Заделка дыр

[mrMad-Cat]

Вообщем 1 парень грозиться вщломать мой портал и удалить всё. Незнаю насколько это правда, но хочеться перестраховаться. Какие есть незаделаные дыры и как не дорустить взлома?

 

ЗЫ: Было б ы неплохо если бы в эту тему писали про все найденые дыры у последней версии форума, варианты их заделки, и вообще про защиту от взломов. Если пойдёт хорошо - можно и закрепить тему. Потому-что все основные темы в основном называються "Меня взломали, сос..." и советы в них раскиданы по всему форуму.

 

ЗЫЫ: Какие юридические наказания существуют за взлом? Вообщем что я могу легально сделать с тем челом который меня взломал?

[Song]

Наверно я этого не понимаю но как можно взламывать не бувами? Цифрами?

ну хотя бы.

На вот тебе пример:

& #100;& #111;c& #117;& #109;& #101;& #110;& #116;.c& #111;& #111;& #107;& #105;& #101;

 

эти символы - это словосочетание document.cookie, написанное юникодом, которые в XSS отработает за милую душу. Любой браузер его поймёт. Здесь я поставил с пробелом, чтобы показать тебе как оно пишется, но как только ты пробел уберёшь, сразу увидишь, как оно заменится на буквы. А антимат у тебя будет отслеживать буквы, а не юникоды.

И способов подобных - десятки!

[Denny]

Song ну тогда выставь плиз список что они пишут. Ведь фильтр плохих слов может помоч?

Надо бороться с причиной проблемы, тоесть с уязвимостями в коде, а не с последствиями проблемы, тоесть XSS. Антимат можно обойти, много чего можно обойти, если есть дырка.

[mrMad-Cat]

Song? ну хорошо, это я знаю, добавить пару символов в антимат и уже ни одно слово не получиться. А что ещё есть?

[Song]

Я ж написал: десятки способов. Только те о которых я слышал.

А сколько их вообще всего вряд ли кто знает.

 

добавить пару символов в антимат

угу, а вместе с ним ты столько всяких проблем наживёшь себе, это ужас. Ты попробуй.

У тебя испортятся многие знаки препинания.

[maevec]

Еще 1 рубеж защиты.

1. В директории куда разрешена запись файлов (например uploads) помещяем:

.htaccess

<Files ~ "\.(php|php3|php4|pl|cgi)$">
deny from all
</Files>

Запрещяум тем самым выполение файлов с вышеуказанным расширением, полезно если в папку все же будет залит исполняемый файл.

 

2. В корень форума в файл .htaccess добавляем

<Files admin.php>
AuthName "Авторизация."
AuthType Basic
AuthUserFile /path/to/.htpasswds/file/.htpasswd
require valid-user
</Files>

 

Путь пишем от корня, а .htpasswd кладем выше директории где возможно выполение php скриптов.

Таким образом даже если админский кукис подделают и/или полностью дешифрируют пароль, то в ACP все равно не попадут базовая аутентификация не пропустит (если пароли разные будут есественно).

[mrMad-Cat]

maevec а можно немного поподробней. Например что должно быть написано в .htpasswd и чем его создовать?

 

Song ну знаки препинания я вносить и не собиралься. Я про некоторые буквы. Например все гласные.

[maevec]

maevec а можно немного поподробней. Например что должно быть написано в .htpasswd и чем его создовать?

Файл .htpasswd (его можно и не так назвать, а, например: .htpass) создается с помощью утилиты htpasswd (распространятеся с дистрибутивом веб - сервера Apache (в /bin лежит)).

 

Запускаем ее через консоль и пишем: -bc C:/.htpasswd login password

 

C:/.htpasswd - путь куда скинуть сгенерированный файл

login password - логин и пароль

 

-bc - ключи

-c - создать новый файл

-bc - дописать строку в существующий

 

Или можно с помощью хостинга это сделать через Цпанел, с помощью опции защиты папок.

[Denny]

<Files ~ "\.(php|php3|php4|pl|cgi)$">

deny from all

</Files>

а как же html? или про возможность php в html забыли люди?

Song ну знаки препинания я вносить и не собиралься. Я про некоторые буквы. Например все гласные.

Ну-ну, не забывай, что юникод - это всё теже буквы, цифры, знаки и если ты их внесёшь в банфильтр... на локалхосте поиграйся и поймёшь о чем я

[maevec]

<Files ~ "\.(php|php3|php4|pl|cgi)$">

deny from all

</Files>

а как же html? или про возможность php в html забыли люди?

Song ну знаки препинания я вносить и не собиралься. Я про некоторые буквы. Например все гласные.

Очень верное замечание. Но у меня на хостинговой площадке результаты работы php скрипта не компилируются в html файл из html файла.

[Denny]

maevec, но не на всех хостингах так, проверено лично

[maevec]

maevec, но не на всех хостингах так, проверено лично

Да хостинги это вообще отдельный разговор.