ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
uprawnienia plików
Ustawienia praw odczytu, zapisu i wykonania plików oraz katalogów na serwerze (typowo 644 dla plików i 755 dla katalogów), ograniczające możliwość podmiany kodu strony przez proces serwera WWW.
TAB. 1Nazwapo polsku
| Po angielsku | file permissions |
|---|---|
| Po polsku | uprawnienia plików |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | uprawnienia do plików i katalogów · prawa dostępu do plików |
| Odmiana | te uprawnienia, tych uprawnień, o uprawnieniach (rzeczownik występuje głównie w l.mn.); „uprawnienia do pliku / katalogu”, „nadać uprawnienia”, „z nieprawidłowymi uprawnieniami” |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | „uprawnienia” + notacja polecenia: „jego uprawnienia mogą pozwalać na odczyt przez każdego (chmod 644)”, „chmod -R 750”, „rwx------ (700)” (sekurak) |
|---|---|
| Urząd i ustawa | „uprawnienia plików”: „instalowana z nieprawidłowymi uprawnieniami plików (rwxrwxrwx)”, „bez sprawdzania uprawnień do pliku” (cert.pl) |
TAB. 3Źródła5
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „aplikacja Fast CAD Reader na macOS jest instalowana z nieprawidłowymi uprawnieniami plików (rwxrwxrwx)” | cert.pl |
| PL | „ten plik przekazujemy do stacji klienckich, więc jego uprawnienia mogą pozwalać na odczyt przez każdego (chmod 644)” | sekurak.pl |
| PL | „Aby zablokować innym użytkownikom dostęp do katalogu domowego, możemy uruchomić z uprawieniami root polecenie: # chmod -R 750 /home/lionel” | sekurak.pl |
| PL | „należy nadać skryptowi uprawnienia wykonywania, ale tylko dla roota, czyli rwx------ (700)” | sekurak.pl |
| PL | „Ta przewidywalna nazwa pliku jest tworzona bez sprawdzania uprawnień do pliku ani czy plik już istnieje.” | cert.pl |
TAB. 4Obok w tej dziedzinie6
| testowanie kart | card testing attack | Nadużycie, w którym przestępcy (zwykle botami) wykonują w sklepie serię drobnych płatności lub autoryzacji skradzionymi albo wygenerowanymi numerami kart, aby sprawdzić, które karty są aktywne. W WooCommerce objawia się lawiną nieudanych zamówień i odrzuconych płatności, często przez Store API z pominięciem formularza zamówienia. |
| tryb debugowania na produkcji | debug mode in production (WP_DEBUG, publicly exposed debug.log) | Pozostawienie włączonego WP_DEBUG (i WP_DEBUG_DISPLAY/WP_DEBUG_LOG) na działającej stronie. Błędy PHP pokazują wtedy odwiedzającym ścieżki serwera i fragmenty zapytań, a plik wp-content/debug.log bywa dostępny z przeglądarki — zdarzało się, że wtyczki zapisywały w nim tokeny pozwalające przejąć konto. |
| unfiltered_html | unfiltered_html | Uprawnienie WordPressa pozwalające publikować dowolny HTML i JavaScript we wpisach, stronach, komentarzach i widżetach bez filtrowania. Domyślnie mają je tylko Administrator i Redaktor (w multisite wyłącznie Super Admin); przyznane niższej roli albo niezaufanemu kontu oznacza w praktyce stored XSS. |
| utwardzanie pliku wp-config.php | wp-config hardening | Zabezpieczenie głównego pliku konfiguracyjnego WordPressa, zawierającego dane dostępowe do bazy: ustawienie unikalnych kluczy i soli, wyłączenie edytora plików w panelu (DISALLOW_FILE_EDIT) oraz zablokowanie dostępu do pliku z zewnątrz. |
| webshell | web shell | Skrypt wgrany na serwer strony, który przez zwykłe żądanie HTTP pozwala napastnikowi wykonywać polecenia i operacje na plikach — najczęstsza postać backdoora na WordPressie. |
| weryfikacja uprawnień | capability check | Sprawdzenie po stronie serwera — w WordPressie funkcją current_user_can() — czy uwierzytelniony użytkownik ma prawo wykonać daną operację, czyli właściwa kontrola autoryzacji, odrębna od nonce'a i przez niego niezastępowalna. |