:أمن على منتداك من هنا:

حيدر · 15-10-2006, 06:32 AM

بسم الله وعلى بركته

الهاكرز غالبا يخترقون المنتديات عن طريق المجلدات الرئيسية بالمنتدى مثل
admincp او modcp او install او includes

نعم فعلا يدخلونها بكل سهولة ولا جدار ناري ! فكيف نضع جدار ناري في وجوههم تمنعهم من دخول المجلدات هذه
اليكم الطريقة :

ادخل الى لوحة التحكم بالموقع ، CPanel
اضغط على
Password Protected Directories
ادخل مجلد المنتدى وغالبا يكون VB
سترى الان محتويات المجلد
الان قم بالضغط على المجلد الاتي
admincp
ستظهر لك هذه الرسالة بالصفحة
Folder requires a password to access via http://
اشر عليها بعلامة صح او غيرها
Protected Resource Name
في هذه الخانة اكتب PRIVATE
بالاسفل قم باضافة الاشخاص الذين لهم حق الدخول باعطائهم اسماء مخصصة وباسوردات
واضغط add user
بعد الانتهاء
اضعط على save
راح تلاحظ ظهور علامة قفل بالقرب من المجلد
كرر نفس العملية للمجلدات التالية
modcp و install و includes

2- فالنفترض بأن الهاكر كان ماهرا واخترق الجدار الناري ( شبه مستحيل ) اليك الحماية الاخرى
من برنامج الاف تي بي او لوحة تحكم الموقع ادخل على
File Manager
بعدها قم بالضعط على المجلد
admincp
اختر rename this folder
غير اسمه من admincp الى اي شيء آخر
مثال ABCDadmincp
كذلك الحال الى المجلد modcp
الان والمهم بعد التغيير مباشرة وبشكل سريع

افتح ملف config.php
الموجود تحت مجلدinclude
قم بتعديل اسماء المجلدات كالتالى

$admincpdir = 'admincp';
(قم بتغير اسم المجلد الى الذي اخترته بعد اشارة =)
$modcpdir = 'modcp';
(قم بتغير اسم المجلد)

قم بتغيير اسم مجلد admincp للاسم الذى كتبته بملف الكونفيج
الان ارفع ملف الكونفيج من جديد

3- ثغرة الـ HTML
اذهب الى لوحة تحكم المنتدى بعدها الى خيارات المنتدى
VB OPTIONS
بعدها الى User Profile Options
خيارات هوية العضو
السماح بأكواد الـ HTML في التواقيع
لا

خيارات المنتدى
خيارات الرسائل الخاصة
السماح بأكواد الـ HTML في الرسائل الخاصة

خيارات المنتدى
خيارات ملاحظات العضو
السماح بـ HTML في ملاحظات الأعضاء

4- ثغرة شريط اخر المواضيع :
افتح ملف last10.php
وببعض الهاكات الاخرى ملف ttlast.php
ابحث عن

$fsel
$ftitle
فقط قم بحذفهم من الملف
وارفعه لمجلد منتداك

5-ثغرة ملف التعليمات faq.php
وهي ثغره من نوع Path Disclosure حيث بواسطتها يقدر أن يعرف الشخص المخترق في
أي دليل داخل السرفر تقع ملفات المنتدى

طريقة سد الثغرة
فتح ملف faq.php وقم بالبحث عن الأسطر التاليه

كود:

// initialize some template bits $faqbits = ''; $faqlinks = '';

أضف بعدها مباشرة

كود:

$navbits[''] =$vbphrase['faq'];

احفظ الملف وارفعه لمجلد منتداك

6-ثغرة ملف editpost.php

هي ثغره من نوع CrossSite Scripting وهي ثغره عن طريقها يتم سرقة الكوكيز
المحفوظ داخل الأجهزه وبها يستطيع المخترق الدخول للمنتدى بالكوكيز المسروقه
ولكن لا يستطيع التعديل في بيانات الشخص المسروق الكوكيز منه سواءاً بريده
الالكتروني أو كلمة المرور وهذه ميزة النسخه من الجيل الثالث

طريقة سد الثغرة
قم بفتح ملف editpost.php وابحث عن السطر التالي

$edit['title'] = trim($_POST['title']);

استبدله بهذا السطر

$edit['title'] = trim(xss_clean($_POST['title']));

احفظ الملف وارفعه لمجلد منتداك

7-ثغرة ملف authorize.php
وهي ثغره من نوع SQL Injection

هو ملف خاص بتطبيق عمليات الشراء والتحقق من بعض مواقع الصرافات مثل paypal
(قم بحذف الملف نهائيا )

8-ثغرة في ملف editpost.php

إفتح الملف وفي أوله بعد<?php
أضف الكود التالي

$title = addslashes($title); if (strstr($title,"script") != NULL){ echo "hello.. are you hacking us? vBulletin note: use scr!pt"; exit; }

9-قم بفتح الملف memberlist.php في مجلد المنتدى vb
وامسح جميع محتوياته وضع الكود التالي
****** ********************="Content-Language" content="en-us">
sorry member page is not available at the moment
واحفظ الملف

10- قم بفتح ملف calendar.php
وامسح جميع محتوياته وضع الكود التالي
****** ********************="Content-Language" content="en-us">
sorry calendar page is not available at the moment
واحفظ الملف

11- افتح ملف الكونفيق الي في منتداك config.php في مجلد includes

// Prefix that all vBulletin ******s will have // For example $******prefix = 'bb';

غير الحرف bb

الى اي حروف تبيها بعيدا عن التخمين المهم غير bb
واحفظ الملف

12- ثغرة محرك البحث
استبدل الملف التالي
vb/includes/functions_search.php
بالملف المرفق باسم (functions_search.php)

13- ثغرة الصندوق السحري
قم بالذهاب الى لوحة تحكم المنتدى بعدها الى خيارات الاكواد
bbcode option
قم بمسح كود الـ FLASH
فيها ثغرة تتعلق بالكوكيز

كذلك الحال الى كود التنسيق الشعر قم بحذفه وحذف جميع ملفاته في الفايل منجر
فهو مملوء بالثغرات

14- حل ثغرة مركز التحميل
افتح ملف uploader.php
ابحث عن :
$type = explode("." ,$file_name);
استبدله بـ :
$type = explode("." ,$file_name,2);
احفظ الملف

15-اذهب الى مجلد includes
قم باعادة تحميل ملف init.php
ملاحظة : الملف مرفق بالموضوع

للاهمية عدد الثغرات اكثر من 15 ثغرة لكن مسح بعض الملفات قلصت العدد وهذا ما ننصح به!

لتحميل الملفات السابقة :
من المرفقات بنهاية الموضوع:) :)

منقول للفائدة تستاهلون يامنتديات روابط

Sultan · 15-10-2006, 07:45 AM

,,
,

ربي يجزاك الف خيـر اخوي
يعطيك الف عافيه على هذا النقل
مشكور يالغالي

الفنان · 16-10-2006, 03:26 AM

مشكور على هالشرح

أبو أسامة · 22-10-2006, 08:11 AM

شكرا لك يالطيب...

فارس الامارات · 22-10-2006, 08:14 AM

مشكور حبيبي على هالتوضيح

وقيان · 22-10-2006, 09:12 AM

يعطيك الف عافيه اخوي
ماقصرت

da3m.net · 24-10-2006, 11:27 PM

الله يجزاك خير أخوي حيدر

wessam · 24-10-2006, 11:46 PM

مشكور أخوي حيدر
جزاك الله كل الخير

vip · 02-11-2006, 01:28 AM

مشكور وماقصرت

NASSER · 02-11-2006, 01:41 PM

يعطيك ربي العافية ..

أدوات الموضوع
مشاهدة صفحة طباعة الموضوع أرسل هذا الموضوع إلى صديق
انواع عرض الموضوع
العرض العادي الانتقال إلى العرض المتطور الانتقال إلى العرض الشجري

المواضيع المتشابهه
الموضوع	كاتب الموضوع	المنتدى	مشاركات	آخر مشاركة
أنشر مواضيع منتداك في قوقل وياهو بثواني !	mask	رابـــط متطلبات بناء وتطوير المواقع العربية	74	18-03-2011 03:22 AM
[ هاك ] رمضان كريم ( صورة رمضانية بأعلى منتداك + دعاء + أيه قرانية ) بلون منتداك.	ALMLK	أرشيف النسخه vb3.6.x	5	01-09-2007 03:54 PM
لماذا لا تجعل منتداك متميزا عن الاخرين ؟؟؟؟!!!	نور لتطويرالويب	رابــط التبادل الاعلاني والتجاري بين المواقع	12	24-08-2007 04:03 PM
.:: بعض الطرق لحماية منتداك من الاختراق::.	خ ــادم الإسلام	رابط شروح الحماية و ترقيع الثغرات لـ VBulletin	0	19-04-2007 12:16 PM
كيف توقف منتداك عن العمل وتضع رساله توضح سبب ايقافه	بويعقوب	رابط تطوير ودعم منتديات VBulletin	9	01-03-2007 05:15 AM

:أمن على منتداك من هنا:

بسم الله وعلى بركته الهاكرز غالبا يخترقون المنتديات عن طريق المجلدات الرئيسية بالمنتدى مثل admincp او modcp او install او