编辑“Zen Cart/安全强化”

{{Zen Cart top}}

==安全措施==
*1、利用 [[.htaccess]]限制后台访问者的[[IP]]，方法很简单。打开 /admin/.htaccess 文件，在最后加入：
<pre>    
    Order Deny,Allow
    Deny from all
    Allow from 210.123.118.108
    Allow from 210.123.118.109
</pre>  

其中，210.123.118.108、210.123.118.109 是自己的IP，这样仅限该IP能访问管理页面。

*2、 使用[[VPS]]、[[独立主机]]的Zen Cart网店，请给[[Apache]]加 [[mod_security]] 模块 (强烈推荐)

以[[CentOS]]系统为例，通过第三方 EPEL Repository 来安装：

首先导入签名：
 rpm --import http://www.jasonlitka.com/media/RPM-GPG-KEY-jlitka

然后启用 Utter Ramblings Repo，创建文件 /etc /yum.repos.d/ utterramblings.repo，粘帖以下内容：
<pre>
        [utterramblings]
        name=Jason's Utter Ramblings Repo
        baseurl=http://www.jasonlitka.com/media/EL$releasever/$basearch/
        enabled=1
        gpgcheck=1
        gpgkey=http://www.jasonlitka.com/media/RPM-GPG-KEY-jlitka
</pre>

最后安装mod_security：
      yum install mod_security
重启Apache

==网店安全设置==
*'''1、删除以下几个目录和文件'''
安装完成后，请从[[服务器]]上删除以下目录和文件:
<pre>
- /docs
- /extras (重要)
- /zc_install
- /install.txt (这是文件)
</pre>

另外，如果网店不是卖可下载类的产品，请同时删除以下文件和目录：
<pre>
- /download
- /media
- /pub
</pre>

不要只是改名目录，万一别人知道了目录名，就不安全。

如果删除了download目录，'''商店设置'''－>'''属性设置'''－>'''允许下载'''，设置为：'''false'''

*'''2、设置configure.php文件为只读'''
将两个configure.php文件用CHMOD(设置权限)命令改为只读很重要。

通常就是设置为'''"644"'''，有时是'''"444"'''。

如果无法通过[[FTP]]程序修改，可以用主机商提供的文件管理工具来修改。

如果用的是[[Windows]]服务器，只要将文件设置为"所有人" "只读"，如果是在[[IIS]]下，是IUSR_xxxxx 用户，或者"System"帐号，在Apache下，是"apache user"帐号。

*'''3、改名名"/admin"目录'''
修改"admin"目录名，用一个很难猜测到的名字。(在进行下面的修改前，请备份文件和数据库。)
:*用文本编辑器，例如记事本，打开文件admin/includes/configure.php。
将所有出现/admin/的地方改成自己的管理目录名。

需要修改的部分:
<pre>
define('DIR_WS_ADMIN', '/admin/');
define('DIR_WS_CATALOG', '/');
define('DIR_WS_HTTPS_ADMIN', '/admin/');
define('DIR_WS_HTTPS_CATALOG', '/');
</pre>

需要修改的部分:
<pre>
define('DIR_FS_ADMIN', '/home/mystore.com/www/public/admin/');
define('DIR_FS_CATALOG', '/home/mystore.com/www/public/');
</pre>
:*找到Zen Cart的/admin/目录，将该目录名按照admin/includes/configure.php中的定义作相应修改。

*'''4、 删除不用的管理员帐号'''
'''管理页面'''->'''工具'''->'''管理设置'''

在管理页面下，打开工具菜单，选择管理设置。检查所有没有使用的管理员帐号并删除。特别注意是否有"Demo"帐号。

*'''5、强化管理员密码'''
一定要使用一定强度、不易猜测的密码。

要修改管理员密码，进入'''管理页面'''->'''工具'''->'''管理设置'''，点击'''"重置密码"'''按钮，或点击那个想回收箱的图标。

建议使用至少8位密码。密码最好包含字母、数字、符合、以及大小写等。

*'''6、保护"自定义页面" "html_includes"中的内容'''
定义好的自定义页面后，('''管理页面'''->'''工具''' ->'''页面编辑'''), 要保护这些文件:

:*用FTP软件下载备份，这些文件位于
 /includes/languages /schinese/html_includes目录。

:*修改文件 CHMOD 644 或 444 (或 Windows下为“只读”)。见上面的CHMOD说明
 /includes/languages/schinese/html_includes

==相关条目==
*[[ECShop]]
*[[ShopEX]]
*[[osCommerce]]
*[[ShopNC]]
*[[YxShop]]

{{Zen Cart}}


==参考来源==
*[http://www.zen-cart.cn/forum/zen-cart-security-t11094.html 参考来源1]
*[http://www.zen-cart.cn/forum/secure-shopping-cart-t11093.html 参考来源2]

[[category:Zen Cart|A]]