Форум сетевых администраторов - Взлом, как уберечься

Форум сетевых администраторов » Веб Форумы » VBulletin 2.x.x » Хаки от Netadmin или "Сделай сам" » Взлом, как уберечься

Страницы (4): « 1 [2] 3 4 »

Автор

Тема

2thed
Guest+

Средний рейтинг: 4.13 | Оценок: 16
/нажмите чтобы посмотреть кто оценивал/

[сообщение #9451]

quote:
да нет вб тут не при чем, я думаю всетаки злоумышник заполучил доступ к эмэйлу, на этом и сыграл, вот например какие минимальные меры безовасности можно применить:

вб можеть и невиноват, а вот PHP много проблем имееть. хотя и вб не можеть быть идиальом (как впрочем и любой другой софт) но так как я с вб знаком 2 дня то..

quote:
3. Слегка модифицировать вб отключив возможность смены пароля для администратора.

вот это обезательно надо, и хорошо бы поделиться с другими

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

02-06-2002 23:37

2thed
Guest+

[сообщение #9453]

quote:
А вот это непредусмотрительно пользоваться тхт файлами для хранения паролей. лучще уже в какой-нибудь блокнот зписывать (имею ввиду бумажный)

бумага тоже можеть подвести - знаю случий когда украли такой блкнот и хозеян потерял очень и очень много вечно зеленых.

спец. софт IMHO луще.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

02-06-2002 23:42

polo
Администратор

Средний рейтинг: 4.77 | Оценок: 106
/нажмите чтобы посмотреть кто оценивал/

[сообщение #9455]

если дело идет о очень много много вечно зеленых то тут ситуация в раз десять усложняеться. Насчет софта полность согласен, сам пользуюсь другим рекомендую.
офтоп
Думаю следует открывать раздел о безопасности.

__________________
Всегда есть решение.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

02-06-2002 23:49

2thed
Guest+

[сообщение #9458]

quote:
Думаю следует открывать раздел о безопасности.

такой раздел очень нужен. но неслучится с ним как с "раскрутка сайта"?
вот если можно было прикрепить что то типа faq или "сборник умных мыслей" то даже если он пустовать будет всеравно хоть почитать азбуку типа .htaccess на admin, и на конец как умно этим .htaccess ползоваться, а то в apache доке это довольно невнятно местами.
а так если просто открить етот раздел, то через несколько дней все успокоется до следующего слущия

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

03-06-2002 00:01

polo
Администратор

Убираем возможность высылания пароля админу

[сообщение #9464]

в файле member.php находим
PHP:



if ($HTTP_POST_VARS['action']=="emailpassword") {

  include("./global.php");



  $users=$DB_site->query("SELECT userid,username,email FROM

и в запросе к базе делаем чтобы запрос также возвращял группу юзера:

code:

if ($HTTP_POST_VARS['action']=="emailpassword") {
  include("./global.php");

  $users=$DB_site->query("SELECT userid,username,email,usergroupid FROM

далее делаем простое услови что если пользователь админ то послать подальше:
для этого немного ниже после строки
PHP:



if ($DB_site->num_rows($users)) {



    while ($user=$DB_site->fetch_array($users)) {

добавим

PHP:



if ($user['usergroupid'] ==6) {

            echo "Неужто может быть такое что админ забыл свой пасс, 

            или может ты не админ, в общем низя тебе этого делать.";

            exit;

        }

__________________
Всегда есть решение.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

03-06-2002 01:23

polo
Администратор

Для полноты картины урежем админу возможность менять пароль через юзерскую панель...

[сообщение #9465]

...для этого в том же member.php находим строки
PHP:



if ($HTTP_POST_VARS['action']=="updatepassword") {

  include("./global.php");



  if ($bbuserinfo[userid]==0) {

    show_nopermission();

  }

и сразу после них добавим
PHP:



if ($bbuserinfo['usergroupid'] == 6) {

      echo "Админ может изменить пароль используя исключительно

            административную панель управления";

      exit;

   }

__________________
Всегда есть решение.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

03-06-2002 01:42

madgreen
Великий и ужасный

Средний рейтинг: 5 | Оценок: 3
/нажмите чтобы посмотреть кто оценивал/

[сообщение #9485]

quote:
а то эсли на томже хосте можно иметь shell акаунт то он мог запустить елементарный sniffer и дать запрос на забытый пароль

явно не там, где я! иначе бы мы его на всю жизнь бы отучили snifferom пользоваться!

quote:
Еще мог заполучить доступ к твоему мылу

я тоже над этим долго думал и от первой мысли ужаснулся! но вроде бы все письма с реквестами были не прочитаны! плюс тогда возникает вопрос: как получиьт доступ к чужому яндекс-аккаунту?

quote:
1) всегда помнить, что есть подростки, которым в сетке нечем заняться

да, это действительно проблема, различные лохи читают руководства и с пол тычка ломают незащищенные сайты...

quote:
кто из вас пользуется чем то типа WpfAdminSafe?

никогда не пользовался, все пароли в голове!

quote:
Как правило хостер не делает дамп базы данных, хотя должен был бы

в очень редких случаях он это делает, в очень редких!

2Polo: спасибо за модификации, я ими обязательно воспользуюсь!
раздел по безопасности будет очень нестабильным, как только кого-нибудь хакнут, там будут начинаться горячие темы, а в другие дни он будет практически пустовать!

__________________
Создаю сайт, посвященный мобильным телефонам. Если есть желающие присоединиться к моему труду, буду Вам очень признателен. Пишите в приват.

Сообщение было отредактировано madgreen 03-06-2002 в 07:07

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

03-06-2002 07:01

Отправить Персональное сообщение madgreen

2thed
Guest+

[сообщение #9492]

quote:
никогда не пользовался, все пароли в голове!

nothing personal, но или ты геный и можеж запоминать десятки psw типа: Ji#oK{Gi или ползуишся каким то шаблонам по которому с 20 попиток твой пароль и подобрали.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

03-06-2002 09:08

2thed
Guest+

[сообщение #9497]

насчет безопасности админ'a: можно конечно отклучить высилку пароля по мылу, или что еще круче совсемлишить админа менять пороль черес CP, но можно и менше радикально поступить:
пишется скрпит котоый авторизырует даный компутер (как ывает с платними програмами) и если пароли правильные засилает cookie , а admin/index.php доробативаем чтоб он перед водом пароля проверыл даный компутер, на возможность вобще водить пароль, и дальше по желанию - или сразу викидивать, или просто принимать пороль, но даже при правильном пароле возвращаться в логин меню. ну и если скрипт авторизаци каждий назаветь по своему типа authorizme.php or suckdick.php or ... то незная как он называется аже несможеж попробовать авторизироваться. ну а настоящему админу всегда можно будеть войти в CP с любого компутера.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

03-06-2002 09:30

Shadoff
[-DGT-]

Средний рейтинг: 4.2 | Оценок: 5
/нажмите чтобы посмотреть кто оценивал/

[сообщение #9505]

quote:
различные лохи читают руководства и с пол тычка ломают незащищенные сайты...

а вот это уже не лохи...лохи это которые ввв чаты ломают через интерфейс вэб чата %) или форму сохраняют на хард...зато есть такие долбоёбы которые ломают сайт и вывешывают на своём, типа мы бла крутые до буя, вот наш последний взлом...пример этова
www.neodteam.net - я не думаю что они до буя крутые...

__________________
http://rlz.grinderz.ws - Public Last Scripts Upped Dump

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

03-06-2002 10:17

Отправить Персональное сообщение Shadoff

zubkov
Участник

[сообщение #9517]

А я пароли в Палме хранил... Потом я на него сел и он перестал грузится

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

03-06-2002 12:48

polo
Администратор

[сообщение #9525]

quote:
я тоже над этим долго думал и от первой мысли ужаснулся! но вроде бы все письма с реквестами были не прочитаны! плюс тогда возникает вопрос: как получиьт доступ к чужому яндекс-аккаунту?

ну так если письма загружать через какой-либо мэйл клиент, то письма и не будут помечены как прочитанные.

quote:
а admin/index.php доробативаем чтоб он перед водом пароля проверыл даный компутер, на возможность вобще водить пароль

не поняно о что ты хочешь сказать.

__________________
Всегда есть решение.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

03-06-2002 13:33

zubkov
Участник

[сообщение #9526]

linsa Насколько я понял, ты предлагаешь ввести еще одну аутоидентификацию при смене пароля. Нафига? Можно конечно требовать от пользователя ввести десять разных паролей или завести отдельный пароль для выполнения каждого действия... Но пользователь запарится. �_ешения, предложенного polo, вполне достаточно.

polo Твой код можно оформить как хак. Хотя это может уже и есть хак.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

03-06-2002 13:45

madgreen
Великий и ужасный

[сообщение #9527]

quote:
ну так если письма загружать через какой-либо мэйл клиент, то письма и не будут помечены как прочитанные.

тот аккаунт что у меня указан был в профиле, я через клиент не проверял!
2Linsa: поясни, пожалуйста, поточнее свою мысль!

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

03-06-2002 13:47

polo
Администратор

[сообщение #9530]

ну можно еще IP проверять.

__________________
Всегда есть решение.

Сообщить модератору об этом сообщении | Предупреждение | IP: определен

03-06-2002 13:50

Страницы (4): « 1 [2] 3 4 »

Формат времени GMT. Текущее время 02:44.

[

Печать |

Отправить |

Подписка ]

Навигация по форуму:

Оценка темы:

Правила форума:

Вы не можете создавать новые темы.
Вы не можете отвечать на существующие темы.
Вы не можете прикреплять файлы.
Вы не можете редактировать свои сообщения.

HTML теги выкл.
Спец. код вкл.
Смайлики вкл.
[IMG] тег выкл.

Page generated in 0.27888107 seconds (97.40% PHP - 2.60% MySQL) with 27 queries.