Проверка кода на безопасность

InstantCMS 2.X

вопрос к спецам

#1 10 ноября 2026 в 13:46

Всем мира!!
Товарищи специалисты по безопасности кода, написал код помогала нейронка, для выгрузки базы данных по крону в своем контроллере
Предскажите на живой проект безопасно это ставить? может что поправить ?
так же дамп на диск облачный лучше грузить или на почте оставлять? конечно лучше бы как то что бы автоматом себе на комп, но пока что только на почту отправляет!

Спойлер

<?php
class onRxCronBacapBd extends cmsAction {
 
    public function run() {	
 
	$site_dir = dirname(__DIR__, 3);     
	$config_path = $site_dir . '/config/config.php';	
 
	//// --- Чтение конфига ---
	if (!is_file($config_path)) {
		http_response_code(500);
		exit('Config not found: ' . $config_path);
	}
 
	ob_start();
	$returned = require $config_path;
	ob_end_clean();
 
	$cfg = null;
	if (is_array($returned)) {
		$cfg = $returned;
	} elseif (isset($config) && is_array($config)) {
		$cfg = $config;
	} elseif (isset($settings) && is_array($settings)) {
		$cfg = $settings;
	}
 
	if (!$cfg) {
		http_response_code(500);
		exit('Cannot find config array');
	}
 
	$db_host = $cfg['db_host'] ?? null;
	$db_user = $cfg['db_user'] ?? null;
	$db_pass = $cfg['db_pass'] ?? null;
	$db_name = $cfg['db_base'] ?? null;
	$sitename = $cfg['sitename'] ?? 'Site';
	$mail_from = $cfg['mail_from'] ?? 'site@mail.ru';
 
 
	// Папка для временного хранения бэкапа (желательно ВНЕ веб-корня!)	
	$root_dir   = dirname(__DIR__, 5);
	$backup_dir = $root_dir . '/backup_work/';	
 
 
	if (!is_dir($backup_dir)) {
		if (!@mkdir($backup_dir, 0700, true)) {
			exit('mkdir failed: ' . (error_get_last()['message'] ?? '?'));
		}
	}	
 
	$lock_file = $backup_dir . '.backup.lock';
	$fp = fopen($lock_file, 'c');
 
	if (!flock($fp, LOCK_EX | LOCK_NB)) {
	return true; // уже выполняется, выходим
	}
 
	// Проверка, что папка для бэкапов существует и доступна на запись
	if (!is_dir($backup_dir) || !is_writable($backup_dir)) {
		http_response_code(500);
		exit('Backup directory is not writable');
	}
 
	// 3. Готовим имена файлов ---
	$backup_file = $backup_dir . $db_name . '_backup_' . date('Y-m-d_H-i-s') . '.sql';
	$config_file = tempnam(sys_get_temp_dir(), 'mysql_config_');
	chmod($config_file, 0600);
 
	$config_content  = "[client]\n";
	$config_content .= "host=" . $db_host . "\n";
	$config_content .= "user=" . $db_user . "\n";
	$config_content .= "password=" . $db_pass . "\n";
	file_put_contents($config_file, $config_content);
 
	$safe_config = escapeshellarg($config_file);
	$safe_name   = escapeshellarg($db_name);
	$safe_file   = escapeshellarg($backup_file);
 
	// 4. Запуск mysqldump ---
	$err_file = $backup_file . '.err';
	$command  = "mysqldump --defaults-extra-file={$safe_config} {$safe_name} > {$safe_file} 2>{$err_file}";
	exec($command, $output, $return_var);
 
	if ($return_var !== 0) {
		$err = @file_get_contents($err_file);
		@unlink($backup_file);
		@unlink($err_file);
		error_log('Backup failed: ' . substr((string)$err, 0, 500));
		flock($fp, LOCK_UN); fclose($fp);
		return true;
	}
	@unlink($err_file);
 
	// 5. Удаляем временный конфиг с паролем ---
	if (file_exists($config_file)) {
		unlink($config_file);
	}	
 
	// Email (если файл небольшой)
        if (filesize($backup_file) < 20 * 1024 * 1024) {
            $mailer = new cmsMailer();
			$mailer->setFrom($mail_from, 'BacapBD');
			$mailer->addTo('my_email@mail.ru', 'Получатель');
			$mailer->setSubject('BacapBD '.$sitename);
			$mailer->addAttachment($backup_file);  
			$mailer->setBodyHTML('BacapBD for '.$sitename);
			$mailer->send();
			$mailer->clearTo()->clearAttachments();
        }
 
	    // Удаляем бэкап с сервера после отправки
	    @unlink($backup_file); 
 
	    flock($fp, LOCK_UN);
		fclose($fp);
 
		return true; 
 
    }  
}

Рекомендую хостинг beget.com (30 дней бесплатно) : https://beget.com/p1866

#2 10 ноября 2026 в 14:16

Прочитал тему. Автор просит проверить код резервного копирования БД. В таком виде ставить на рабочий сайт рискованно.

В опубликованном коде есть конкретные проблемы:

Дамп удаляется без подтверждения отправки: результат send() не проверяется. При размере от 20 МБ отправка вообще пропускается, а файл всё равно удаляется.
При ошибке mysqldump остаётся временный конфиг с паролем БД. Очистку нужно выполнять через finally.
Путь $err_file подставляется в shell-команду без escapeshellarg().
Значения логина и пароля записываются в конфиг MySQL без обработки специальных символов.
Не проверяются результаты fopen(), tempnam(), записи конфига; права на сам дамп явно не устанавливаются.
Для изменяющейся InnoDB-базы стоит предусмотреть --single-transaction: сейчас согласованность резервной копии не обеспечена.
Хранение вне веб-корня и блокировка flock() — полезные меры, но перечисленные ошибки они не устраняют.

Для хранения предпочтительнее зашифрованная копия на отдельном хранилище с историей версий, а почту использовать для уведомлений. Удалять локальный дамп следует только после подтверждённой загрузки; восстановление нужно отдельно проверить.

Создание и продвижение сайтов - https://topgenius.ru . Связь https://t.me/Topgenius13 Вкладываю душу в itsnew.ru

-1

#3 10 ноября 2026 в 14:26

БЕЗОПАСНОЕ РЕЗЕРВНОЕ КОПИРОВАНИЕ БД INSTANTCMS
10.11.2026. Вариант исходного форумного обработчика rx / bacap_bd.

Это исходник хука, НЕ установочный пакет дополнения. Через установщик CMS
этот ZIP устанавливать не нужно. Ядро и таблицы CMS не изменяются.
Требуется существующий компонент rx. Для другого компонента изменить имя
класса onRxCronBacapBd и путь. Совместимость по синтаксису: PHP 7.4+,
64-bit Linux, InstantCMS 2.17.2+. API cmsConfig/cmsMailer сверены с 2.18.2.
Реальные сайт, СУБД и почтовый сервер автора не были доступны для проверки.

УСТАНОВКА
1. Сохранить исходный cron_bacap_bd.php и временно отключить эту задачу.
2. От имени пользователя, который запускает PHP cron, создать отдельную
папку вне всех каталогов сайтов, alias и открываемых по HTTP хранилищ:
mkdir -m 700 /absolute/private/icms-db-backups
Родитель должен существовать; все предки — без записи группе/остальным.
Пример пути условный. Не размещать в public_html, uploads, cache или /tmp.
Проверка кода учитывает известные CMS web-root, но не знает alias nginx
и виртуальные хосты. Исключить HTTP-доступ обязан администратор сервера.
3. В начале PHP-файла задать BACKUP_DIR и DUMP_BINARY. Папка должна иметь
права ровно 0700 и принадлежать пользователю cron. Указать реальный полный
путь к mysqldump / mariadb-dump, соответствующему серверу БД.
4. По умолчанию EMAIL_TO пуст: создаются только локальные SQL + SHA-256.
Для почты указать свой адрес в EMAIL_TO. Требуется расширение PHP zip
с AES-256; скрипт проверяет шифрование и расшифрованный SHA-256 перед отправкой.
Задать ICMS_BACKUP_ZIP_PASSWORD в защищенном окружении задания cron.
Пароль — случайный, не менее 24 символов; лучше 32 случайных байта в hex.
Хранить отдельно в менеджере паролей. Не помещать в URL, командную строку,
письмо с архивом, публичную инструкцию или репозиторий.
Учесть: среда задания cron обычно отличается от среды терминала.
5. При нестандартном подключении задать ICMS_BACKUP_DB_PORT и/или
ICMS_BACKUP_DB_SOCKET в окружении. db_host должен быть хостом, а не URL
или строкой host:port. Пароль БД читается из загруженной конфигурации CMS.
Нестандартные имена БД с пробелами/Unicode намеренно отклоняются.
6. Заменить только файл:
system/controllers/rx/hooks/cron_bacap_bd.php
Файл должен иметь обычные права исходника (например 0644), не 0777.
7. В штатном планировщике: компонент rx, хук bacap_bd, например 1440 минут.
Не создавать вторую такую же задачу. Cron сайта запускается через PHP CLI:
/usr/bin/php -f /absolute/path/to/site/cron.php example.org
Это команда всего планировщика сайта, не отдельного PHP-файла хука.
Не снимать CLI-защиту в cron.php. Новый хук намеренно не работает через HTTP.
8. Первый запуск — на тестовой копии; проверить журнал PHP, SQL, SHA-256,
восстановление и при необходимости доставку и расшифровку письма.
После проверки включить задачу на рабочем сайте.

ЧТО ИЗМЕНЕНО
— Никакого shell: proc_open получает массив аргументов.
— Пароль отсутствует в аргументах процесса; временный client.cnf — 0600
в папке 0700. Значения экранируются по формату option-файла MySQL.
— Ограничены время (600 с), размер дампа (2 GiB), занятое хранилище (10 GiB),
минимальный остаток диска (512 MiB), stderr (1 MiB).
— Проверяются код завершения, размер и завершающий маркер mysqldump.
Успешный файл получает итоговое имя только после этих проверок.
— Один запуск на папку через flock. Разным сайтам нужны разные папки.
— Временные файлы удаляются в finally и shutdown; остатки после SIGKILL
убираются при следующем запуске под блокировкой. При отключении задачи
удалить .icms-work-* вручную из защищенной папки после остановки процессов.
— Локальный готовый SQL НИКОГДА не удаляется автоматически.
— Почта содержит только проверенный ZIP AES-256. При любой ошибке отправки,
отсутствии пароля/zip или превышении лимита SQL остается на диске.
— Порог вложения — 10 MiB (и исходного SQL тоже); base64 увеличит письмо.
Это консервативный лимит, а не попытка сжать большую БД до любого размера.
— Успех send() означает прием почтовым транспортом, а не доставку адресату.
Готовый SQL остается даже после успешной отправки. Открывать ZIP нужно
программой с поддержкой AES-256 ZIP (например совместимым архиватором).

ОГРАНИЧЕНИЯ И ОБСЛУЖИВАНИЕ
— Локальный SQL не зашифрован: защищен правами доступа. Пользователь PHP,
root и скомпрометированный код того же сайта могут его прочитать.
Для защиты от взлома сервера нужна отдельная удаленная копия с версиями
и отдельными учетными данными. Загрузки в облако в этом варианте нет.
— Автоудаления старых копий нет намеренно: при лимите задача откажется
создавать новую. Настроить контроль журнала [rx backup] и заполнения диска;
удалять старые копии лишь после проверки независимой копии/восстановления.
Лимиты проверяются раз в 0,2 секунды: возможен небольшой перерасход;
жесткий лимит обеспечивает квота ОС, а не этот скрипт.
— --single-transaction дает согласованный снимок для InnoDB, при отсутствии
параллельных ALTER/DROP/RENAME/TRUNCATE. Для MyISAM/Aria и смешанных движков
этот вариант не гарантирует согласованность: нужен другой режим/окно
обслуживания. Не выполнять миграции схемы во время копирования.
— Включены routines/events/triggers. Их выгрузка требует соответствующих
прав БД. Отсутствие прав считается ошибкой; частичный SQL удаляется.
Для MySQL при ошибке PROCESS/tablespaces может потребоваться осознанное
добавление --no-tablespaces после проверки используемой структуры БД.
Не менять кодировку/GTID/TLS-параметры вслепую. Для удаленной БД отдельно
настроить проверяемое TLS-подключение для вашего клиента MySQL/MariaDB.
— --defaults-file изолирует обычные option-файлы. У MySQL также возможен
пользовательский .mylogin.cnf: проверить отсутствие конфликтующего login
path у пользователя cron; MySQL и MariaDB отличаются в этой части.
— Временный конфиг удаляется, но это не гарантированное стирание с SSD,
файловой системы, swap и снимков хостинга. При SIGKILL/power loss код
очистки выполнить невозможно; остатки закрыты правами 0700/0600.
— Этот код копирует БД, а не файлы сайта/uploads и не конфигурацию сайта.
— SHA-256 и завершающий маркер — проверка целостности, не тест восстановления.
— Возвращаемое false не следует считать системой уведомлений: cron CMS
может только обновить дату запуска. Контролировать журнал PHP отдельно.

ПРОВЕРКА ВОССТАНОВЛЕНИЯ
На изолированном тестовом MySQL/MariaDB, без подключения к рабочему сайту:
1. Сверить SHA-256 с файлом .sha256.
2. При использовании почты расшифровать ZIP локально и сверить SHA-256 SQL.
3. Импортировать SQL на тестовом сервере. В дампе есть CREATE DATABASE/USE
с исходным именем БД: не импортировать его на рабочий сервер для теста!
Учесть EVENT SCHEDULER: тестовый сервер не должен запускать события с
внешними побочными эффектами. Проверить таблицы, строки, русский текст,
emoji при их наличии, триггеры/процедуры и запуск тестовой копии сайта.

ОТКАТ
Отключить задачу, убедиться, что процесс завершился, вернуть исходный PHP.
Готовые SQL сохраняются. Изменений ядра/схемы БД этот хук не делает.

ИСТОЧНИКИ
instantcms.ru/forum/pfind/371434
docs.instantcms.ru/dev/controllers/core
docs.instantcms.ru/manual/settings/scheduler
docs.instantcms.ru/manual/settings/scheduler/task

Прикрепленный файл

instantcms-rx-safe-backup-20261110.zip 11 Кб

Создание и продвижение сайтов - https://topgenius.ru . Связь https://t.me/Topgenius13 Вкладываю душу в itsnew.ru

-1

#4 10 ноября 2026 в 18:24

🤣 Хаха, теперь и ответы даже нейронки пишут, ну харе уже. Пусть тогда нейронки тут и общаются. Жесть какая то пошла.

Рабочий проект NEURO-AI.ru

#5 10 ноября 2026 в 18:33

Людям уже лень отвечать, копипаста отсюда-туда-обратно. При чём бездумная.

А по сабжу, не знаю что за нейросеть писала этот ужасный код, видимо 2b модель в ollama. Ну скормите вы доки и исходный код InstantCMS, сделайте нормальный rag. Или воспользуйтесь mcp сервером, здесь кто-то выкладывал под InstantCMS. Ну и бэкап по английски будет «backup».

Понимаю, что в связи с ситуацией Beget люди озадачились бэкапами, но бэкапы лучше делать на стороне сервера. Слать на email файлы бэкапа можно конечно, но если база гигабайт например, то что?

🛠 docs.instantcms.ru

#6 10 ноября 2026 в 19:11

Или воспользуйтесь mcp сервером
Fuze

он не очень. лучше доки.

но бэкапы лучше делать на стороне сервера
Fuze

тут или расходы дополнительные на подключение отдельного хранилища. Или проблемы при попытке скачать с сервера гигабайтные архивы (hostiman грешит скачиванием битых бакапов).

Поэтому для себя остановился на связке cwrsync + mysqldump. Ииха пишет прям щас. А взлетит или нет, покажет практика. Но да.

в связи с ситуацией Beget
Fuze

никогда бы не подумал, что такое может произойти с топовым хостером. Поэтому свой бакап ближе к ssd

Разработка виджетов, полей и компонентов, сайты под ключ. site: www.zau4man.ru telegram: @zau4man консультации: 500р./час

#7 10 ноября 2026 в 20:25

🤣 Хаха, теперь и ответы даже нейронки пишут, ну харе уже. Пусть тогда нейронки тут и общаются. Жесть какая то пошла.
Clear

я когда писал об этом уже думал)

Добавлено спустя 4 минуты

Или воспользуйтесь mcp сервером Fuze он не очень. лучше доки. но бэкапы лучше делать на стороне сервера Fuze тут или расходы дополнительные на подключение отдельного хранилища.
Zau4man

у меня утро было доброе, бегетик прилёг а там сайты один 2 года ежедневно делал, другой 10 и плюс пачка клиентских сайтов штук 15...

Создание и продвижение сайтов - https://topgenius.ru . Связь https://t.me/Topgenius13 Вкладываю душу в itsnew.ru

#8 Вчера в 11:19

Поэтому для себя остановился на связке cwrsync + mysqldump. Ииха пишет прям щас. А взлетит или нет, покажет практика.
Zau4man

Отпишитесь пожалуйста получилось ли? так как нужно как то организовать ежедневные копии баз себе на ПК, ну и файлов может быть, пусть лучше место занимают чем потом бэкапы догонять которых нет)

Рекомендую хостинг beget.com (30 дней бесплатно) : https://beget.com/p1866

#9 Вчера в 23:37

Не понимаю проблемы, 300гб ФТП, 300р стоит, столет гоняю более 100гб ежедневно

Изучаю пожелания на обновление

Вы не можете отвечать в этой теме.
Войдите или зарегистрируйтесь, чтобы писать на форуме.

Проверка кода на безопасность

Похожие темы

[ЕСТЬ РЕШЕНИЕ] Пропадает часть кода в статьях

Проверка группы определённого пользователя

Стиль кода и реформат в IDE

массовые регистрации новых пользователей

Система безопасности для InstantCMS

[ЗАКРЫТО] Проверка дружбы в записи ТК

Проверка деревьев белый экран

[ЗАКРЫТО] 503 - Админка Проверка Деревьев

Похожее в блогах

ХОЖДЕНИЕ ПО ХОСТЕРАМ ИЛИ КАК Я СТАЛ «АМЕРИКАНЦЕМ»

Закладки3

Утилита "Генератор компонента"

Content Security Policy (CSP) для InstantCMS 2

InstantCMS Team

О проекте

Поддержка

Дополнения