache user"。

3. "/admin"のリネーム

"admin"フォルダーのリネームをすることでハッカーが管理者エリアに進入し難くします。

(以下の変更をする前に、ファイルをデータベースのバックアップをしましょう。)

A- admin/includes/configure.phpを開き、ノートパッドの様なエディターを使い、新しいadminのフォルダー名を/admin/の代わりに 変更しましょう。

この箇所を変更します(青字部分):

define('DIR_WS_ADMIN', '/admin/');
define('DIR_WS_CATALOG', '/');
define('DIR_WS_HTTPS_ADMIN', '/admin/');
define('DIR_WS_HTTPS_CATALOG', '/');

そしてこの箇所も(青字部分):

define('DIR_FS_ADMIN', '/home/mystore.com/www/public/admin/');
define('DIR_FS_CATALOG', '/home/mystore.com/www/public/');

B- Zen Carのt/admin/ ディレクトリーにFTPソフトかwebホスティングのファイルマネージャを使って、
  ディレクトリーをadmin/includes/configure.php.で行ったセッティングと合う様にリネームしましょう。

C-.htaccessファイルを使って管理者エリアを守りましょう。配置場所は/admin/includesの中です。(Zen Cartのバージョンが
   1.2.7かそれ以上の場合はすでにあります。)

4. 使用しない管理者アカウントは削除

管理者画面 -> 追加設定・ツール -> 管理者の設定
管理者エリアで追加設定・ツールを開き、管理者の設定を選びます。そして、使われていない管理者アカウントをチェックします。 特に "Demo"アカウントがあれば削除します。I

5. 管理者のパスワードの保護

ハッカーが簡単に考えられない複雑なパスワードを使用することが懸命です。

管理者画面 -> 追加設定・ツール -> 管理者の設定で管理者のパスワードの変更が出来ます。パスワードをリセット”かもしくはリサイクルマークの様なアイコンをクリックします。

8文字以上のパスワードの使用をお薦めます。パスワードとして記号と文字を使用した物もよいでしょう。

6. "html_includes"の"define pages"の内容の保護

定番ページの編集が終わった後(管理者メニュー->追加設定・ツール->定番ページの編集)、編集したものを保護しましょう:

A. FTPソフトを使って編集したファイルをダウンロードします。そのファイルは/includes/languages/japanese/html_includes に  あります。

B. 編集したファイルの属性(パーミッション)を644もしくは444にします。上記の属性(パーミッション)を参照下さい。
  /includes/languages/japanese/html_includes そしてフォルダーの中の全てのファイル。

属性の変更を行ったら、ハッカーはもっとも複雑化されたread-onlyを変える許可を得ない限りシステムにアクセスしてもファイルを編集出来ないでしょう。

NOTE: もちろん、ファイルをに属性(パーミッション)をread-onlyに設定すると、定番ページの編集で追加変更をする前に属性(パーミッション)をread-writeに設定する必要があります。

7. 無用なスヌーピング(のぞき見)から守るために.htaccessファイルの利用

複数のフォルダーの.htaccessは正確なファイル名を知らない限り貴方のサイトのファイルの閲覧からユーザーを防ぎます。
”どの”PHPスクリプトへのアクセスを防ぎます。それらのフォルダーの中の全てのPHPファイルは他のPHPファイルにアクセ
スされる、直接的にブラウザーでアクセスされないもしも、これらのファイルを削除すると、他の人がのぞき見回る為に開くリスクにさらされます。

また、複数フォルダーに"blank” index.htmlがあります。これらのファイルはFTPソフトが.htaccessをアップロードしない、もしくは
サーバーが.htaccessを受け付けない場合に貴方を守るためにあります。ディレクトリーの閲覧を防ぐだけのこれらは、.PHPファイルの実行を止めません。 全てのフォルダーへの.htaccessの利用はサーバーが.htaccessを受け付けるのであれば良い選択ですが、"blank" index.htmlも良い”選択肢”です。

index.htmlファイルがあるフォルダーの .htaccess ファイル内容がまだ設定されていない場合.htaccess ファイルは 以下のようなものになります。(サーバーの設定によります):

#.権限のない(許可されていない)ディレクトリーのブラウジングもしくは.PHPファイルへのアクセスを防ぐ
 .htaccess
   IndexIgnore */*
   <Files *.php>
    Order Deny,Allow
    Deny from all
   </Files>

もしも、あなたのサーバー設定であなた自身の .htaccessを作る/使う事が許されていないなら、 望む .htaccessの設定が設置が出来るコントロールパネルの画面が用意されている場合があります。

これがホスティング会社が必要とする方法であればサーバーにこれらの設定をすることを薦めます。サーバーに適切な方法を選び使用することが必要です。 上記に触れたとおり、あなたのサーバーに対して最良の方法を選択し提供するサーバー会社を利用するのがベストです。あなたがどのサーバーを使うかは わかりませんが、スタートポイントとしてこれらのガイドラインを提供します

"友達に知らせる"を利用不可にする

”一般設定->メールの設定->友達に知らせる”で設定を’off'に設定します。これはログインしていない利用者があなたのサーバーから不必要なメールを送る 事を防ぎます。

Copyright 2006 Zen Cart