Совсем недавно столкнулся с проблемой взлома вб! �_аньше, конечно же, понимал, что это возможно, но не думал, что люди пойдут на это, что же.....надежды не оправдались!
Итак, как уберечься? Может, хаки есть какие-то, которые помогают противостоять взломщику?

__________________
Создаю сайт, посвященный мобильным телефонам. Если есть желающие присоединиться к моему труду, буду Вам очень признателен. Пишите в приват.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

а по подробнее можно?

__________________
Всегда есть решение.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

madgreen
А что собстно взломщик может сделать?!
1. запароть базу
2. поставить себя в базе админом (что самое прикольное)
3. DoS атака... самая распространеная...
4. С помощью sessionhash зайти под любым логином...
5. Нафлудить ...
6. Еще много всего ....

Для осуществления 1-3 нужно сломать пароль от базы, что весьма не легко ..... Хотя ели в конфиге прописан метод http это сделать весьма не трудно Я обычно если лезу а базу загружал конфиг, закончил дело стираю его

__________________
**censored** Ты тут еще не был? ...
**censored** Админы форумов - сюда!!!

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

нет, базу он не запорол, он каким-то образом подобрал админский(мой) пароль, а потом он просто взял, да все форумы поудалял....
как реализовать 4 пункт и как защититься?
как сделать последнее, то есть как ты делаешь?

ОФФТОП: помните такой стиль ultraboard(тот что с флэшем)? урл-чик можно?

__________________
Создаю сайт, посвященный мобильным телефонам. Если есть желающие присоединиться к моему труду, буду Вам очень признателен. Пишите в приват.

Сообщение было отредактировано madgreen 02-06-2002 в 16:24

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

madgreen

quote:

---

как сделать последнее, то есть как ты делаешь?

---

Непонял....

quote:

---

как реализовать 4 пункт и как защититься?

---

хехе.... ни скажу... иначе все будут ломать...А защититься практически невозможно, разве что написать скрипт который будет сравновать cookies s session + id запроса.... Но это то же поидее можно обойти ... Есть еще один вариант, но для его осущиствленря нужен программер который мог бы изменить код авторизации... �_то про защиту

__________________
**censored** Ты тут еще не был? ...
**censored** Админы форумов - сюда!!!

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

quote:

---

4. С помощью sessionhash зайти под любым логином...

---

__________________
Всегда есть решение.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

quote:

---

мог подобрать админовский пароль потому-что его знал, написано не мало о том как нужго подбирать пароли, скажи как можно например угадать такой пароль dvg5HYR566df54JGknc, никак думаю, можно еще заполучить пароль из куков шифрованный в md5 и поставить себе куки форума хотя я не представляю как это можно осуществить и более того для входа в админ панель нужно повторно вводить пароль, так что думай.

---

он(а) как-то с реквестом пароля эту фишку провернул! так как мне в ящик после этого пришло около 20 писем, в которых новые реквизиты аккаунта были! блин, вот уроды......

__________________
Создаю сайт, посвященный мобильным телефонам. Если есть желающие присоединиться к моему труду, буду Вам очень признателен. Пишите в приват.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

quote:

---

он(а) как-то с реквестом пароля эту фишку провернул! так как мне в ящик после этого пришло около 20 писем, в которых новые реквизиты аккаунта были! блин, вот уроды......

---

А где форум сидит? а то эсли на томже хосте можно иметь shell акаунт то он мог запустить елементарный sniffer и дать запрос на забытый пароль. а пароль по мылу уходит plain текстом. так что такие фичи высилание пороля по мылу надо отклучать... или прикрутить шифрование, но на PHP неприходилось что то подобное выдеть.
а sniffer он мог и у тебя на локальке запустить подумай можеть кто из близких?

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

quote:

---

он(а) как-то с реквестом пароля эту фишку провернул!

---

__________________
Всегда есть решение.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

Хм... Хотел себе ВБ ставить, а тут прочитал и протормозил слегка Интересно стало. Так что, вопрос пока остаётся открытым?

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

quote:

---

Куки из бараузера я думаю достать просто так не возможно

---

если пользается IE то совсем нетрудно спомощю cros-scripting'a . просто надо как то замонить человека на подготовленый сайт или просто мыло прислать. но с мылом тоже если юзает outlook/outlook expres . есть и другие способы , поетому и нерекомендуется ставить windows в default директорию.

quote:

---

разве что использовать какой-нибудь троян который бы выслал по мылу файлы куков, но этот троян думаю надо как-то в комп ввести и если юзер опытный то такое маловероятно.

---

ну если закачать троян то просче keyloger->email или даже файл манагер и все равно где нибудь на диске будеть лежать TXT с паролями. разве у болшинства не так? кто из вас пользуется чем то типа WpfAdminSafe?

quote:

---

Еще мог заполучить доступ к твоему мылу. В общем что скажете, какие еще есть мысли.

---

у а еслибыло бы доступ к мылу то и одного запросахватило бы. а тут как я понимаю порядка 20 пришло.
поетому я склоняюсь к sniffer'y так как один пакет можно и проморгатьа при таком колычестве точно выудиш.
но еще больше я начал склонятся что это было сделано с помощю PHP - мыло то приходило уже с новами данимы..

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

да нет вб тут не при чем, я думаю всетаки злоумышник заполучил доступ к эмэйлу, на этом и сыграл, вот например какие минимальные меры безовасности можно применить:
1. Сделать дополнительную зашиту директории admin при помощи .htaccess.
2. Делать ежидневные копии базы данных, что думаю очень эфективно, обещаю написать скрипт который будет вызываться через крон и делать ежидневный бэкап.
3. Слегка модифицировать вб отключив возможность смены пароля для администратора.

__________________
Всегда есть решение.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

Gizmo3k Причем тут ВБ? Любая система, обладающая каким-либо интерфейсом, имеет потенциальные дыры. Абсолютно защищенная система - зарытый в землю выключенный комп (и то его выкопать можно)

Поэтому:
1) всегда помнить, что есть подростки, которым в сетке нечем заняться
2) делать админские пароли для разных систем (сайтов и т.п.) уникальными и лучше содержащие случайную последовательность 8 и более символов.
3) периодически делать дамп или проверить, делает ли его на самом деле хостер
4) ну и патчи устанавливать по мере возможности

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

quote:

---

кто из вас пользуется чем то типа WpfAdminSafe?

---

А вот это непредусмотрительно пользоваться тхт файлами для хранения паролей. лучще уже в какой-нибудь блокнот зписывать (имею ввиду бумажный). Я к примеру использую big crocodil удобная прога для хранения паролей + пароли хорошо генерирует, не надо себе забивать мозги придумыванием паролей.

__________________
Всегда есть решение.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

quote:

---

3) периодически делать дамп или проверить, делает ли его на самом деле хостер

---

__________________
Всегда есть решение.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен