|
حماية المنتدى من الاختراق والعبث به حماية بنسبة 90%
السلام عليكم ورحمة الله اليوم راح نتكلم عن حماية منتدى vb مع ضهور الكثير من الثغرات وتقريبا يوميا تكتشف ثغره جديده لهذا النوع وهية منتشرة في النت =============================================== وتمنا من الجميع المشاركه في الموضوع وطرح مالديهم في حماية المنتديات =============================================== بسم الله نبدأ ========= الهاكرز غالبا يخترقون المنتديات عن طريق المجلدات الرئيسية بالمنتدى مثل admincp ,, modcp ,, install ,, includes ويفضل حذف هذا الملف install او اعطائه تصريح 644 وعمل عليه باسبورد لزيادة الاحطياط اما مجلدات admincp ,, modcp ,,includes فيجب عليك عمل جدار ناري حتى لايستطيع احد الوصل لها ولعمل جدار ناري قم بعمل التالي اليكم الطريقة : ادخل الى لوحة التحكم بالموقع ، CPanel اضغط على Password Protected Directories ادخل مجلد المنتدى وغالبا يكون vb سترى الان محتويات المجلد الان قم بالضغط على المجلد الاتي admincp ستظهر لك هذه الرسالة بالصفحة Folder requires a password to access via http:// اشر عليها بعلامة صح او غيرها Protected Resource Name في هذه الخانة اكتب PRIVATE بالاسفل قم باضافة الاشخاص الذين لهم حق الدخول باعطائهم اسماء مخصصة وباسوردات واضغط add user بعد الانتهاء اضعط على save راح تلاحظ ظهور علامة قفل بالقرب من المجلد كرر نفس العملية للمجلدات التالية admincp ,, modcp ,, install ,, includes =============================================== فالنفترض بأن الهاكر كان ماهرا واخترق الجدار الناري ( شبه مستحيل ) اليك الحماية الاخرى من برنامج الاف تي بي او لوحة تحكم الموقع ادخل على File Manager بعدها قم بالضعط على المجلد admincp اختر rename this folder غير اسمه من admincp الى اي شيء آخر مثال ABCDadmincp كذلك الحال الى المجلد modcp الان والمهم بعد التغيير مباشرة وبشكل سريع افتح ملف config.php الموجود تحت مجلدinclude قم بتعديل اسماء المجلدات كالتالى $admincpdir = 'admincp'; (قم بتغير اسم المجلد الى الذي اخترته بعد اشارة =) $modcpdir = 'modcp'; (قم بتغير اسم المجلد) قم بتغيير اسم مجلد admincp للاسم الذى كتبته بملف الكونفيج الان ارفع ملف الكونفيج من جديد =============================================== ثغرة الـ HTML اذهب الى لوحة تحكم المنتدى بعدها الى خيارات المنتدى VB OPTIONS بعدها الى User Profile Options خيارات هوية العضو السماح بأكواد الـ HTML في التواقيع لا خيارات المنتدى خيارات الرسائل الخاصة السماح بأكواد الـ HTML في الرسائل الخاصة خيارات المنتدى خيارات ملاحظات العضو السماح بـ HTML في ملاحظات الأعضاء =============================================== ثغرة شريط اخر المواضيع : افتح ملف last10.php وببعض الهاكات الاخرى ملف ttlast.php ابحث عن $fsel $ftitle فقط قم بحذفهم من الملف وارفعه لمجلد منتداك =============================================== ثغرة ملف التعليمات faq.php وهي ثغره من نوع Path Disclosure حيث بواسطتها يقدر أن يعرف الشخص المخترق في أي دليل داخل السرفر تقع ملفات المنتدى طريقة سد الثغرة فتح ملف faq.php وقم بالبحث عن الأسطر التاليه كود PHP: // initialize some template bits $faqbits = ''; $faqlinks = ''; أضف بعدها مباشرة كود PHP: $navbits[''] =$vbphrase['faq']; احفظ الملف وارفعه لمجلد منتداك =============================================== ثغرة ملف editpost.php هي ثغره من نوع CrossSite Scripting وهي ثغره عن طريقها يتم سرقة الكوكيز المحفوظ داخل الأجهزه وبها يستطيع المخترق الدخول للمنتدى بالكوكيز المسروقه ولكن لا يستطيع التعديل في بيانات الشخص المسروق الكوكيز منه سواءاً بريده الالكتروني أو كلمة المرور وهذه ميزة النسخه من الجيل الثالث طريقة سد الثغرة قم بفتح ملف editpost.php وابحث عن السطر التالي كود PHP: $edit['title'] = trim($_POST['title']); استبدله بهذا السطر كود PHP: كود: $edit['title'] = trim(xss_clean($_POST['title'])); احفظ الملف وارفعه لمجلد منتداك =============================================== ثغرة ملف authorize.php وهي ثغره من نوع SQL Injection هو ملف خاص بتطبيق عمليات الشراء والتحقق من بعض مواقع الصرافات مثل paypal (قم بحذف الملف نهائيا ) =============================================== ثغرة في ملف editpost.php x-adolf [email protected] |
رد: حماية المنتدى من الاختراق والعبث به حماية بنسبة 90%
سلام خالد ......شكرا لك you are the best
|
رد: حماية المنتدى من الاختراق والعبث به حماية بنسبة 90%
لاشكرا علي واجب اخي flay1001 برك الله فيك
|
| الساعة الآن 03:24 PM. |
Powered by vBulletin
قوانين المنتدى