Есть тестовая сборка ларавеля. В ней отовсюду по лоскуту. Проект чисто для себя - для набития руки, какгвртся. И происходит постоянный взлом почтового ящика. Т.е. единственный ящик сервера каким-то образом становится доступен спамеру. Естественно, кроме файла .env я нигде пароль от ящика не указываю. Отсюда вопрос: как эта сволочь узнает пароль? Была подозрительная учетка, которая осталась от какого-то компонента ларавель- удалил. Однако спам возобновился. В логах нет активности каких-либо юзеров вообще. Хостер божится, что почта вообще отправляется не с сервера. Т.е. чел как-то попадает на хостинг, вытаскивает пароль из .env и кидает свой спам. Как его отловить? Спасибо!
Я из вашего коммента не понял связи между .env и действиями спамера. Я напишу решение - не беспокойтесь. Просто получается, что все пока ларавельщики сами для себя существуют - вся поддержка от иностранных коллег. У меня этот проект тестовый, а кабы рабочий был.
Как и обещал - выкладываю решение проблемы. Сам в шоке был - вроде так все просто и в то же время нелепо. Оказывается у большинства сайтов на ларавели просто открывается в браузере страница site.com/.env! Кто бы мог подумать, что такая надёжная система не имеет по умолчанию защиты собственных системных файлов! Соответственно, после добавления двух строчек в .htaccess спамеры пошли нахуторбабочекловить!
Это не "система не имеет защиты", а кто-то читать мануал не умеет. Нельзя просто кинуть проект Laravel в public_html на shared хостинге. Либо настроить веб-сервер смотреть в public_html/public, либо на крайний случай склонировать проект в соседнюю с public_html директорию и сделать симлинк /public_html => /Laravel/public
maiskiykot, ну вот как по мануалу на скрине я показал. Просто тогда из папки public нельзя будет подняться выше по запросам и файл .env недоступен - выдает 404.
В одном только месте нашел мануал по установке ларавель выше папки www. Однако посмотрел недавние проекты, в которых ковырялся - такая же шняга - весь ларавель в папках www, так что начинающим ларавельщикам на заметку пригодится мой опыт.
Barmunk, Ага. Кому черным а кому и белым. Никогда не занимался установкой - только правки. Ещё раз повторюсь - пробежался по предыдущим проектам, где правки вносил - ларавель в корне валяется. И .env доступен для хацкеров
maiskiykot, это значит что в мире не менее 76000 идиотов, причем для большинства из них английский - родной.
Проверил "баг" на своих сайтах - как и полагается 404.
Я, кстати, иногда еще на .env ставлю права 660, чтобы левый ssh-пользователь не подсмотрел пароли.
Привет. Залей на Github сайт, у них есть расширение которое уязвимости известные находит в сборках. У меня сайт визитка на Symfony без всяких форм, тоже несколько раз вламывали через уязвимости
