Sicherheitsprüfung: Einrichtung und Hilfe

Anforderungen

Erfordert PrestaShop 1.7 oder neuer und PHP 7.1 oder neuer.

Security Scan ist unter AFL-3.0 lizenziert. Installieren Sie die veröffentlichte ZIP-Datei über "Modules" > "Module Manager" > "Upload a module". Öffnen Sie "Security Scan" > "Scan & Report". Das Modul fügt "History" und "Settings" hinzu, einschließlich "Configuration" und "System Check".

Der Scanner erkennt Probleme und liefert manuelle Korrekturschritte. Er blockiert keine Anfragen, korrigiert keine Shopdateien, ändert keine Sicherheitseinstellungen und entfernt keine Schadsoftware. Beim Ausführen eines Scans werden Bericht und Zusammenfassung in der Datenbanktabelle des Moduls gespeichert.

Öffnen Sie "Security Scan" > "Settings" > "Configuration".

Klicken Sie auf "Save settings", dann auf "Back to scan".

Die Stichprobengrenze für statische Codeprüfungen beträgt 1.200 PHP-Dateien bei aktiviertem Tiefenscan und 300 bei deaktiviertem Tiefenscan. Die Grenze für Schadsoftwareprüfungen beträgt 2.500 Dateien bei aktiviertem und 600 bei deaktiviertem Tiefenscan. Dies sind begrenzte Scans, keine vollständigen Prüfungen aller Dateien.

Erster Scan

1. Öffnen Sie "Security Scan" > "Scan & Report".
2. Klicken Sie auf "Run scan now".
3. Prüfen Sie Punktzahl, Datum, Scandauer und Befunde.
4. Lesen Sie zuerst Befunde unter "Critical" und "High", dann unter "Medium" und "Low".
5. Prüfen Sie jedes betroffene Element und befolgen Sie die passenden manuellen Korrekturschritte.
6. Klicken Sie nach den Korrekturen auf "Re-scan now".

Der Bericht ist wie folgt gruppiert:

Der Scanner vergleicht nicht alle Core-Dateien mit offiziellen Versionsprüfsummen. Seine Schadsoftwaremuster und Codeprüfungen können Probleme übersehen und legitimen Code markieren. Ein sauberes Ergebnis bedeutet, dass diese Prüfungen kein Problem der Art gefunden haben, nach der sie suchen.

Punktzahl und Verlauf

Die Punktzahl beginnt bei 100. Befunde ziehen ihre zugewiesenen Gewichte ab; das Ergebnis wird auf 0 bis 100 begrenzt.

Öffnen Sie "Security Scan" > "History", um die letzten 30 gespeicherten Zusammenfassungen zu vergleichen. Jede Zeile zeigt Datum, Punktzahl, Note, Problemzahlen und Auslöser. "History" ist eine Zusammenfassungsliste; die Scanseite zeigt den neuesten Bericht.

Verwenden Sie die Punktzahl, um zu entscheiden, was Sie zuerst prüfen. Sie bescheinigt nicht, dass der Shop sicher ist, und ist weder ein Penetrationstest noch ein Bericht zur Vorfallsbehandlung. Wenn Sie eine aktive Kompromittierung vermuten, sichern Sie Beweise und veranlassen Sie eine Untersuchung des Vorfalls, bevor Sie Dateien entfernen.

Lokaler Betrieb

Der normale Scan liest lokale Dateien, Konfiguration und Datenbankdaten über eine Schutzfunktion für schreibgeschützte Abfragen. Er speichert seine Ergebnisse lokal. Wenn öffentliche URL-Prüfungen aktiviert sind, sendet er auch geschützte Anfragen an den Shop selbst. Der lokale Scanpfad lädt seinen Bericht nicht zu mypresta.rocks hoch.

Verwaltete Flotte

Die Flottenregistrierung ist optional und für lokale Scans nicht erforderlich. Der Controller "Fleet Connector" existiert, ist aber im Seitenleistenmenü verborgen. Öffnen Sie ihn über den Verbindungslink Ihres Flottenablaufs.

Geben Sie auf dieser Seite "Hub URL" und "Enrollment token" aus Ihrem Security Revolution-Hub ein und klicken Sie auf "Connect this shop". Verwenden Sie nach der Registrierung "Poll hub now", um die Verbindung zu prüfen, und kontrollieren Sie "Connector status", "Last poll" und "Last error".

Die Registrierung verbindet den Shop mit einem externen Berichtsablauf und ermöglicht signierte Scananfragen mit erteilter Zustimmung. Über diesen Ablauf geteilte Befunde liegen außerhalb des oben beschriebenen rein lokalen Betriebs. Schützen Sie die Registrierungs- und Abfragetokens.

Das Modul enthält weder einen Scanner-CLI-Befehl noch einen automatischen Scanzeitplan. Wenn Sie den Server verwalten, können Sie den gewünschten Shop initialisieren und den Dienst über ein eigenes PHP-Skript aufrufen:

require '/var/www/html/config/config.inc.php';
require _PS_MODULE_DIR_ . 'mprsecurityscan/vendor/autoload.php';

$run = \MPRSecurityScan\Service\ScanRunner::runAndStore('cron', null, [
    'allow_network' => false,
    'deep_scan' => true,
]);

echo 'Scan #' . (int) $run['id_scan'] . ' stored' . PHP_EOL;

Ersetzen Sie den Initialisierungspfad durch den tatsächlichen Pfad Ihres Shops. Führen Sie das Skript mit einem Konto aus, das die Shopdateien lesen und auf die Datenbank zugreifen kann. Das Argument cron bezeichnet den gespeicherten Auslöser; es erstellt keine geplante Aufgabe.

Ersten Lauf bestätigen

Prüfen Sie, ob sich das Berichtsdatum ändert, eine Punktzahl erscheint und "History" eine neue Zeile erhält. Prüfen Sie gemeldete Prüffehler ebenso wie Befunde. Führen Sie nach einer manuellen Korrektur einen weiteren Scan aus und vergleichen Sie die betroffene Prüfung.

Häufige Probleme

• Die Zugänglichkeitsprüfungen liefern kein Ergebnis. Prüfen Sie den Schalter "Confirm exposure by self-checking public URLs", die Shopdomain und ob der Server seine eigene öffentliche Adresse erreichen kann. Ist der Schalter aus, kann der Scan nicht erkennen, ob eine Datei von außen erreichbar ist.
• Der Scan dauert zu lange. Deaktivieren Sie "Deep scan (code & malware heuristics)" und versuchen Sie es erneut. Prüfen Sie bei erneutem Fehlschlag das Ausführungszeitlimit des Hostings und den Dateizugriff.
• Eine Code- oder Schadsoftwarewarnung wirkt falsch. Vergleichen Sie die aufgeführte Datei mit einer bekanntermaßen sauberen Quelle. Ein Mustertreffer allein rechtfertigt keine Löschung.
• Kein Verlauf oder Fehler der Modultabelle. Öffnen Sie "Security Scan" > "Settings" > "System Check" und prüfen Sie das Ergebnis der Modulinfrastruktur.

Speichern Sie benötigte Berichte vor der Deinstallation über "Module Manager". Die Deinstallation entfernt das Modulmenü, seine deklarierten Tabellen einschließlich Scanverlauf und Connector-Datensätzen sowie seine Konfiguration. Eine Neuinstallation stellt diesen Verlauf nicht wieder her.

• Werkzeugseite
• Scanneranleitung
• Security Revolution