OcBox Antihack — усі методи захисту OpenCart від атак в одному безкоштовному модулі (Community Edition)

OcBox ★★★★★ 5 відгуків 604 завантажень 4 786 12.11.26

1.27.0 Ioncube Loader: Ні

Безкоштовно

OpenCart3.0, 2.3, 2.2, 2.1, 2.0

ocStore3.0, 2.3.0.2.4, 2.3, 2.2, 2.1

Тип ліцензії

Метод активаціїБез активації

Ioncube LoaderНі

Звернення до сервера розробникаНі

Завантаження604

Опубліковано22.07.26

Оновлене12.11.26

Розмір файлу615 КБ

Відгуки користувачів

OcBox Antihack — усі методи захисту OpenCart від атак в одному безкоштовному модулі

Це безкоштовний модуль формату Community Edition. Ми зібрали в одному місці всі програмні засоби та методи захисту магазину OpenCart від атак — WAF, сканер вірусів і шелів з AI-перевіркою знахідок, блокування IP, захист адмінки, моніторинг трафіку, інтеграцію з Cloudflare. Замість десятка розрізнених правил у .htaccess і платних підписок — один модуль, який ставиться за кілька хвилин.

Модуль не входить у платну збірку OcBox — це окремий безкоштовний подарунок спільноті. Качайте, користуйтесь, діліться враженнями.

Хрещені батьки цього модуля. Модуль виріс саме таким завдяки прямим підказкам двох людей зі спільноти форуму. Окрема велика подяка їм:

Alex532: фільтри й масові дії у списку подій, бан прямо з рядка, клікабельні IP з переходом на whois-сервіси, а ще кілька знайдених ним багів, які ми одразу полагодили.
Binjonso: безпечний вхід в адмінку без ризику себе замкнути навіть на динамічному IP, і точніша геолокація адрес через кілька сервісів на вибір.

Якщо ви теж знайдете, що покращити, пишіть. Саме так модуль і росте.

Що ви отримуєте — детально

Нижче — усі рівні захисту, які модуль додає до вашого магазину. Кожен вмикається окремо, тому ви самі вирішуєте, наскільки жорстко закрутити гайки.

WAF — блокує атаки прямо на вході, до того як вони дійдуть до движка

✓ Фаєрвол веб-застосунку на кожен запит
Модуль перевіряє кожен вхідний запит на відомі патерни атак: SQL-ін’єкції, XSS (спроби впровадити <script>, iframe, svg-навантаження), обхід каталогів (../../etc/passwd), віддалене виконання коду (eval, system, shell_exec), ін’єкції команд оболонки. Підозрілий запит блокується ще до того, як OpenCart почне його обробляти.
⚠ Без цього: чистий OpenCart віддає будь-який запит одразу в контролер — одна необроблена вразливість у сторонньому модулі, і зловмисник уже виконує код на вашому сервері.

Автоблок IP — той, хто ломиться, сам себе замикає

✓ Тимчасове і постійне блокування IP-адрес
Після кількох спрацювань WAF або невдалих спроб входу IP автоматично потрапляє у бан — на заданий час або назавжди. Список заблокованих видно в адмінці, звідти ж будь-яку адресу можна розблокувати вручну. Час бану і поріг спрацювання налаштовуються. Крім одиночних адрес, можна заблокувати одразу діапазон (112.86.*, 112.*, 112.86.1.* або 112.86.0.0/16, так само для IPv6): на великий діапазон модуль спершу показує, скільки адрес під нього потрапить, і просить підтвердження, щоб випадково не заблокувати півінтернету.
⚠ Без цього: бот перебирає паролі й вразливості годинами з однієї адреси — і ніхто його не зупиняє.

Контроль цілісності файлів — ловить зміни, які пропускає сигнатурний сканер

✓ Контроль хеш-сум кожного файлу в області сканування
Модуль запамʼятовує md5 кожного файлу в тій самій області, що сканує антивірус, і звіряє за розкладом CRON. Перший запуск тихо знімає еталон, кожен наступний показує окремим списком нові, змінені й видалені файли.
⚠ Без цього: якщо зловмисник не заливає новий файл, а дописує один рядок у вже існуючий легітимний файл, сигнатурний сканер може це пропустити — а звірка хешів бачить будь-яку зміну миттєво.

Сканер вірусів і веб-шелів — знаходить те, що вже пролізло

✓ Пошук шкідливого коду у файлах магазину
Сканер проходить по файлах і шукає сигнатури відомих веб-шелів (c99, r57, b374k, WSO, FilesMan та інші), backdoor-код, обфускацію (base64_decode, gzinflate, str_rot13, hex-послідовності), eval від $_GET/$_POST, PHP, замаскований під картинку. Знайдене показується списком з рівнем небезпеки. Запускається вручну або щодня за розкладом. Сканування робить тільки сканування: важкі службові процедури більше не їдуть слідом за ним і не дають стрибка навантаження. Для дуже великих магазинів є окремий перемикач, який вимикає запис списку перевірених файлів у лог і помітно прискорює прогін. У листі зі звітом видно і час початку, і час завершення.
⚠ Без цього: залитий шел місяцями сидить у папці й тихо зливає замовлення та бази — ви дізнаєтесь про це від хостингу або від клієнтів.

AI-аналіз знахідок — друга думка нейромережі по кожному підозрілому файлу

✓ Розумна перевірка знахідок сканера на вашому власному AI-ключі
Біля кожної знахідки сканера є кнопка AI-аналізу. Нейромережа читає підозрілий файл і простими словами дає другу думку: це справжній шкідливий код (веб-шел, бекдор, ін’єкція, крадій даних) чи хибне спрацювання, наскільки вона в цьому впевнена, що саме файл робить і що з ним робити далі. Працює на вашому власному ключі (Anthropic Claude або OpenAI), окремому від будь-яких ключів OcBox: оплата йде тільки з вашого рахунку, а файли нікуди не передаються, крім вашого ж AI-провайдера.
⚠ Без цього: сканер дає десятки знахідок, і ви годинами вручну розбираєте, де реальний шел, а де безневинний код, ризикуючи проґавити справжню загрозу серед шуму.

Захист адмінки — секретний токен у адресі входу

✓ Прихований вхід в адмінку за токеном
Адмінка відкривається лише за спеціальним посиланням з токеном — усі спроби зайти на стандартний /admin без нього відсікаються. Це закриває магазин від автоматичного перебору паролів, бо бот просто не бачить форму входу.
⚠ Без цього: адреса адмінки відома всім, і по ній цілодобово гатять словниками паролів.

Моніторинг трафіку — бачите сплеск, поки він не поклав сайт

✓ Лічильник запитів із нормою і статусом
Модуль рахує запити за хвилину й за годину, тримає «норму» (baseline) і показує статус трафіку. Аномальний сплеск (бот-навала, спроба DDoS) одразу видно на панелі, а не тоді, коли магазин уже ліг.
⚠ Без цього: перший сигнал про атаку — це «сайт не відкривається» від клієнта.

✓ Загальний ліміт запитів на весь сайт
Окремо від ліміту на одну адресу можна задати, скільки запитів за хвилину магазин приймає сумарно від усіх відвідувачів разом. Понад ліміт нові відвідувачі отримують коректну відповідь 503 з порадою повторити за кілька секунд. Адмінку, відповіді платіжних систем, сторінку подяки після оплати, крони, запити з самого сервера, білий список і перевірених пошукових роботів (Google, Bing, Apple, DuckDuckGo) ліміт не чіпає — назватися Googlebot для обходу не вийде, модуль перевіряє це насправді.
⚠ Без цього: розподілена навала з сотень різних адрес, кожна в межах свого особистого ліміту, усе одно кладе сервер усіма разом узятими.

✓ Журнал запитів із фільтрами і масовими діями
Увімкнувши журналювання, бачите живий список вхідних запитів: IP, адреса, статус відповіді, час. Фільтр за датою і часом з точністю до хвилини, перехід на будь-яку сторінку списку одним номером, і бан чи розбан вибраних рядків одразу з журналу. Для магазинів з великим трафіком є семпл (писати кожен N-й запит), щоб не навантажувати базу, а картина трафіку лишається репрезентативною.
⚠ Без цього: щоб зрозуміти, що саме відбувалось на сайті хвилину тому, доводиться лізти в сирі логи хостингу вручну.

✓ Статистика по IP: ризик-скор, частка 404, спроби входу
Раз на хвилину модуль згортає журнал запитів у статистику по кожній адресі: кількість запитів, унікальні URL, частка відповідей 404, ознаки сканування, спроби входу в адмінку. Сортування за ризик-скором одразу показує, хто поводиться підозріло, навіть якщо жодне окреме правило WAF ще не спрацювало. Фільтр за датою з кнопками «Сьогодні» / «Останні 7 днів» / «Останні 30 днів», масовий бан чи розбан усіх адрес під поточним фільтром.
⚠ Без цього: повільний розподілений перебір непомітний для простого лічильника за хвилину — кожна окрема адреса виглядає безпечно, а разом вони кладуть магазин.

Білий список IP — свої проходять завжди

✓ Довірені адреси поза правилами
Ваш офіс, адреса розробника, IP платіжного шлюзу чи служби доставки — усе, що має проходити завжди, додається в білий список і ніколи не блокується, навіть якщо випадково зачепить правило.
⚠ Без цього: занадто жорсткий фаєрвол ризикує заблокувати вас самих або важливий сервіс.

Токени доступу — захист CRON та службових адрес

✓ Службові URL відкриваються лише за токеном
CRON-задачі, службові й адмінські маршрути захищаються токенами доступу — випадковий відвідувач чи бот не зможе смикнути важливий endpoint напряму.
⚠ Без цього: відкритий CRON-URL — це кнопка, яку може натиснути будь-хто.

Інтеграція з Cloudflare — бан на рівні мережі, а не тільки сайту

✓ Синхронізація блокувань з Cloudflare
Якщо магазин за Cloudflare, модуль допомагає налаштувати передачу реального IP (mod_remoteip) і працює з фаєрволом CF — атака відсікається ще на межі мережі, не доходячи до вашого сервера.
⚠ Без цього: за Cloudflare без правильного mod_remoteip ви бачите й баните один і той самий IP проксі замість справжнього зловмисника.

Редактор nginx / .htaccess — хардненґ без риття в конфігах вручну

✓ Готові правила зміцнення сервера
Модуль підказує й допомагає додати правила у .htaccess (Apache) чи конфіг nginx: заборона виконання PHP у папках завантажень, закриття службових файлів, mod_remoteip для Cloudflare. Кроки встановлення розписані прямо в інтерфейсі.
⚠ Без цього: папка image/ чи download/ із дозволеним PHP — класичний шлях для запуску залитого шела.

Журнал подій — кожна відбита атака зафіксована

✓ Лог усіх спрацювань захисту
Кожне блокування записується: IP, причина, тип атаки, рівень небезпеки, час. Видно, звідки й чим по вас б’ють, і можна оцінити, чи правильно налаштовані правила.
⚠ Без цього: ви не знаєте ні що вас атакували, ні як саме — поки не стало пізно.

CRON-автоматизація — захист працює сам

✓ Щоденне сканування, база трафіку, автоочищення
За розкладом модуль сам сканує файли на віруси (щодня), оновлює базу нормального трафіку (щогодини) та чистить старі записи. Один раз налаштували CRON — і захист живе своїм життям.
⚠ Без цього: разовий скан нічого не дає — шел заливають уже після того, як ви перевірили.

Що це означає простими словами

Раніше, щоб захистити OpenCart, треба було вручну збирати правила з десятка форумних тем, лізти в .htaccess, окремо ставити сканер, окремо думати про брутфорс і Cloudflare. OcBox Antihack збирає всі ці засоби в одну панель в адмінці: WAF, сканер, блокування, моніторинг, хардненґ — усе в одному місці, увімкнув галочками потрібне й забув.

Для кого цей модуль

Для будь-якого магазину на OpenCart чи ocStore, який хоч раз бачив у логах перебір паролів, спроби SQL-ін’єкцій або незрозумілі PHP-файли у папках. Особливо — для магазинів без окремого адміністратора безпеки, де захист має працювати «з коробки» й сам.

Сумісність

Модуль працює на OpenCart 3.0 та ocStore 3.0, і так само на OpenCart 2.3 та ocStore 2.3: це дві окремі збірки, беріть ту, що під вашу гілку. Працює як на Apache (.htaccess), так і на nginx, PHP від 5.6 до 8.3. Є інтеграція з Cloudflare.

Модуль вийшов зі стадії бети — і він, як і раніше, безкоштовний.

Ставте на свій магазин, вмикайте потрібні рівні захисту — і пишіть нам у тему підтримки, якщо щось знайдете. Кожен фідбек іде в роботу, кожен звіт про хибне спрацювання чи пропущену атаку робить модуль кращим для всієї спільноти. Це наш внесок у безпеку українського OpenCart-ринку, і він завжди буде безкоштовним.

Регламент видачі файлів модуля

Модуль безкоштовний і видається одразу після завантаження з цієї сторінки. Жодних ключів чи активації не потрібно — розпаковуєте, заливаєте upload/ у корінь магазину, оновлюєте модифікації в адмінці та вмикаєте потрібні рівні захисту.

Знайшли помилку в роботі модуля?

Напишіть у тему підтримки або в особисті повідомлення: посилання на сторінку, що ви робили, що сталося, і текст помилки. Як за пʼять хвилин увімкнути показ помилок, знайти журнал і побачити помилки в консолі браузера, покроково зі скріншотами: Помилки на сайті OpenCart: як їх увімкнути, знайти і передати розробнику. З таким звітом ми виправляємо проблему значно швидше.

OcBox MEGA вже вийшов: готовий магазин на OpenCart 3

Шаблон і сім модулів OcBox в одному комплекті: швидке оформлення SmartOrder, живий пошук, фільтр, аналітика й ремаркетинг, відгуки з фото, мікророзмітка і вхід через соцмережі. Ставите, налаштовуєте кольори та блоки головної, і магазин уже продає.

Першим 100 покупцям $30 замість $200.

Дивитись OcBox MEGA → Живе демо →

Підписуйтесь на наш канал: t.me/ocboxchannel

Характеристики

Системні вимогиPHP 7.0+, MySQL 5.6+, Apache/nginx

Метод активаціїБез активації

Ioncube LoaderНі

OpenCart3.0, 2.3, 2.2, 2.1, 2.0

ocStore3.0, 2.3.0.2.4, 2.3, 2.2, 2.1

OpenCart.Pro, ocShopНе проверялось

Звернення до сервера розробникаНі

Якщо сервер розробника недоступнийДополнение работает

ЗнижкаНі

Сумісно з шаблонамиDefault, Journal3, Cyberstore, Luxshop, Unishop, Cameleon, Upstore, OctDeals

АдаптаціяПлатна

ЛокалізаціяУкраїнська, Англійська, Російська

Версія1.27.0