دورة اعداد وتركيب وحماية السيرفرات بأحترافية

اولا سنبـدا بشرح تركيب الـ cPanel

بفرض ان السيرفر الخاص بك لم يتم تركيب عليه اى لوح ونريد نركب اللوحه الشعبيه والمفضله وهو الـ cPanel

نسجل دخــول للشـل عن طريق احدى البرامج وليكن Putty

ونتــابع الصــور ..










بعد الخــول سنقوم بتركيب الـ cPanel عن طريق الاوامر التاليه

الكود:


cd /home 





الكود:


wget -N http://layer1.cpanel.net/latest 





الكود:


sh latest 





والان ندخل الى لوحة WHM ونتابع

Main >> Service Configuration >> Apache Configuration >> PHP and SuExec Configuration

ونتأكد من الاعدادت كالتلى




نأتى ببعض التحديثات الهامه

رمز Code:
cd /usr/local/src
رمز Code:
wget http://ftp.isc.org/isc/bind9/9.7.2-P2/bind-9.7.2-P2.tar.gz
رمز Code:
tar -xzf bind-9.7.2-P2.tar.gz
رمز Code:
cd bind-9.7.2-P2
رمز Code:
./configure
رمز Code:
make
رمز Code:
make install
بعد الانتهاء من التحديث نفوم بعمل ريستارت

رمز Code:
service named restart
ثانيا نقوم الان بتحديث الـ OpenSSL

رمز Code:
cd /usr/src
رمز Code:
wget http://www.openssl.org/source/openssl-1.0.0a.tar.gz
رمز Code:
tar -zxf openssl-1.0.0a.tar.gz
رمز Code:
cd openssl-1.0.0a
رمز Code:
./config
رمز Code:
make
رمز Code:
make test
رمز Code:
make install
ثالثا نقوم الان بتحديث الـ OpenSSH

رمز Code:
cd /usr/src

رمز Code:
wget http://mirror.mcs.anl.gov/openssh/portable/openssh-5.6p1.tar.gz
رمز Code:
tar -zxf openssh-5.6p1.tar.gz
رمز Code:
cd openssh-5.6p1
رمز Code:
./configure --prefix=/usr --sysconfdir=/etc/ssh --without-zlib-version-check
رمز Code:
make
رمز Code:
make install
ثم نعمل ريستارت للشل

رمز Code:
service sshd restart
التالى عمل حمايه لملفات النظام والتصاريح الضروريه لحمايه اقوى


طبق الامر التالى

رمز Code:
echo 1 > /proc/sys/net/ipv4/tcp_syn******s
رمز Code:
/scripts/compilers off
ملحوظة: يفضل فتحه عن عمل اى تحديث لضمان اكتمال التحديث بكل كامل

وتعديل صلحيات البيرل للروت



رمز Code:
chmod 700 /usr/bin/perl
رمز Code:
chown root:root /usr/bin/perl
رمز Code:
chmod 700 /bin/dmesg
chmod 700 /bin/mount
chmod 700 /bin/rpm
chmod 700 /usr/bin/write
chmod 700 /usr/bin/talk
chmod 700 /usr/bin/ipcrm
chmod 700 /usr/bin/ipcs
chmod 700 /usr/bin/free
chmod 700 /usr/bin/locate
chmod 700 /usr/bin/wall
chmod 700 /usr/bin/finger
chmod 700 /sbin/arp
chmod 700 /sbin/ifconfig
chmod 700 /usr/sbin/repquota
chmod 700 /usr/sbin/tcpdump
chmod 700 /usr/bin/wget
chmod 700 /usr/bin/lynx
chmod 700 /usr/lib/bcc/bcc-cc1
chmod 700 /usr/bin/perlcc
chmod 700 /usr/bin/bcc
chmod 700 /usr/bin/cc
chmod 700 /usr/bin/gcc
chmod 700 /usr/bin/who
chmod 700 /usr/bin/w
chmod 711 /
chmod 711 /home
chmod 711 /etc
chmod 711 /var
chmod 711 /usr/etc
chmod 711 /usr/local/etc
chmod 711 /var/log
chmod 711 /sbin
chmod 711 /usr/sbin
chmod 711 /usr/local/sbin
رمز Code:
chattr +i /usr/bin/cmp
chattr +i /usr/bin/diff
chattr +i /usr/bin/diff3
chattr +i /usr/bin/sdiff
chattr +i /usr/bin/find
chattr +i /usr/bin/xargs
chattr +i /usr/bin/eu-addr2line
chattr +i /usr/bin/eu-ar
chattr +i /usr/bin/eu-elfcmp
chattr +i /usr/bin/eu-elflint
chattr +i /usr/bin/eu-findtextrel
chattr +i /usr/bin/eu-make-debug-archive
chattr +i /usr/bin/eu-nm
chattr +i /usr/bin/eu-objdump
chattr +i /usr/bin/eu-ranlib
chattr +i /usr/bin/eu-readelf
chattr +i /usr/bin/eu-size
chattr +i /usr/bin/eu-strings
chattr +i /usr/bin/eu-strip
chattr +i /usr/bin/eu-unstrip
chattr +i /usr/bin/eu-ranlib
chattr +i /usr/bin/eu-addr2line
chattr +i /usr/bin/eu-ar
chattr +i /usr/bin/eu-elfcmp
chattr +i /usr/bin/eu-elflint
chattr +i /usr/bin/eu-findtextrel
chattr +i /usr/bin/eu-make-debug-archive
chattr +i /usr/bin/eu-nm
chattr +i /usr/bin/eu-objdump
chattr +i /usr/bin/eu-ranlib
chattr +i /usr/bin/eu-readelf
chattr +i /usr/bin/eu-size
chattr +i /usr/bin/eu-strings
chattr +i /usr/bin/eu-strip
chattr +i /usr/bin/eu-unstrip
chattr +i /usr/bin/eu-ranlib
chattr +i /usr/bin/dig
chattr +i /usr/bin/host
chattr +i /usr/bin/nslookup
chattr +i /usr/bin/nsupdate
chattr +i /bin/ping
chattr +i /bin/ping6
chattr +i /bin/tracepath
chattr +i /bin/tracepath6
chattr +i /sbin/arping
chattr +i /sbin/ifenslave
chattr +i /sbin/rdisc
chattr +i /usr/sbin/arping
chattr +i /usr/sbin/clockdiff
chattr +i /usr/sbin/ping6
chattr +i /usr/sbin/tracepath
chattr +i /usr/sbin/tracepath6
chattr +i /usr/bin/compress-dummy
chattr +i /usr/bin/mail-files
chattr +i /usr/bin/mailshar
chattr +i /usr/bin/remsync
chattr +i /usr/bin/shar
chattr +i /usr/bin/unshar
chattr +i /usr/bin/uudecode
chattr +i /usr/bin/uuencode
chattr +i /usr/bin/chage
chattr +i /usr/bin/faillog
chattr +i /usr/bin/gpasswd
chattr +i /usr/bin/lastlog
chattr +i /usr/bin/newgrp
chattr +i /usr/bin/sg
chattr +i /usr/sbin/adduser
chattr +i /usr/sbin/chpasswd
chattr +i /usr/sbin/groupadd
chattr +i /usr/sbin/groupdel
chattr +i /usr/sbin/groupmod
chattr +i /usr/sbin/grpck
chattr +i /usr/sbin/grpconv
chattr +i /usr/sbin/grpunconv
chattr +i /usr/sbin/newusers
chattr +i /usr/sbin/pwck
chattr +i /usr/sbin/pwconv
chattr +i /usr/sbin/pwunconv
chattr +i /usr/sbin/useradd
chattr +i /usr/sbin/userdel
chattr +i /usr/sbin/usermod
chattr +i /usr/bin/addr2line
chattr +i /usr/bin/ar
chattr +i /usr/bin/as
chattr +i /usr/bin/c++filt
chattr +i /usr/bin/gprof
chattr +i /usr/bin/ld
chattr +i /usr/bin/nm
chattr +i /usr/bin/objcopy
chattr +i /usr/bin/objdump
chattr +i /usr/bin/ranlib
chattr +i /usr/bin/readelf
chattr +i /usr/bin/size
chattr +i /usr/bin/strings
chattr +i /usr/bin/strip
chattr +i /usr/lib/libbfd-2.17.50.0.6-14.el5.so
chattr +i /usr/lib/libopcodes-2.17.50.0.6-14.el5.so
chattr +i /usr/bin/ranlib
chattr +i /usr/lib/libbfd-2.17.50.0.6-14.el5.so
chattr +i /usr/lib/libopcodes-2.17.50.0.6-14.el5.so
chattr +i /bin/doexec
chattr +i /bin/ipcalc
chattr +i /bin/usleep
chattr +i /sbin/consoletype
chattr +i /sbin/fstab-decode
chattr +i /sbin/genhostid
chattr +i /sbin/getkey
chattr +i /sbin/ifdown
chattr +i /sbin/ifup
chattr +i /sbin/initlog
chattr +i /sbin/netreport
chattr +i /sbin/ppp-watch
chattr +i /sbin/service
chattr +i /sbin/setsysfont
chattr +i /usr/sbin/sys-unconfig
chattr +i /usr/sbin/usernetctl
chattr +i /lib/udev/rename_device
chattr +i /sbin/grubby
chattr +i /sbin/installkernel
chattr +i /sbin/mkinitrd
chattr +i /sbin/new-kernel-pkg
chattr +i /lib/bdevid/ata.so
chattr +i /lib/bdevid/scsi.so
chattr +i /lib/bdevid/usb.so
chattr +i /usr/lib/libbdevid.so.5.1.19.6
chmod 644 /etc/profile
chattr +i /etc/profile
chmod 644 /etc/bashrc
chattr +i /etc/bashrc
chmod 644 /etc/csh.login
chattr +i /etc/csh.login
chmod 644 /etc/csh.cshrc
chattr +i /etc/csh.cshrc
chmod 644 /root/.bash_profile
chattr +i /root/.bash_profile
chmod 644 /root/.bashrc
chattr +i /root/.bashrc
chmod 644 /root/.bash_logout
chattr +i /root/.bash_logout
chmod 644 /root/.cshrc
chattr +i /root/.cshrc
chmod 644 /root/.tcshrc
chattr +i /root/.tcshrc
chmod 750 /usr/bin/wget
chmod 750 /usr/bin/lynx
تم حماية الـ tmp


رمز Code:
/scripts/securetmp

والان من WHM

Main >> Service Configuration >> Exim Configuration Editor
ننزل للاسفل ونختار advanced editor



ثم


رمز Code:
service exim restart
service cpanel restart
الان سوف نركب LES المتميز جدا ف حماية ملفات النظام ايضا



رمز Code:
cd /usr/src
رمز Code:
wget http://www.r-fx.ca/downloads/les-current.tar.gz
رمز Code:
tar -zxvf les-current.tar.gz
رمز Code:
cd les*
رمز Code:
sh install.sh
رمز Code:
/usr/local/sbin/les -ea 1
الان سوف نركب العمــلاق CSF بالاعدادات المطلوبه عن طريق اسكربت الاخ مصطفى الغالى


رمز Code:
wget http://www.dolphin4h.com/ssh/csf.sh
chmod +x csf.sh
sh csf.sh
تركيب ELS ونتابع


رمز Code:
wget --output-document=installer.sh http://servermonkeys.com/projects/els/installer.sh; chmod +x installer.sh; sh installer.sh
ونكتب

رمز Code:
els --chkrootkit
رمز Code:
els --chkrootkitcron
رمز Code:
Ensure this is correct.
Proceed? (y/n):
نكتب y ثم ENTER

ثم نركب


رمز Code:
els --rkhunter
رمز Code:
ELS can now install RKHunter.
Proceed? (y/n):
ثم y


رمز Code:
els --rkhuntercron
Admin (your) E-Mail Address (this should NOT be on this server):
نكتب البريد

ثم نتابع y


رمز Code:
rkhunter -c
رمز Code:
els --chmodfiles
رمز Code:
els --disabletelnet
رمز Code:
els --imagemagick
رمز Code:
els --zendopt
رمز Code:
els --securepartitions
رمز Code:
els --tweakcpsettings
رمز Code:
els --fixrndc
الان نأتى للتعديل على الاباتشى



رمز Code:
pico /usr/local/apache/conf/httpd.conf
نقوم بوضع ف اول الملف التالى


رمز Code:
RLimitMEM 1161234090
RLimitCPU 350
ثم نبحث ف الملف عن طريق Ctrl+w

هنبحث عن
ServerSignature

نجعلها off

ثم عمل ريستارت لاباتشى


رمز Code:
httpd restart
الان نعــدل على php.ini


رمز Code:
pico /usr/local/lib/php.ini
نضع ف اول الملف


رمز Code:
reveal_php 0
نبحث عن

رمز Code:
safe_mode
نجعله

رمز Code:
safe_mode = on
نبحث عن

رمز Code:
allow_url_fopen
نجعله

رمز Code:
allow_url_fopen = off
نبحث عن

رمز Code:
expose_php
نجعله

رمز Code:
expose_php = off
تبحث عن

رمز Code:
enable_dl
نجعله

رمز Code:
enable_dl = off
نبحث عن

رمز Code:
register_globals
نجعله

رمز Code:
register_globals = off
نبحث

رمز Code:
display_errors
نجعله

رمز Code:
display_errors = off
الان سوف نعدل بعض القيم الهامه

نبحث عن

رمز Code:
max_execution_time
نجعله

رمز Code:
max_execution_time = 3600
نبحث عن

رمز Code:
memory_limit
نجعله

رمز Code:
memory_limit = 128 M
نبحث على

رمز Code:
upload_max_filesize
نجعله

رمز Code:
upload_max_filesize = 20M
نبحث

رمز Code:
post_max_size
نجعله

رمز Code:
post_max_size = 50M
نبحث عن

رمز Code:
include_path
نجعلها

رمز Code:
include_path "/usr/lib/php:/usr/local/lib/php:/tmp:/home"
نبحث عن

رمز Code:
disable_functions
نجعلها

رمز Code:
dl,escapeshellarg,escapeshellcmd,exec,passthru,proc_close,proc_get_status
,proc_nice,proc_open,proc_terminate,shell_exec,system,pcntl_exec,
getrusage,chown,chgrp,closelog,openlog,syslog,define_syslog_variables,php_ini_sca
nned_files,php_ini_loaded_file,ini_get_all,get_cfg_var,getservbyname,gets
ervbyport

الان اغلاق البيرل نهائيا فى السيرفر وعدم تشغيلة باى طريقة كانت والحماية من السيم لينك
عمـل الاخ انس عاطف

من الشل نقوم بالدخول


رمز Code:
cd /usr/local/apache/conf/
نكتب

رمز Code:
nano pro.conf
نضع به التالى

رمز Code:
<Directory "/">
Options -ExecCGI -FollowSymLinks -Includes IncludesNOEXEC Indexes -MultiViews SymLinksIfOwnerMatch
AllowOverride AuthConfig Indexes Limit FileInfo Options=IncludesNOEXEC,Indexes,
Includes,MultiViews,SymLinksIfOwnerMatch
</Directory>
رمز Code:
#AddHandler cgi-script .cgi .pl .plx .ppl .perl
نحفظ العمل ونقوم بالدخول الى


رمز Code:
nano /usr/local/apache/conf/httpd.conf
نبحث عن


رمز Code:
<Directory "/">
Options
AllowOverride All
</Directory>
ثم نقوم بحذفها بالكامل

ثم نبحث عن

رمز Code:
LoadModule
و نضعها اسفل الـ include الموجودين

رمز Code:
Include "/usr/local/apache"/conf/pro.conf
ثم نقوم بالبحث عن

رمز Code:
<Directory "/usr/local/apache/htdocs">
غيرها الى

رمز Code:
<Directory "/usr/local/apache/htdocs">
Options Includes Indexes SymLinksIfOwnerMatch
AllowOverride None
Order Deny,Allow
Deny from all

</Directory>
ثم نبحث عن

رمز Code:
<Directory "/usr/local/apache/cgi-bin">
نبدلها بـ

رمز Code:
<Directory "/usr/local/apache/cgi-bin">
AllowOverride None
Options None
Order allow,deny
Deny from all

</Directory>
ثم نبحث عن

رمز Code:
AddHandler cgi-script .cgi .pl .plx .ppl .perl
نجعلها

رمز Code:
#AddHandler cgi-script .cgi .pl .plx .ppl .perl
ثم نحفظ ونغلق الملف

ونعمل ريستارت للاباتشى


رمز Code:
httpd restart
ثم ننفذ التالى لحفظ الاعدادات

رمز Code:
/usr/local/cpanel/bin/apache_conf_distiller --update
الان مع تعطيـل اغلب الشــلات نهائيــا
وسوف تعطينا صفحه بيضـاء

نطبق الامر

رمز Code:
php -v
ونبحث عن SuHosin

ان لم يكون موجود نقوم بتنصيبه عن طريق الامر التالى


رمز Code:
/scripts/phpextensionmgr install PHPSuHosin
ندخل الان الى

رمز Code:
pico /usr/local/lib/php.ini
ونضع

رمز Code:
suhosin.executor.func.blacklist
=dl,system,passthru,exec,popen,proc_close,proc_get_status,proc_nice
,proc_open,proc_terminate,shell_exec,escape,shellcmd,pclose,pfsockopen,chgrp,de
bugger_off,debugger_on,leak,listen,define_syslog_variables,ftp_exec,posix
_uname,posix_getpwuid,get_current_user,getmyuid,getmygid,
apache_child_terminate,posix_kill,posix_mkfifo,posix_setpgid,posix_setsid,posix_setuid,pf
sockopen,chgrp,debugger_off,debugger_on,leak,listen,define_syslog_variabl
es,ftp_exec,posix_uname,posix_getpwuid,get_current_user,getmyuid,getmygid
,apache_child_terminate,posix_kill,posix_mkfifo,posix_setpgid,
posix_setsid,posix_setuid,escapeshellarg,getservbyport,getservbyname,myshellexec,esc
apeshellarg,symlink,shell_exec,exec,proc_close,proc_open,popen,system,dl,
passthru,escapeshellarg,escapeshellcmd,posix_getgid,posix_getgrgid,dl,exe
c,pclose,proc_nice,proc_terminate,proc_get_status,pfsockopen,leak,apache_
child_terminate,posix_kill,posix_mkfifo,posix_setpgid,posix_setsid,posix_
setuid,hypot,pg_host,pos,posix_access,posix_getcwd,posix_getservbyname,my
shellexec,getpid,posix_getsid,posix_getuid,posix_isatty,posix_kill,posix_
mknod,posix_setgid,posix_setsid,posix_setuid,posix_times,posix_uname,ps_f
ill,posix_getpwuid,global,ini_restore,bzopen,bzread,bzwrite,apache_get_mo
dules,apache_get_version,phpversionphpinfo,php_ini_scanned_files,get_curr
ent_user,error_log,disk_total_space,diskfreespace,leak,imap_list,hypo,fil
edump,gethostbyname,safe_mode,getmygid,php_uname,apache_getenv,apache_set
env,bzread,bzwrite,posix_access,bzopen,phpini,dos_conv,
get_current_user,get_cwd,error_log,cmd,e_name,vdir,get_dir,only_read

كما بالصوره



الان درس مهم جدا لمستخدمى Suphp وطبعا اللى متابع معايا الدوره هيكمل عادى جدا
وشكرا خاص لاخوى صهيب الفهـداوى للدرس المتميز

نذهب لاعدادات ملف suphp

نعدل جميع القيم بالملف كالتالى

Security options
allow_file_group_writeable=true
allow_file_others_writeable=false
allow_directory_group_writeable=true
allow_directory_others_writeable=false
check_vhost_docroot=true
userdir_overrides_usergroup=false
full_php_process_display=true


[handlers]
;Handler for php-scripts
application/x-httpd-php="php:/usr/bin/php"
application/x-httpd-php4="php:/usr/php4/bin/php"
application/x-httpd-php5="php:/usr/bin/php"


;Handler for CGI-scripts
;x-suphp-cgi="execute:!self"


[phprc_paths]
;Uncommenting these will force all requests to that handler to use the php.ini
;in the specified directory regardless of suPHP_ConfigPath settings.
;application/x-httpd-php=/usr/local/lib/
;application/x-httpd-php4=/usr/local/php4/lib/
application/x-httpd-php5=/usr/local/lib/

حذفت علامة
;

بعد ذلك

الان مع درس تغيير بورت الشل

طريقة تغيير بورت الشل 22 الى اى بورت اخر

ندخل

ونغير 22 الى رقم مكون من 4 ارقام
وليكن 123

ونعدل على اعدادات الـ CSF كما بالصوره


تم



نلاحظ هنا وضعنا البورت الجديد 1234وفصلنا بينه وبين اللى قبله بـ ","
الا
نعمل ريستارت SHH