GregFisher

I - проблемы безопасности CMS и готовых движков

Мы решили, что прежде чем переходить к разговорам о технических составляющих и перечислять минусы и недостатки с точки зрения разработки исходного кода, поисковой оптимизации, как у платных так и у бесплатных систем управления сайтами, важно поговорить о самом простом - это безопасность таких решений.

Бесплатные движки для сайтов, такие как Joomla, WordPress, Drupal, Modx, Opencart и многие другие просто кишат дырами в своем ядре и уязвимостями в различных модулях и плагинах. Происходит это из-за того, что сторонние модули, плагины и дополнения разрабатываются "программистами" мягко говоря слабой квалификации, которые не в состоянии выдавать качественный код.

С платными CMS движками, даже такими популярными, как 1С-Битрикс, UMI.CMS, NetCat, HostCMS и прочими, ситуация не на много лучше. Разработчики стараются впихнуть горы волшебного функционала в свои "коробочные", решения, которые кстати никогда не работают из коробки корректно на 100%, а в штате таких компаний довольно большая текучка и "ТимЛиды" просто не хотят / не успевают / забивают на необходимость контролировать код своих джуниоров....

Если сделать вывод по безопасности платных и бесплатных движков (CMS для сайтов), то всё выглядит довольно печально - так как эти CMS очень популярны и на них работает просто огромнейшее количество сайтов, то как устроена архитектура каждого движка, а значит каждого сайта известно даже школьнику из 5 "Б" класса, который придет домой после уроков, напишет в Яндекс запрос "уязвимости Joomla" или любого другого движка и спокойно по инструкции получит доступ к сайту.

Чем сложнее система, тем больше вероятность обнаружить в ней ошибки и уязвимости.

Зная уязвимость 1-ого сайта на какой-либо CMS, мы знаем уязвимости всех сайтов на этой CMS =)

II - проблемы с доработками

Как только речь заходит о не стандартных решениях или доработке функционала, которого увы нет в купленной CMS, Вы сталкиваетесь с огромным количеством проблем, в плоть до необходимости взлома ядра движка сайта, чтобы дописать недостающие заветные строки кода. Чаще всего это приведет к потере гарантии / лицензии или к некорректной работе всей системы и сайта.

Сразу хочется сказать, что не бывает программистов по Битриксу, программистов по Джумле, специалистов по MODX и WordPress... Либо человек программист и понимает, что делает либо нет и может только "тыкать кнопки движка", пытаясь адаптировать и настроить его под клиента.

Что же делать? Ведь разработка на framework это дорого и долго?

На самом деле нет, это заблуждение, которое навязывают компании и фрилансеры, чья компетентность не позволяет им работать с профессиональными решениями, а так как дилетантов гораздо больше, чем профессионалов от этого и страдает рынок.

III - скорость работы CMS

В связи с тем, что у готовых движков довольно громоздкая архитектура, которая пишется и поддерживается сообществом людей с большим разбросом талантов к программированию (и не важно платная или бесплатная у Вас CMS), исходный код превращается в бесконечную простынку иногда даже без комментариев от автора плагина или модуля, что приводит к большой нагрузке на сервер и хостинг.

IV - супер "SEO модули" в Ваших CMS движках

Очень часто мы слышим от клиентов фразы на подобии "разработчики сказали, что эта CMS подходит для SEO".

Если в CMS (системе управления сайтом) есть возможность задавать Title, Description, Keywords, h1, alt для изображений и другие теги для страницы - это не значит, что она адаптирована к SEO.

На самом же деле, эти вещи практически не имеют никакого отношения к поисковой оптимизации, это фундаментальные признаки хорошего разработчика, который знает, что у страницы сайта (документа) должны быть такие параметры, как title и мета теги, а так же возможность грамотной html разметки в теле документа (которая берет начало кстати из журналов и газет).

Поисковая оптимизация гораздо сложнее, чем кажется, так что не испытывайте иллюзий относительно движков пригодных для seo - их нет.

Спамеры совсем охренели или не безопасный битрикс:

Открываю почту, и вижу письмо с домена bitrix24.ru. По теме и началу письма, понятно, что спам, но интерес берет верх и решаю посмотреть по глубже (в служебные заголовки).

Служебные заголовки:

Заголовки дают понять, что реально письмо было отправлено с домена, т.к. записи spf в полном порядке, а ip имеет право отправлять письма с этого домена.

Пробиваем ip mta-ru-004.bitrix24.com → 195.208.185.164, видим, что сервер и правда битрикса и скорее всего не фейковый, только если у домена не прописан spf all,

Проверяем:

Найдена SPF запись: "v=spf1 include:_sv1.bitrix24.com include:_sv2.bitrix24.com include:_sv3.bitrix24.com include:spf.braintreegateway.com include:_spf.yandex.ru ~all"  

Хорошо, возможно это фейковый сервер, который шлет от имени битрикса. Хотя такие компании и "крутые разработчики" таких "крутых и профессиональных" решений должны знать, что с помощью простой настройки SPF и DKIM, можно как минимум очень не плохо обезопасить свой же домен от использования в спам рассылках и не париться.

Но нет, дай-ка я добью, смотрю ip 195.208.187.29 и 195.208.185.164, о чудо это же одна и та же подсеть, что означает на 99%, что весь спам идет из подсети и с серверов битриксоидов :)

А дальше начинается интересное, я решил проверить домен b24-d7t2w7.bitrix24.ru, который в заголовках как главный отправитель.

Заходим на домен b24-d7t2w7.bitrix24.ru и нам предлагают ввести логин-пароль :)) Возможно ли, что кто-то открыл демо и начал слать с серверов битрикса? Не знаю, не моё дело.

При попытка ввести другой домен заменяя буквы и цифры мы получаем 404 ошибку, а значит этот домен создан на серверах битрикса на самом деле.

По служебным заголовкам кстати видно, что письмо отправлено через модуль X-Bitrix-Mail-Callback-Sign, но как известно, служебные заголовки можно подделать, а есть и такие с помощью, которых отправляется что угодно и куда угодно :), но это уже совсем другая тема для пентеста..

В общем если есть желания, попробуйте капнуть дальше с этим битриксом, а я пока умываю руки :)