Форум вебмастеров

Уязвимости vBulletin Защити свой форум от взлома

Ответ
 
LinkBack Опции темы
Старый 23.03.2012, 23:57 #1 (Ссылка)
Администратор
Дополнительная информация
Восклицание

Как защитить форум на vBulletin


Данные меры обязательны для всех, кто заботится о безопасности своего ресурса, не только при установленном vbSEO, но и без него!

Возвращаясь к теме vbSEO https://wmboard.net/vbulletin/2530-n...ost-vbseo.html и к серии взломов форумов на vBulletin с установленным данным модулем можно констатитровать тот факт, что заплатка которая была выложена на vbsupport не спасает от взлома. В этом мы убедились как на собственном форуме, так и на форумах наших друзей и партнеров, которые пострадали уже после обновления vbSEO.

Можно долго дискутировать о реальной пользе vbSEO как такового, так как есть как противники данного модуля, так и поклонники, к числу которых отношу себя и я. Но в настоящий момент фактом является то, что с установленным модулем vbSEO повышается релевантность страниц в поисковых системах, и как следствие повышается трафик. Что как вы понимаете, является несомненным плюсом, в частности для молодых, развивающихся форумов необъятной сети.

Но, вернемся к нашей проблеме защиты форума на vBulletin. Серия взломов, описанная выше по ссылке заставила искать варианты решения проблемы. Тк снять vbSEO с форумов на котором работал данный модуль равносильно катастрофе. Вариант решения проблемы был найден.

К сожалению не могу сказать где как и что работает после инъекции, хотя метод взлома известен, но после проведения комплекса мер по защите движка данная уязвимость больше не работает. Поэтому в этой статье я расскажу о полном комплексе мер, которые защищают ваш форум на vBulletin.

Как защитить форум на vBulletin?

1. После установки форума на хостинг удаляем папку install, наличие которой может инициировать новую установку форума, а также файлы в корневой системе вашего форума под именами validator.php и checksum.md5 (они могут быть, а могут и не быть)

2. Пепеименовываем папку администратора и модератора (admincp и modcp). В конфиг форума прописываем новые имена ваших папок:

Код:

Блок отключен
3. В конфиге прописываем ID админа в той строке, где указывается неизменяемый и неудаляемый пользователь.

4. В корневой .htaccess дописываем строку, запрещающую изменение конфига из вне:

Код:

Блок отключен
5. Пароли в админку, на хостинг, в базу данных должны быть сложные для подбора: перебор цифр, букв, символов в разном регистре и в случайном порядке.

6. Если вложения форума хранятся в файловой системе это дополнительно ослабляет форум для злоумышленников. Но на самом деле во многих форумах вложения хранятся не в базе данных, а в файловой системе. Это связано с тем, что вложения хранящиеся в базе данных на больших старых форумах начинают тормозить его работу, и значительно повышают нагрузку на хостинг, поэтому приходится облегчать базу данных.

В папки: customavatars, customgroupicons, customprofilepics, images, signaturepics, cpstyles а также во все папки в которые осуществляются загрузки (как правило папки хаков специализирующихся на этом) заливаем .htaccess следующего содержания:

Код:

Блок отключен
7. В папку includes заливаем .htaccess следующего содержания:

Код:

Блок отключен
8. В папку вашей переименованной админки заливаем .htaccess ограничения по IP. В случае если ваш IP статический:

Код:

Блок отключен
Где 195.168.56.56 – ваш IP адрес. На некоторых хостингах подобный номер не пройдет, может не пускать админку. Есть вариант замены хаком защиты админки. На статических IP работает, на динамическом работоспособности я не добился…

8.1 Защищаем админку .htaccess если у вас динамический IP

Код:

Блок отключен
Где 195.168. первые две группы цифр вашей подсети.
В данном случае мы разрешаем вход в админку вашей подсети. Конечно рисков больше, чем если у вас был бы статический IP, но вероятность того что злоумышленник будет из вашей подсети ничтожно мала.

9. Устанавливаем хак «Инспектор файлов», который будет сообщать вам об изменении файлов в файловой системе. К сожалению файлы, добавляемые пользователями по ходу работы форума он не отслеживает.

Кроме всего вышесказанного есть возможность защиты админки двойным паролем. Об этом способе я расскажу немного позднее.

Кроме того на vBulletin 3.8.4 & 3.8.5 существует небольшая уязвимость благодаря которой злоумышленник может зарегистрироваться под админским ником и читать почту админа. Фикс: админ панель - регистрация пользователей - запрещённые имена пользователей - добавляем & # @ ' и сохраняем изменение

После всех вышеперечисленных мер защиты форума уязвимость vbSEO перестает работать!

Наличие дыр в vbSEO это еще не повод отказываться от поисковой оптимизации, и я надеюсь мы и дальше будем успешно бороться со злоумышленниками. Для тех, кто все же опасается ставить этот модуль, существует , хоть и неполноценная, но замена: хак ЧПУ и хак alt и title картинок, которые также в ближайшее время будут выложены для свободного скачивания и установки.

Обратите внимание на полезные ответы в этой теме!


Последний раз редактировалось Veter; 26.09.2013 в 22:27. Причина: изм
Veter вне форума   Ответить с цитированиемОтветить с цитированием
11 пользователя(ей) сказали cпасибо:
Allex (23.03.2013), Boss (26.03.2012), inso (24.09.2013), lukamal (14.09.2012), Megaman (22.06.2012), pbko (28.08.2014), Usta (05.10.2015), Wind (30.03.2013), Аркадий 10 (25.03.2012), джинася (09.01.2013), Ночная странница (24.03.2012)

Старый 26.03.2012, 03:35 #2 (Ссылка)
Чёрный кардинал
Дополнительная информация
По умолчанию

Вот эта статья нужная
Boss вне форума   Ответить с цитированиемОтветить с цитированием

Старый 26.03.2012, 19:08 #3 (Ссылка)
Профи
Дополнительная информация
По умолчанию

Нужная. Вспомнился один вопрос, который хотела задать, когда впервые прочитала тему.
Если переименовывать админку, это же во всех хаках что-то менять? Они же (почти все) что-то в неё добавляют? (настройки и пр.) Или нет?
Ночная странница вне форума   Ответить с цитированиемОтветить с цитированием

Старый 26.03.2012, 19:11 #4 (Ссылка)
Администратор
Дополнительная информация
По умолчанию

Нет только конфиг. У меня ни разу не было необходимости переустановки хаков после смены названия админки.
Veter вне форума   Ответить с цитированиемОтветить с цитированием
Пользователь сказал cпасибо:

Старый 26.03.2012, 19:14 #5 (Ссылка)
Профи
Дополнительная информация
По умолчанию

Veter, тогда ещё вопрос. Читала рассказ Льюви о том, что поисковики прекрасно находят ссылки на переименованные админки. Так и не решила этого ребуса. Как? Что откуда убрать?
Ночная странница вне форума   Ответить с цитированиемОтветить с цитированием

Старый 26.03.2012, 19:23 #6 (Ссылка)
Администратор
Дополнительная информация
По умолчанию

Возможно без vbSEO и находят. У меня нет форумов без vbSEO. С установленным данным модулем ссылок в поиске на переименованную админку нет.
Veter вне форума   Ответить с цитированиемОтветить с цитированием
Пользователь сказал cпасибо:

Старый 08.04.2012, 22:41 #7 (Ссылка)
Профи
Дополнительная информация
По умолчанию

Ещё один момент безопасности, с которым столкнулась совершенно случайно:
проверьте, включена ли на вашем сервере функция register_globals.
Как это можно сделать?
Идём в админку, самый нижний левый блок "Обслуживание" и самая нижняя строка "Показать информацию о PHP". Вы увидите много всяких таблиц, ищем Configuration
PHP Core
, а в ней пункт register_globals. Если там в строке напротив register_globals стоит "On", значит, эта функция включена. Это плохо.
Решение: добавить в файл .htaccess строчку следующего содержания:
php_flag register_globals off и проверить изменения в вышеуказанной таблице. В певой графе Local значение должно измениться, это значит, что вы всё сделали правильно.

Последний раз редактировалось Ночная странница; 08.04.2012 в 23:21.
Ночная странница вне форума   Ответить с цитированиемОтветить с цитированием
3 пользователя(ей) сказали cпасибо:
Boss (09.04.2012), inso (24.09.2013), Прометей (27.12.2013)

Старый 09.04.2012, 01:45 #8 (Ссылка)
Чёрный кардинал
Дополнительная информация
По умолчанию

Цитата:
Сообщение от Ночная странница Посмотреть сообщение
Решение
Написать тикет хостеру чтоб отключил
Boss вне форума   Ответить с цитированиемОтветить с цитированием
Пользователь сказал cпасибо:

Старый 09.04.2012, 09:57 #9 (Ссылка)
Профи
Дополнительная информация
По умолчанию

Цитата:
Сообщение от Boss Посмотреть сообщение
Написать тикет хостеру чтоб отключил
Так написала же. Хостер и предложил утопающим спасаться своими силами. Видимо, в масштабах всего сервера кому-то эта опция там нужна... ?
Ночная странница вне форума   Ответить с цитированиемОтветить с цитированием

Старый 09.04.2012, 12:44 #10 (Ссылка)
Вебмастер
Дополнительная информация
По умолчанию

Цитата:
Сообщение от Ночная странница Посмотреть сообщение
PHP Core[/B], а в ней пункт register_globals. Если там в строке напротив register_globals стоит "On", значит, эта функция включена. Это плохо.
Решение: добавить в файл .htaccess строчку следующего содержания:
php_flag register_globals off и проверить изменения в вышеуказанной таблице. В певой графе Local значение должно измениться, это значит, что вы всё сделали правильно.
А как добавлять то и где, для чайнеГов поясните, пжл. И вообще почему это надо добавить?
Аркадий 10 вне форума   Ответить с цитированиемОтветить с цитированием

Ответ

Опции темы

Ваши права в разделе
Вы не можете создавать новые темы
Вы не можете отвечать в темах
Вы не можете прикреплять вложения
Вы не можете редактировать свои сообщения

BB коды Вкл.
Смайлы Вкл.
[IMG] код Вкл.
HTML код Выкл.
Trackbacks are Вкл.
Pingbacks are Вкл.
Refbacks are Вкл.


Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
Как установить форум vBulletin? Boss vBulletin 321 11.01.2018 13:02
Как защитить свой контент от копирования? WooART Дайджест блогосферы 1 07.03.2017 23:52
Форум на vBulletin 4.2 Veter vBulletin 4.x.x 54 02.11.2015 02:02
Как защитить контент от копирования? Автоспец Сайтостроение 10 07.01.2013 14:57
Как защитить авторские права? Chernetta Копирайтинг 5 06.07.2010 22:46


Текущее время: 13:55. Часовой пояс GMT +3.

Powered by vBulletin®
Copyright ©2000 - 2022, WMboard.
Перевод: zCarot
 

Форум вебмастеров

Здесь делают сайты, учатся на них зарабатывать. Ты новичок, и ничего не понимаешь в создании сайтов и в интернет заработке? Не знаешь ответа на вопрос по сайтостроению? Мучают вопросы сео оптимизации?

Не беда, присоединяйся к сообществу вебмастеров, и зарабатывай вместе с нами!