منتديات مجرد حب
منتديات مجرد حب

منتديات للعشاقـ:~
 
الرئيسيةالرئيسية  س .و .جس .و .ج  بحـثبحـث  التسجيلالتسجيل  دخولدخول  

شاطر | 
 

 كيفية حماية منتداك من الاختراقات

اذهب الى الأسفل 
كاتب الموضوعرسالة
حسام
المدير العامـــــ
المدير العامـــــ
avatar

الجنس : ذكر
العذراء
الماعز

عدد المساهمات : 439
تاريخ التسجيل : 17/06/2009
العمر : 27
الموقع : الاردن
العمل/الترفيه العمل/الترفيه : سينما
المزاج الحمد الله مرات منيح ومرات مش منيح

مُساهمةموضوع: كيفية حماية منتداك من الاختراقات   الخميس يونيو 18, 2009 5:54 am

السلام عليكم ورحمة الله وبركاته



أولاً الحماية :

بعد ماتركب منتدى جديد أو تحدث إصدار منتداك

تعمل الأتي :

تحذف مجلد install بأكمله وليس ملف install

تضع حماية على المجلدات التالية :-

admincp

modcp

includes



ننتقل إلى الثقرات :

بالنسبه للتطوير لنسخة 3,0,3 فهي أمنه وهذا ملخص لما فيها من ثغرات وطرق ترقيعها :
=================================================
1- ثغرة ملف التعليمات faq.php :
وهي ثغره من نوع Path Disclosure حيث بواسطتها يقدر أن يعرف الشخص المخترق في
أي دليل داخل السرفر تقع ملفات المنتدى ومستواها ( ضعيف ) .

الترقيع للثغره :
* افتح ملف faq.php وقم بالبحث عن الأسطر التاليه:
// initialize some template bits
$faqbits = '';
$faqlinks = '';

*أضف بعدها مايلي:
$navbits[''] =$vbphrase['faq'];

* إحفظ الملف.

=================================================

2-ثغرة ملف editpost.php :
وهي ثغره من نوع CrossSite Scripting وهي ثغره عن طريقها يتم سرقة الكوكيز
المحفوظ داخل الأجهزه وبها يستطيع المخترق الدخول للمنتدى بالكوكيز المسروقه
ولكن لا يستطيع التعديل في بيانات الشخص المسروق الكوكيز منه سواءاً بريده
الالكتروني أو كلمة المرور وهذه ميزة النسخه من الجيل الثالث . مستواها ( جيد )

الترقيع:
* قم بفتح ملف editpost.php وابحث عن السطر التالي:
$edit['title'] = trim($_POST['title']);

* استبدله بهذا السطر:
$edit['title'] = trim(xss_clean($_POST['title']));

* احفظ الملف .

=================================================

3- ثغرة ملف authorize.php:
وهي ثغره من نوع SQL Injection.
وهو ملف خاص بتطبيق عمليات الشراء والتحقق من بعض مواقع الصرافات مثل paypal
وهو ليس لازم لعمل المنتدى فلو تم حذفه يكون أفضل وهنا بعض التفاصيل عن الثغره:
http://www.securiteam.com/unixfocus/5BP0E15E0M.html


=================================================

4- إذا كانت لوحة تحكم المشرف العام مفتوحه
للدخول بدون طلب كلمة مرور أخرى فيفضل أن تقوم بحمايتها تفادياً لأي طريقة وصول
عن طريق htaccess .
ويستحسن تغير اسم مجلد لوحة التحكم إلى أي إسم أخر على سبيل المثال myguard
بعدها قم بفتح ملف config.php وابحث عن كلمة admincp وضع بدلاً منها اسمك
الجديد .

5- لوحة تحكم المراقبين بها ثغرات كثيره أيضاً ويفضل إغلاقها نهائياً عن طريق htaccess ويكتفى عمل المراقبين داخل الساحات فقط .

=================================
السائل يقول:

السلام عليكم

تم التهكير على منتداى بعد حذف الداله $fsel من هاك آخر عشر مواضيع

شو الحل شباب في هاك العشر مواضيع

وهذا كلام الاخ الهكر الله يجزاه بالخير الذي لم يخرب المنتدى

وقدم النصيحة


الرد :

السلام عليكم

قم بفتح ملف ttlast.php وابحث عن المتغيرات التاليه:

$fsel
$ftitle

وقم بحذفها من جملة الاستعلام واحفظ الملف وانتهى كل شي يخص الثغرتين
الرجوع الى أعلى الصفحة اذهب الى الأسفل
معاينة صفحة البيانات الشخصي للعضو http://palestine99.yoo7.com
 
كيفية حماية منتداك من الاختراقات
الرجوع الى أعلى الصفحة 
صفحة 1 من اصل 1

صلاحيات هذا المنتدى:لاتستطيع الرد على المواضيع في هذا المنتدى
منتديات مجرد حب :: قسم الكمبيوتر والجوال :: منتدى البرمجيات والكمبيوتر-
انتقل الى: