»منتدي الدويم الحر «
الرئيسية
الدولة
[center]طريقة سد ثغرات
اختراق المنتديات وحمايتها vb
اختراق المنتديات وحمايتها vb
كافه الطرق لحمايه منتداك من
الاختراق للجيل الثالث vb3
=-=-=-=-=-=-=-=-=-=
1-
افتح ملف config.php
الموجود تحت مجلد include
قم بتعديل اسماء المجلدات كالتالى
$admincpdir = 'admincp';
(قم بتغير اسم المجلد)
$modcpdir = 'modcp';
(قم بتغير اسم المجلد)
قم بتغيير اسم مجلد admincp للاسم
الذى كتبته بملف الكونفيج
الان ارفع ملف الكونفيج
انشىء مجلد جديد وسمه admincp
وكذالك انشئ مجلد جديد اخر باسم
modcp
للحمايه اكثر لمجلد الادمين
إذا كانت لوحة تحكم المشرف العام
مفتوحه
للدخول بدون طلب كلمة مرور أخرى
فيفضل أن تقوم بحمايتها تفادياً لأي طريقة وصول
عن طريق htaccess .
اذهب الى لوحة تحكم الموقع السي
بانال واضغط على ايقونه
password protect directories
بعدها سيظهر لك مجلدات موقعك حدد
مجلد المنتدى
اضغط على مجلد المنتدى
ستفتح لك صفحه اخرى اختر المجلد
المطلوب حمايته وهو مجلد المنتدى الذي غيرت اسمه انفا اضغط عليه ستفتح صفحة
جديدة
ضع علامة صح في مربع القفل المغلق
ومن ثم اضغط على save
ارجع لنفس الصفحة بالضغط على زر back
الان نقوم بوضع اسم مستخدم وباسورد
لحماية مجلد الادمين الجديد
افعل ذالك واحفظ شغلك
وكرر العمليه مع المجلد القديم
الفارغ admincp , modcp
وبهذا انتهينا من حماية مجلد الادمين
ومجلد دخول المشرفين
--------------------------------------------------------------------------------
2-
ثغره الهتمل
بالنسبه للتواقيع
خيارات المنتدى
خيارات هوية العضو
السماح بأكواد الـ HTML في التواقيع
لا
--------------------------------------------------------------------------------
3-
خيارات المنتدى
خيارات الرسائل الخاصة
السماح بأكواد الـ HTML في الرسائل
الخاصة
لا
--------------------------------------------------------------------------------
4-
خيارات المنتدى
خيارات ملاحظات العضو
السماح بـ HTML في ملاحظات الأعضاء
لا
--------------------------------------------------------------------------------
5-
حل ثغره شريط المواضيع
افتح ملف last10.php
وببعض الهاكات الاخرى ملف ttlast.php
ابحث عن
$fsel
$ftitle
فقط قم بحذفهم من الملف
وارفعه لمجلد منتداك
--------------------------------------------------------------------------------
6-
ثغرة ملف التعليمات faq.php
وهي ثغره من نوع Path Disclosure حيث
بواسطتها يقدر أن يعرف الشخص المخترق في
أي دليل داخل السرفر تقع ملفات
المنتدى
طريقة سد الثغرة
فتح ملف faq.php وقم بالبحث عن
الأسطر التاليه
// initialize some template bits
$faqbits = '';
$faqlinks = '';
أضف بعدها مباشرة
$navbits[''] =$vbphrase['faq'];
احفظ الملف وارفعه لمجلد منتداك
--------------------------------------------------------------------------------
7-
ثغرة ملف editpost.php
هي ثغره من نوع CrossSite ******ing
وهي ثغره عن طريقها يتم سرقة الكوكيز
المحفوظ داخل الأجهزه وبها يستطيع
المخترق الدخول للمنتدى بالكوكيز المسروقه
ولكن لا يستطيع التعديل في بيانات
الشخص المسروق الكوكيز منه سواءاً بريده
الالكتروني أو كلمة المرور وهذه ميزة
النسخه من الجيل الثالث
طريقة سد الثغرة
قم بفتح ملف editpost.php وابحث عن
السطر التالي
$edit['title'] =
trim($_POST['title']);
استبدله بهذا السطر
$edit['title'] =
trim(xss_clean($_POST['title']));
احفظ الملف وارفعه لمجلد منتداك
--------------------------------------------------------------------------------
8-
ثغرة ملف authorize.php
وهي ثغره من نوع SQL Injection
هو ملف خاص بتطبيق عمليات الشراء
والتحقق من بعض مواقع الصرافات مثل paypal
وهو ليس لازم لعمل المنتدى فلو تم
حذفه يكون أفضل
تحياتي لكم
[/center]