OpenCart, PHP tabanlı açık kaynak kod olarak geliştirilmeye devam edilen yaygın bir e-ticaret yazılımıdır. PHP ve MySQL destekleyen tüm Hosting paketlerine basit bir şekilde kurulabilen yazılımın, tüm ihtiyaçlara yanıt veren yüzlerce modülüne internet üzerinden ücretli ve ücretsiz olarak ulaşabilirsiniz.
Detaylar ile OpenCart
OpenCart, yapı ve kullanım olarak tamamen kullanıcı dostudur. Standart teması ile geliştirmeye açık arayüzü ve basit yönetici paneli sayesinde dakikalar içerisinde e-ticaret sitenizi yayınlamaya olanak tanır. Yapısal olarak yönetici paneli ön tanımlı “/admin” URL adresinden erişilebilir. Bu durum kolaylık olmakla birlikte, e-ticaret sitenizi standart ayarları ile saldırıya açık hale getirir. Saldırganların en çok tercih ettiği ön tanımlı “/admin”, “/wp-admin” gibi URL adresleri teknik terim olarak “Brute Force” saldırılarına sık sık maruz kalmaktadır.
Brute Force Nedir?
Brute Force, özet olarak giriş yapılan (input) alanların, otomatik botlar ile doldurulması ve şifre denemeleridir. Konumuzla ilintili olarak, “/admin” sayfası dış dünyaya açık olan OpenCart projelerinde otomatize edilen botlar ile yapılan şifre bulma yöntemidir. Bu hali ile genel olarak belirlenen ve üretilen şifreler (admin / 123456 gibi) admin arayüzünde girişe zorlanır.
Her deneme, yanıt verilmesi gereken bir çağrı olduğundan, web sitesi ve veritabanı yanıt vermeye çalışır. Bu durum uzun süreli denemelerde kaynak tüketimine ve sitenizin yanıt vermemesine neden olur.
Nasıl Önlem Alınır?
Bahsettiğimiz saldırı tipine birden fazla yöntem ile engel olabilirsiniz.
- CloudFlare
CloudFlare, “Bot fight mode” sayesinde, bu tip otomatik sistemleri tanır ve engeller.
Bu hali ile ekstra işleme gerek kalmadan görselde görebileceğiniz üzere saldırılar sitenize ulaşmadan engellenir.
- Admin sayfa koruması
Admin sayfanızı, IP adresi limitlemesi ya da URL değişikliği ile koruyabilirsiniz. IP koruması ile /admin sayfanıza sadece izin verdiğiniz IP adreslerinden erişim sağlanır. Alternatif olarak, tespit edilmesi zor bir URL adresi ile (Random admin123bnmcst gibi) hedef olmaktan kısmen kurtulabilirsiniz. Fakat, IP adresiniz sabitse IP koruma sizin için daha efektif bir çözüm sunacaktır.
Elbette bu önlemler konusunda Hosting sağlayıcınız ile irtibata geçmeniz sizin için daha faydalı olacaktır.
