Сказ про то, как ломанул меня добрый кулхацкер.

[TIER_FOREVER]

Ломанул меня добпый кулхацкер, вернее получил админские права и доступ к админке, а потом написал мне в аську м сказал, чтобы я обновился до 2.2, тогда ни он, ни ему подобные, не смогут меня беспокоить. Я спросил, а где дырки в коде на моей версии 2.1.7 и как их исправить, он сказал, что архитектуру IPB не знает, но ломанул вот так: Includ mogno sdelat 4erez eval

 

Отсюда вопрос к ГУРАМ: какой includ и через какой eval?

 

У меня слишком много модов, не хотелось бы обновляться автоматически до 2.2 и сносить тем самым все моды. Подскажите, что знаете.

[LeeLaNa]

Мне тоже на днях взломали форум. Но ничего не посоветовали Просто прислали новый пароль админа с ехидной улыбкой

[TIER_FOREVER]

Это, конечно, хорошо. Но ГУРУ что-то не отвечают. Закончились?

 

какой includ и через какой eval?

[kalawnikov]

а можно сделать .htaccess

в нем :

<Files admin.php>

deny from all

Allow from ваш IP

</Files>

 

хотя бы в админку непопадут

[Song]

Ломанул меня добпый кулхацкер, вернее получил админские права и доступ к админке, а потом написал мне в аську м сказал, чтобы я обновился до 2.2, тогда ни он, ни ему подобные, не смогут меня беспокоить. Я спросил, а где дырки в коде на моей версии 2.1.7 и как их исправить, он сказал, что архитектуру IPB не знает, но ломанул вот так: Includ mogno sdelat 4erez eval

 

Отсюда вопрос к ГУРАМ: какой includ и через какой eval?

 

У меня слишком много модов, не хотелось бы обновляться автоматически до 2.2 и сносить тем самым все моды. Подскажите, что знаете.

!!! Уязвимость удалённого выполнения команд на сервере от 25 апреля 2006 года

[TIER_FOREVER]

Ломанул меня добпый кулхацкер, вернее получил админские права и доступ к админке, а потом написал мне в аську м сказал, чтобы я обновился до 2.2, тогда ни он, ни ему подобные, не смогут меня беспокоить. Я спросил, а где дырки в коде на моей версии 2.1.7 и как их исправить, он сказал, что архитектуру IPB не знает, но ломанул вот так: Includ mogno sdelat 4erez eval

 

Отсюда вопрос к ГУРАМ: какой includ и через какой eval?

 

У меня слишком много модов, не хотелось бы обновляться автоматически до 2.2 и сносить тем самым все моды. Подскажите, что знаете.

!!! Уязвимость удалённого выполнения команд на сервере от 25 апреля 2006 года

 

Только на этот код заменить и всё?

 

$this->output = preg_replace( "#(value=[\"']".intval($this->ipsclass->input['lastdate'])."[\"'])#i", "\\1 selected='selected'", $this->output );

 

Спасибо, а были еще серьёзные дырки?

[kalawnikov]

да, только и всего, а вообще читай темы про обновления безопасности

[NtX]

Есть такая программка htpasswd. С ее помощью создаем учетную запись с логином/паролем в зашифрованном виде. Полученный файл размещаем в какой-нибудь папочке в которую же помещаем .htaccess с deny from all. А в корне сайта создаем файлик .htaccess со следующим текстом:

**********

<Files ~ "\admin.php$">

AuthName "Administration Zone"

AuthType Basic

AuthUserFile полный_путь_к _папке_от_корня_хостового_сервера/.htpasswd

require valid-user

</Files>

**********

В таком случае для доступа к админским файлам вводится еще один уровень защиты.

 

Для того же, что бы не получили доступ к БД SQL нужно сделать подмену файла config_global (указать в нем перенаправление на реальный конфиг), а реальный config_global разместить в папочке в которую же помещаем .htaccess с deny from all.

 

ИМХО, если все это сделать, то надежность повышается в десятки раз!!!

И меняйте стандартные префиксы в SQL при создании сайтов...

 

Может быть еще кто что добавит?

[kalawnikov]

что касается скрытия config_global.php

доьавте в .htaccess

 

<Files conf_global.php>

deny from all

</Files>

 

или

 

<Files ~ "\.(inc|conf|cfg)$">

deny from all

</Files>

[TIER_FOREVER]

Прошу прощения за заведомо глупый вопрос:

 

А проблем с установкой новых модов это не вызовет?

[Din2]

TIER_FOREVER, это - нет, не вызовет.

[tankisteble]

Тоже хочу извиниться я понял так в папке форума создаем .htpasswd

В нем пароль и логин от админки,в этой же папке .htaccess

с такой записью

<Files ~ "/.htpasswd">

deny from all

</Files>

А в корне форума

.htaccess

с содержымым

<Files ~ "\admin.php$">

AuthName "Administration Zone"

AuthType BasicAuthUserFile полный_путь_к _папке_от_корня_хостового_сервера/.htpasswd

require valid-user

</Files>

Если не прав,а я думаю в начале не прав,то поправте!

[NtX]

Все верно, только файлик .htpasswd создается специальной программой htpasswd.exe, при генерации пароля не забываем включить шифрацию MD5. Все подробные настройки описаны вместе с самой программкой.

[tankisteble]

а .htaccess блокнотом создавать

[Nickotin]

а не судьба поставть пароль типо ©1215'74$ª