Verifica dell'integrità dei file del core di Drupal, anche nei progetti Composer
Drupal non pubblica un elenco di impronte dei suoi file. Noi le calcoliamo dall'archivio ufficiale di ogni versione e le confrontiamo con il sito, sia che tu l'abbia installato dall'archivio sia con Composer.
Con Composer i file del core non sono identici all'archivio.
Composer installa il core da git: i file .info.yml non hanno le righe che drupal.org aggiunge agli archivi. Su Drupal 10.6 sono 626 file. Un confronto ingenuo segnala tutti come modificati.
Nei siti installati dall'archivio invece c'è anche vendor/ nella cartella del sito, con migliaia di file di librerie da controllare.
Impronte dall'archivio ufficiale, nelle due forme.
Archivio drupal.org
Scarichiamo l'archivio della versione installata da ftp.drupal.org, lo stesso che Composer usa per i moduli.
Due forme ammesse
Per i soli
.info.ymlaccettiamo la versione dell'archivio e quella di git, ricavata togliendo esattamente il blocco aggiunto da drupal.org.File in più
Cerchiamo i file che non fanno parte della release dentro
core/e, negli archivi, dentrovendor/.
Vuoi provarlo su un sito vero? La prova di 30 giorni non chiede la carta di credito.
Prova gratisDomande frequenti
Se applico una patch al core con Composer?
Il file risulta modificato. Lo vedi accanto all'originale, e se la patch è voluta lo approvi.
E dopo un aggiornamento del core?
Confrontiamo i file con l'archivio della nuova versione. Nei nostri aggiornamenti reali dalla 8.9 alla 11.4 il core è sempre risultato pulito, con un solo avviso di aggiornamento.
Da vedere insieme
- Avvisi per core e moduli Drupal con release insicureDati di drupal.org: release insicure e versione che le corregge.
- Rilevare le backdoor di Drupalgeddon e Drupalgeddon2 sui siti DrupalBackdoor nel database, PHP nei file pubblici, miner nel core: le tracce dei due attacchi.
- Monitoraggio dei siti Drupal per le agenzie webUn modulo Drupal nativo, con release insicure e integrità del core da drupal.org.
- Backup cifrati e ripristino dei siti DrupalDatabase e file cifrati sul sito, ripristino che lascia il sito collegato.
Provalo sui siti dei tuoi clienti.
Collega oggi i primi siti e guarda cosa ci trova SitePing.
- Tutte le funzioni di Complete tranne i backup
- Fino a 10 siti
- Per iniziare non serve la carta di credito
- Alla fine scegli un piano o passi a Free, e non paghi niente
Hai già un account? Accedi. Preferisci guardare prima un sito? Audit gratuito in sola lettura.