Как защитить сайт на MODx?

Прошу советов, как вы защищаете свои сайты на modx?
Нашел такие советы:
1)register_globals off
2)Советы по защите папки manager от несанкционированного доступа
http://modx.ru/blog/434/
3)удалить reflect

по поводу пункта 2 не понимаю как сделать защиту папки manager, чтобы был вход только с моего IP?

в инструкции сказано:
ErrorDocument 403 /page404.htm
Order deny,allow
Deny from all
Allow from x.x.x.x

Где тут сказано про папку manager? вроде блокируется доступ всем кроме моего IP всего сайта.

Там же есть продолжение, возможно, вы не заметили:

Quote from: tambourine at Jun 04, 2010, 11:23 AM

Там же есть продолжение, возможно, вы не заметили:

ErrorDocument 403 /page404.htm
Order deny,allow
Deny from all
Allow from x.x.x.x
AuthType Digest
AuthName "Restricted"
AuthDigestDomain /manager/ http://www.your_site.com/manager/
AuthBasicProvider file
AuthUserFile /etc/httpd/conf/modxadmins
Require user admin

это первый способ который еще не понятнее остальных.
что я должен сделать:
1)создать файл паролей с помощью htpasswd.exe
2)разместить этот файл на хостинге
3)пишу в .htaccess

ErrorDocument 403 /page404.htm
Order deny,allow
Deny from all
Allow from 100.99.97, 100.99.98 (диапазон моих IP)
AuthType Digest
AuthName "Restricted"
AuthDigestDomain /manager/ http://www.site.ru/manager/
AuthBasicProvider file
AuthUserFile /etc/httpd/conf/.htpasswd (это физический путь к файлу паролей)
Require user МОЙ логин

Всё верно? А если что-то не так произойдет, я смогу отменить эти инструкции для apache?

Еще момент, у моего хостера есть ф-ция Паролирование директорий, но когда ставлю пароль на папку manager, то получаю ошибку 404 на всех внутренних страницах. Не будет ли так и с этим способом?

Да, точно, я не пролистал до конца. ))
Тот код из последнего примера, вероятно, следует поместить в тэг Directory. Например:

Хотя я могу ошибаться, у меня мало опыта работы с апачем. Но вроде все верно: http://www.cyberciti.biz/faq/apache-restrict-access-based-on-ip-address-to-selected-directories/

Зачем все это делается? Если запретить доступ к папке manager, перестанет работать стандартная капча, а может еще что-нибудь. От паранойи надо лечиться…
Конечно, register_globals off надо обязательно установить, причем не только в MODx, а остальное – лишнее. В том числе не надо удалять reflect – имеющаяся уязвимость давно устранена. Надо использовать последнюю версию системы и следовать рекомендациям, которая система сама дает при установке, а все остальное – совершенно излишне.

А я все-таки рекомендую закрывать папку /manager/ апачевской авторизацией. Хотя бы для того чтобы не брутфорсили пароли в админку. Стандартная капча все равно нифига толком не спасает от спама ибо убогая. А кроме нее ничего больше не отваливается.
Я сторонник того, что все что реально не нужно - торчать наружу не должно. Потому как завтра может обнаружиться некая новая уязвимость, которую массово заюзают на автомате. Лучше перестраховаться =)

Стандартная капча нормально защищает от спама, если только спамеры не атакуют целенаправленно конкретный сайт, адаптируя под него свои алгоритмы. Кстати, распространенные сложные капчи больше доставляют неудобства посетителям сайта, чем защищают от спама.
Если очень хочется, можно в MODx задать разрешение пользователю входить только с конкретного IP, а также уменьшить количество неверных попыток входа. Реально перебором взломать административную часть невозможно (если используются нормальные пароли), а брутфорсом скорее будут взламывать доступ по SSH к хостингу, чем доступ к административной части CMS.
Кстати, периодически появляются сообщения о взломах сайтов – причины взлома бывают разные, но пока я ни разу не видел сообщения о том, что кто-то подобрал административный пароль. Конечно, если очень хочется, можно запретить доступ в папку manager, но реально потребности в этом нет.

Стандартная капча нормально защищает от спама, если только спамеры не атакуют целенаправленно конкретный сайт, адаптируя под него свои алгоритмы. Кстати, распространенные сложные капчи больше доставляют неудобства посетителям сайта, чем защищают от спама.

Полностью согласен. Простейшая "стандартная" капча MODx (только 4 цифры, для удобства пользователей) полностью блокировала спам. А целенаправленная атака, видимо, большинству уродов не под силу.

Вряд ли, на мой взгляд, стоит блокировать доступ в систему управления на уровне сервера по IP. Паранойя это. Только себе неудобства.

Кто там говорил, что все это глупая паранойя и прочее?
http://modxcms.com/forums/index.php/topic,50207.msg292386.html

Теперь те у кого админки закрыты по апачевской авторизации или по IP спят спокойно, а остальные нервничают =)

Quote from: Pisto at Jun 07, 2010, 09:20 PM

Теперь те у кого админки закрыты по апачевской авторизации или по IP спят спокойно, а остальные нервничают =)

Может я и ошибаюсь (поправьте тогда меня), но описанная уязвимость фактически отсутствует. При попытке SQL-инъекции в старых версиях, скорее всего, будет выдано сообщение об ошибке MySQL (или в лог ошибок будет помещено сообщение с непонятным кодом), а никаких опасных действий выполнено не будет. На 100% не могу быть уверенным, так как описание уязвимости отсутствует, но с большой долей вероятности на основе сравнения кода версий 1.0.3 и 1.0.4 могу утверждать, что спать спокойно могут абсолютно все.
Впрочем, как я отмечал выше, всегда полезно использовать самые новые версии системы.