Movable Type安全设置

Movable Type在发布文章的时候是生成静态html页面的,如果采用第三方的评论和搜索,完全可以只将静态文件发布,在安全性上,比其他动态生成的博客要高不少。当然,很多的Movable Type都很容易猜到后台的地址,把管理后台(前台有用户名)暴露,可能会出现暴力破解或者撞库的情况。

根据多年的Movable Type使用经验,和大家分享一下Movable Type的安全设置。

一、隐藏后台地址

如果采用第三方的评论和搜索,那么在页面的源代码中是不会出现mt-comments.cgi和mt-search.cgi这些文件的,那么大家就猜测不到管理后台的地址。如果没有采用第三方的评论和搜索,从源代码可以猜测出mt.cgi文件,就有可能出现尝试登陆的情况。

解决办法:

修改mt.cgi为mt-admin.cgi,然后在mt-config.cgi文件中添加一行:

AdminScript mt-admin.cgi

这样,我们就可以通过mt-admin.cgi来访问管理后台。同时,把不用的一些cgi文件,比如mt-ftsearch.cgi,把其权限设置为644,避免他们的执行,减少一些潜在的漏洞。

二、启用用户锁定和IP锁定

当用户在一定的时间内,错误了一定次数,可以锁定该用户一定的时间。对同一个IP地址也可以进行这样的锁定。

这个设置在System Overview-->Settings-->General Settings下的Lockout Settings中。

MT安全设置,启用用户锁定和IP锁定

三、修改Username和Display name

Username就是登陆用户名,Display name就是现实在页面上的名字,如果两者不一样,那么就很难猜测到用户名。

MT安全设置,修改Username和Display name

四、增强密码强度

养成好习惯,增强密码强度,和其他账户使用不同的密码,避免撞库。

这个设置在System Overview-->Settings-->User Settings下的Password Validation中。

MT安全设置,增强密码强度

五、修改Movable Type生成的文件和文件夹的权限

默认情况下,Movable Type生成的文件夹权限都是777,文件权限都是666。我们可以在mt-config.cgi文件中加入下面三行,使得生成的文件夹权限为755,文件权限为644。

UploadPerms 0644
DirUmask 0022
HTMLPerms 0644

六、多用户博客限制用户权限

对于多用户的博客,在非管理员账户权限设置上,尽量够用就行。比如撰稿者,那就不需要开放博客设置、模板修改等权限。尤其是模板修改权限,如果账户登录信息泄露,那么黑客很容易通过该账户的模板修改权限上传一些工具,威胁博客的安全。

七、减少第三方插件的使用

插件在给我们带来功能和便利性的同时,也带来了威胁。相对于WordPress的活跃性,Movable Type插件的用户更少,更新速度慢多了,可能会存在一些漏洞未能及时更新。如果仅作博客或者小型CMS使用,Movable Type目前已经能够基本满足,尽量减少插件的使用。

(完)

留言

Your email address will not be published. Required fields are marked *