Форум сетевых администраторов - Взлом, как уберечься

Страницы (4): « 1 [2] 3 4 »
Показаны 57 сообщений на этой странице

Форум сетевых администраторов (http://netadmin.ws/forum/index.php)
- Хаки от Netadmin или "Сделай сам" (http://netadmin.ws/forum/forumdisplay.php?forumid=65)
-- Взлом, как уберечься (http://netadmin.ws/forum/showthread.php?threadid=1463)

Помещено 2thed 02-06-2002 в 23:37:

quote:
да нет вб тут не при чем, я думаю всетаки злоумышник заполучил доступ к эмэйлу, на этом и сыграл, вот например какие минимальные меры безовасности можно применить:

вб можеть и невиноват, а вот PHP много проблем имееть. хотя и вб не можеть быть идиальом (как впрочем и любой другой софт) но так как я с вб знаком 2 дня то..

quote:
3. Слегка модифицировать вб отключив возможность смены пароля для администратора.

вот это обезательно надо, и хорошо бы поделиться с другими

Помещено 2thed 02-06-2002 в 23:42:

quote:
А вот это непредусмотрительно пользоваться тхт файлами для хранения паролей. лучще уже в какой-нибудь блокнот зписывать (имею ввиду бумажный)

бумага тоже можеть подвести - знаю случий когда украли такой блкнот и хозеян потерял очень и очень много вечно зеленых.

спец. софт IMHO луще.

Помещено polo 02-06-2002 в 23:49:

если дело идет о очень много много вечно зеленых то тут ситуация в раз десять усложняеться. Насчет софта полность согласен, сам пользуюсь другим рекомендую.
офтоп
Думаю следует открывать раздел о безопасности.

__________________
Всегда есть решение.

Помещено 2thed 03-06-2002 в 00:01:

quote:
Думаю следует открывать раздел о безопасности.

такой раздел очень нужен. но неслучится с ним как с "раскрутка сайта"?
вот если можно было прикрепить что то типа faq или "сборник умных мыслей" то даже если он пустовать будет всеравно хоть почитать азбуку типа .htaccess на admin, и на конец как умно этим .htaccess ползоваться, а то в apache доке это довольно невнятно местами.
а так если просто открить етот раздел, то через несколько дней все успокоется до следующего слущия

Помещено polo 03-06-2002 в 01:23:

Убираем возможность высылания пароля админу

в файле member.php находим
PHP:



if ($HTTP_POST_VARS['action']=="emailpassword") {

  include("./global.php");



  $users=$DB_site->query("SELECT userid,username,email FROM

и в запросе к базе делаем чтобы запрос также возвращял группу юзера:

code:

if ($HTTP_POST_VARS['action']=="emailpassword") {
  include("./global.php");

  $users=$DB_site->query("SELECT userid,username,email,usergroupid FROM

далее делаем простое услови что если пользователь админ то послать подальше:
для этого немного ниже после строки
PHP:



if ($DB_site->num_rows($users)) {



    while ($user=$DB_site->fetch_array($users)) {

добавим

PHP:



if ($user['usergroupid'] ==6) {

            echo "Неужто может быть такое что админ забыл свой пасс, 

            или может ты не админ, в общем низя тебе этого делать.";

            exit;

        }

__________________
Всегда есть решение.

Помещено polo 03-06-2002 в 01:42:

Для полноты картины урежем админу возможность менять пароль через юзерскую панель...

...для этого в том же member.php находим строки
PHP:



if ($HTTP_POST_VARS['action']=="updatepassword") {

  include("./global.php");



  if ($bbuserinfo[userid]==0) {

    show_nopermission();

  }

и сразу после них добавим
PHP:



if ($bbuserinfo['usergroupid'] == 6) {

      echo "Админ может изменить пароль используя исключительно

            административную панель управления";

      exit;

   }

__________________
Всегда есть решение.

Помещено madgreen 03-06-2002 в 07:01:

quote:
а то эсли на томже хосте можно иметь shell акаунт то он мог запустить елементарный sniffer и дать запрос на забытый пароль

явно не там, где я! иначе бы мы его на всю жизнь бы отучили snifferom пользоваться!

quote:
Еще мог заполучить доступ к твоему мылу

я тоже над этим долго думал и от первой мысли ужаснулся! но вроде бы все письма с реквестами были не прочитаны! плюс тогда возникает вопрос: как получиьт доступ к чужому яндекс-аккаунту?

quote:
1) всегда помнить, что есть подростки, которым в сетке нечем заняться

да, это действительно проблема, различные лохи читают руководства и с пол тычка ломают незащищенные сайты...

quote:
кто из вас пользуется чем то типа WpfAdminSafe?

никогда не пользовался, все пароли в голове!

quote:
Как правило хостер не делает дамп базы данных, хотя должен был бы

в очень редких случаях он это делает, в очень редких!

2Polo: спасибо за модификации, я ими обязательно воспользуюсь!
раздел по безопасности будет очень нестабильным, как только кого-нибудь хакнут, там будут начинаться горячие темы, а в другие дни он будет практически пустовать!

__________________
Создаю сайт, посвященный мобильным телефонам. Если есть желающие присоединиться к моему труду, буду Вам очень признателен. Пишите в приват.

Помещено 2thed 03-06-2002 в 09:08:

quote:
никогда не пользовался, все пароли в голове!

nothing personal, но или ты геный и можеж запоминать десятки psw типа: Ji#oK{Gi или ползуишся каким то шаблонам по которому с 20 попиток твой пароль и подобрали.

Помещено 2thed 03-06-2002 в 09:30:

насчет безопасности админ'a: можно конечно отклучить высилку пароля по мылу, или что еще круче совсемлишить админа менять пороль черес CP, но можно и менше радикально поступить:
пишется скрпит котоый авторизырует даный компутер (как ывает с платними програмами) и если пароли правильные засилает cookie , а admin/index.php доробативаем чтоб он перед водом пароля проверыл даный компутер, на возможность вобще водить пароль, и дальше по желанию - или сразу викидивать, или просто принимать пороль, но даже при правильном пароле возвращаться в логин меню. ну и если скрипт авторизаци каждий назаветь по своему типа authorizme.php or suckdick.php or ... то незная как он называется аже несможеж попробовать авторизироваться. ну а настоящему админу всегда можно будеть войти в CP с любого компутера.

Помещено Shadoff 03-06-2002 в 10:17:

quote:
различные лохи читают руководства и с пол тычка ломают незащищенные сайты...

а вот это уже не лохи...лохи это которые ввв чаты ломают через интерфейс вэб чата %) или форму сохраняют на хард...зато есть такие долбоёбы которые ломают сайт и вывешывают на своём, типа мы бла крутые до буя, вот наш последний взлом...пример этова
www.neodteam.net - я не думаю что они до буя крутые...

__________________
http://rlz.grinderz.ws - Public Last Scripts Upped Dump

Помещено zubkov 03-06-2002 в 12:48:

А я пароли в Палме хранил... Потом я на него сел и он перестал грузится

Помещено polo 03-06-2002 в 13:33:

quote:
я тоже над этим долго думал и от первой мысли ужаснулся! но вроде бы все письма с реквестами были не прочитаны! плюс тогда возникает вопрос: как получиьт доступ к чужому яндекс-аккаунту?

ну так если письма загружать через какой-либо мэйл клиент, то письма и не будут помечены как прочитанные.

quote:
а admin/index.php доробативаем чтоб он перед водом пароля проверыл даный компутер, на возможность вобще водить пароль

не поняно о что ты хочешь сказать.

__________________
Всегда есть решение.

Помещено zubkov 03-06-2002 в 13:45:

linsa Насколько я понял, ты предлагаешь ввести еще одну аутоидентификацию при смене пароля. Нафига? Можно конечно требовать от пользователя ввести десять разных паролей или завести отдельный пароль для выполнения каждого действия... Но пользователь запарится. �_ешения, предложенного polo, вполне достаточно.

polo Твой код можно оформить как хак. Хотя это может уже и есть хак.

Помещено madgreen 03-06-2002 в 13:47:

quote:
ну так если письма загружать через какой-либо мэйл клиент, то письма и не будут помечены как прочитанные.

тот аккаунт что у меня указан был в профиле, я через клиент не проверял!
2Linsa: поясни, пожалуйста, поточнее свою мысль!

Помещено polo 03-06-2002 в 13:50:

ну можно еще IP проверять.

__________________
Всегда есть решение.

Формат времени GMT. Текущее время 01:23.

Страницы (4): « 1 [2] 3 4 »
Показаны 57 сообщений на этой странице