Форум сетевых администраторов - Взлом, как уберечься

Страницы (4): « 1 2 [3] 4 »
Показаны 57 сообщений на этой странице

Форум сетевых администраторов (http://netadmin.ws/forum/index.php)
- Хаки от Netadmin или "Сделай сам" (http://netadmin.ws/forum/forumdisplay.php?forumid=65)
-- Взлом, как уберечься (http://netadmin.ws/forum/showthread.php?threadid=1463)

Помещено Shadoff 03-06-2002 в 13:51:

polo

quote:
не поняно о что ты хочешь сказать.

может это так же как и фишка с config.php
$canviewadminlog
То есть юзеру можно входить в панель управления...

__________________
http://rlz.grinderz.ws - Public Last Scripts Upped Dump

Помещено 2thed 03-06-2002 в 14:17:

"�_усская клавиатура" хорошо, но когда нужно много писать - стараешся сокращять. попробую по новой:
думаю все сталькивались с програмами которые требует авторизации на новом компутере (обычно по контрольной сумме BIOS или что то похожее). На PHP контрольную сумму неоткуда взять, но cookie использовать можно. И так после свежой инсталяции перед admin/index.php запускаем скрипт авторизации которово каждый можеть назвать посвоему (а можно и instal.php дороботать чтоб в конце инсталяции покозал как назвал етот скрипт авторизации). И вот етот скрипт засилает cookie на компутер без которого переделаный admin/index.php даже небудеть запускатся.
так вот после таких модификаций админ с своего компа всегда сможеть зайти на admin/index.php и если что зная как называется скрипт авторизации сможеть на другом компутере (после авторизации) заходить на admin/index.php. а чужаки без авторизации будут выкыдаватся.
ну а дальше вобще можно идти дальше - на скрипте авторизации дать установить сколько будет жить cookie - ето если с чужово компа надо что нибудь сделать, а потом чтобы другие не смогли через етот жу ком лезать в admin/index.php
я отдаю себе отчеть что можно просто поставить .htaccess в директорию /admin - но basic autorization очень легко ломается brute-force, а если и там поставить пароль типа R#jW^Ft то... по моему проще один раз авторизацию сделать на конкретный комп и никто кроме вас нечего несможеть сделать на admin/index.php
суйчас мысль уже понетна?

Помещено Shadoff 03-06-2002 в 15:51:

linsa
а ты знаешь как так можно сделать?

__________________
http://rlz.grinderz.ws - Public Last Scripts Upped Dump

Помещено polo 03-06-2002 в 16:05:

сделать это легко, а вот нужно ли это?

__________________
Всегда есть решение.

Помещено 2thed 03-06-2002 в 16:26:

quote:
сделать это легко, а вот нужно ли это?

это понимать как реторическый вопрос?

а так если администрируеш только со своего компа то ставиш .htaccess , ехплореру ставиш метку запомнить пороль, и надешся что никто неукраст твой .pwl

ну а так как иногда приходиться и сдругова компа что то делать с admin/index.php то допольнительная защита не повредит.
конечно если нельзя будеть изменят пароль admin как и зделал polo то здесь обсущдаемый случий можеть быть и непроизашол бы, но ведь пока неясно как был произведен взлом - эти емайлы могли быть посланы уже после взлома чтобы похвастатся передь хозяеном форума..

Помещено MYXOMOP 03-06-2002 в 19:32:

Думаю защиты черех .htaccess более чем достаточно.
Нужна просто защита другим методом (не средствами скрипта) директории admin

Помещено polo 03-06-2002 в 20:19:

можно сделать:
Deny from all
Allow from свой ип
что тоже вариант.

__________________
Всегда есть решение.

Помещено 2thed 03-06-2002 в 20:43:

quote:

можно сделать:
Deny from all
Allow from свой ип
что тоже вариант.

эсли сидиш только за своим компутером и некогда неприходиться из другово места то - больше ничего и ненадо, спору нет, но например я 4 дня сидел на GPRS а там IP динамический...

Помещено Искатель 03-06-2002 в 20:51:

.htaccess в дополнение
Можно еще сделать проверку на то откуда пришли referer.
И на тип браузера т.е. если все пароли подобраны, прокси ip совпадает, а тип браузера нет.

__________________
http://faq.pp.ru/read_mee/

Помещено MYXOMOP 03-06-2002 в 22:59:

linsa
для особого извращения можно поставить CGI-proxy и ходить через него, тогда IP будет одинаковый. Но тогда еще и его паролить тоже надо....

Нет уж: "еще и за свиньей доедать" (С)Анекдот

Пары уровней защиты более чем достаточно, если везде не ставить пароли типа 1234
и ставить фиксы.

Помещено madgreen 04-06-2002 в 16:03:

из всего вышесказанного можно ограничиться htacces, refer и фишкой, которую сделал polo!

__________________
Создаю сайт, посвященный мобильным телефонам. Если есть желающие присоединиться к моему труду, буду Вам очень признателен. Пишите в приват.

Помещено zeev 05-06-2002 в 18:37:

у меня вообще был толи глюк толи хак черт его знает
в общем в таблице thread колонка forumid была полность очищена
в общем все топики ушли в небытие точнее небыли никакому форуму присвоены

Помещено 2thed 05-06-2002 в 23:10:

quote:
у меня вообще был толи глюк толи хак черт его знает
в общем в таблице thread колонка forumid была полность очищена
в общем все топики ушли в небытие точнее небыли никакому форуму присвоены

СУПЕ�_!!! тут все советами как от хаков оборонется и даже раздел новый чуть ли неродился, пришлось бы сейчас его из Безопасность переиминовать в Глюки

sorry for offtopic

Помещено Rumata 08-06-2002 в 16:02:

Мда. А я вот читал, что в вб есть дырка. Как ей воспользоваться, честно говоря не понял, но у себя закрыл =))

Держите ссылку: http://forums.webscript.ru/showthre...=&threadid=4829

Помещено Dip 10-06-2002 в 10:55:

А где взять этот хак русская клавиатура ?

Формат времени GMT. Текущее время 01:23.

Страницы (4): « 1 2 [3] 4 »
Показаны 57 сообщений на этой странице