|
||||||
| [ صالة ] مناقشات وشروحات عامه صاله خاصه بشروحات مهمه و ايضاً على حل للمشاكل المنتشره والتي يواجهها الكثير |
|
|
LinkBack | أدوات الموضوع | انواع عرض الموضوع |
|
||||||
| [ صالة ] مناقشات وشروحات عامه صاله خاصه بشروحات مهمه و ايضاً على حل للمشاكل المنتشره والتي يواجهها الكثير |
|
|
LinkBack | أدوات الموضوع | انواع عرض الموضوع |
|
#1
10-02-2009, 05:03 AM
|
||||
|
||||
شرح سد اهم الثغرات وتغيير تصاريح ملفات في المنتديات
سلام عليكم
اليوم جايب لكم شرح اخذته من منتدى وطبقت الشرح والحمد لله مافي اي مشاكل وكله تمام حبيت افيد غيري وافيد كل من يحتاج لسد وتغيير تصريح ملفات منتداه بسم الله نبتدي بعد أن تنتهي من تغيير أسماء هذه المجلدات : admincp و modcp و install تقوم بإنشاء مجلدات جديدة بنفس اسم هذه المجلدات ! ...نفس الأسماء بالضبط ... طيب ليشششششش؟ لأن المخترق إذا نجح في الدخول على السيرفر أول شئ يبحث عنه هو هذه المجلدات بأسمائها المعروفة هذه , ولو وجدها يبدأ في محاولة إختراق الجدار الناري ومن ثم اختراق المنتدى عن طريق بعض الأوامر ينفذها إما على قاعدة البيانات أو غير ذلك من ألاعيبهم القذرة .. الشاهد أن تسوي هذه المجلدات الوهمية وتضع عليها جدار ناري أيضا ولكن لا تضع له باسورد ! فقط جدار ناري بدون باسورد واترك المخترق يحاول اختراقه إلى ما لا نهاية !... ثم ضع داخل هذه المجلدات كلها ملف باسم ( index.php ) وضع بداخله محتوى الملف في المرفقات ... عن طريق ...select all :: copy :: paste داخل الملف الإندكس الذي قمت بإنشائه ... فإذا نجح المخترق في الدخول على السيرفر ...ثم ذهب للملف الوهمي هذا ثم حصلت المعجرة ونجح في اختراق الجدار الناري ( الذي ليس عليه باسورد محدد أصلا ! ) ...لو نجح في كل هذا عندما يضغط ضغطة الانتصار وهو يريد الدخول على أي من الملفات السابقة ...فإذا به يرجع بخفي حنين ! ويحوله الملف تلقائيا إلى صفحة جوجل ! .... ويمكنك إجراء بعض التعديلات على الملف الإندكس بحيث لو دخل المخترق على الملفات يقوم بفرمته شاملة للقرص الصلب الخاص به كله !!! ...أو أي أفكار أخرى تريدها ... ================================================== ==== الاختراق يكون إما عن طريق استخدام أكواد جافا خارجية أو رفع ملف شيل على السيرفر عن طريق ثغرة ما في المنتدى وما أكثرها ...! وكل يوم تظهر ثغرات جديدة إلى ما لا نهاية ! ....فما العمل ؟؟؟ الحل بإذن الله أعطيك إياه الآن وهو حل نهائي لهاتين المشكلتين تماما ...والحمد لله ... ================================================== ====== اولا هاك CrackerTracker لحمايه المنتديات من أكواد الجافا الخارجية تماما !! هذا الهاك يمنع عن طريق block كامل لعمل هذه الأكواد بطريقة آلية , وبهذا تكون أرحت بالك من مسألة الأكواد المستخدمة من هؤلاء الأطفال الحمقى الذين ما عندهم إلا البحث عن أكواد الاختراق ثم استخدامها للضرر !! ....ثم يشعر بعدها أنه صنع شيئا وأنه عبقري ! مع إنه أحمق لا يستطيع كتابة جملة عربية صحيحة !..والله المستعان ... طريقة التركيب : قم برفع المجلد elog إلى مجلد المنتدى وفي الغالب يكون اسمه ( vb ) وأعطي كل الملفات التي فيه ترخيص 666 ....وهذا الترخيص بدونه ما يعمل الهاك فانتبه ! ثم قم برفع البرودكت من لوحة التحكم ...انتهى ! وهكذا يتم منع كل الجافا سكريبت الخارجي الخاص بالمخترقين ويمكنك التجربة بنفسك لتتأكد إذا أردت ... ================================================== ======== ثانيا نأتي الآن لمشكلة ملفات الشيل ...وهي مشكلة عويصة لأن هذه الملفات منتشرة لكل من أراد الحصول عليها على المواقع الخاصة بأمور الهاكر واختراق المواقع والتي تشجع الصبيان على هذه الجريمة وحسابهم عند الله ...ونسأل الله أن يدمر مواقعهم هذه ويجعلها وبالا عليهم... الحل الأول بارك الله فيك هو متابعة الثغرات من الشركة الأم وتحميل الترقيع والتحديثات المطروحة بصفة دورية وعلى قدر المستطاع .... والحل الثاني وهو إن شاء الله يخلصك من هذه المشكلة تماما .... المطلوب منك أخي الكريم أن تغير تراخيص الملفات التي على الموقع بحيث لا يستطيع أن يراها المخترق مهما فعل ! فقط بهذه البساطة ؟ نعم والتجربة خير دليل ..اتبع الشرح ثم ضع ملف شيل على موقعك ثم حاول الدخول به ...ولن ترى شيئا على السيرفر إطلاقا !!! وكأنه اختفى ...وبهذا يصبح ملف الشيل عديم الفائدة ... وقد تم تجربة ملف شيل روسي قوي بعد عمل هذه الخطوات وما استطاع الشيل أن يفعل شيئا إطلاقا !! بل أنت نفسك يجب عليك وحتى تستطيع أن ترى الملفات من الـ ftp أو من لوحة التحكم يجب عليك إعادة الترخيص في كل مرة تريد أن تسوي شيئا ! ... وهذا وإن كان متعبا بعض الشئ ولكنه يجعلك تنام مطمئن ومرتاح البال تماما ....وتعب دقائق خير من تعب أيام و ليالي وضياع مجهود السنوات في منتداك !! ..... وأيضا ملحوظة هامة يغفل عنها أغلب أصحاب المنتديات وهي إنه إذا قام بإنشاء مجلد جديد من أجل وضع صور فيه أو ملفات خاصة به ...فإذا به يجعله على الترخيص الإفتراضي 755 !! وهذا غاية في الخطورة !! يجب عليك عندما تنشئ اي مجلد جديد أن تغير الترخيص الخاص به فورا بارك الله فيك ....وإلا صار بابا مفتوحا أمام صغار حمقى المخترقين وصيد سهل لهم ! ...فانتبه يا رعاك الله ... والآن مع طريقة التعديل على الترخيص .... تدخل على السي بانل ...ثم الـ File Manager ثم اتبع الشرح هذا ... الصورة الأولى كيفية أعطاء الترخيص والصورة الثانية هي عبارة عن التصريح الإفتراضى الذي تجده موجود في الغالب على الملف هكذا (755 )...وهو غاية في الخطورة ! والصورة الثالثة التصريح المطلوب إعطائة للحماية الشاملة والإخفاء التام لموقعك عن ملفات الشيل ... مجلداتك الخاصة كلها مثل المجلدات التي تضع فيها الصور و الملفات والمقاطع الصوتيه ..إلخ هذه تعطيها تصريح 111 ... مجلد الـ vb أيضا تعطيه تصريح ...111 المجلد www الرئيسي تعطيه تصريح 110 ...وبعد أن تنتهي حاول الدخول على ا لموقع عن طريق الشيل الذي رفعته بنفسك ...فلن ترى شيئا ولن تستطيع أن تسوي أمرا واحدا !!!! بل لو دخلت على الـ File Manager في السي بانل لن ترى الملفات وكلما حاولت الدخول على الملف يعطيك خطأ !! ...وكذلك برنامج الإف تي بي .... والحل حتى تستطيع أن تقوم بعملك الدوري على موقعك من رفع للملفات وغير ذلك ...هو أن تغير التراخيص بشكل مؤقت فقط وحتى تنتهي من عملك ثم تعيدها مرة آخرى ولا يصيبك الكسل بالله عليك ... هذا والله أمر يجعل موقعك في أمان تام ... وطريقة إعادة التراخيص هي عكس العملية السابقة المشروحة في الصور ... فتعطي الملفات تصريح 755 مؤقتا وحتى تنتهي من عملك فقط ...ثم بعد ذلك تلبس موقعك طاقية الإخفاء مرة أخرى ! ولا من شاف ولا من دري وتحدي ! ================================================== === ثالثآ هناك الكثير من دالات لغة الــ php قد تعطي للمخترق صلاحيات خطيرة جدا وفي نفس الوقت قد تبيح له تغيير التراخيص ( لو كان محترفا جدا ! ) من على الشيل ... وحل هذه المشكلة هي مراسلة الشركة المستضيفة حتى يقومون بتعطيل الأكواد التي في ملف أكواد في المرفقات ... أرسل لهم رسالة قل لهم أن يضعوا هذا الأمر في نهاية ملف php.ini ...وأعني الأمر الذي أرفقته لك في الملف التكست في المرفقات... وحتى تتأكد أنهم أوقفوا هذه الأكواد عن العمل ...تدخل على لوحة التحكم ثم صيانة ثم عرض معلومات php ثم تنظر على هذه الخانة في الجدول : disable_functions وتتأكد أن الدالات المذكورة بجوارها ... وقد يخبرك المستضيف أنه لن يقوم بعمل هذا لأنه لا يريد تعطيل الأكواد عن جميع من على السيرفر ... حينها اجعله يرسل لك ملف php.ini ثم ضع أنت الأمر بنفسك في نهايته ثم قم بوضع نسخة من الملف في المجلد الرئيسي الـ www وأيضا في المجلد الـ admincp ( الحقيقي ! ) وأيضا في المجلد الـ modcp وغيرها من الملفات الهامة ثم اذهب وتأكد من لوحة التحكم أن الدالات معطلة ... فإذا وجدتها معطلة إذا أنت محمي من خطر هذه الدالات تماما بفضل الله ... ================================================== ==== رابعا : ملفات التقويم وقائمة الأعضاء والأسئلة الشائعة فيها الكثير والكثير من الثغرات وكل يوم ينزل ترقيع لها ثم تكتشف ثغرة أخرى ! ثم هي ملفات عديمة الفائدة ولا يستخدمها أحد وليس لها أي قيمة في نظري ... والذي أراه أن أفضل وأضمن طريقة لسد ثغرات هذه الملفات ( التقويم ، قائمة الأعضاء ، الأسئلة الشائعة ) calendar.php memberlist.php faq.php هو أن تسبتدل محتويات هذه الملفات بمحتوى ملف index.php الرئيسي وبهذا كلما ضغط اي عضو على الروابط الخاصة بهذه الملفات يفتح له المنتدى الصفحة الرئيسية للمنتدى ..وبهذا ترتاح من عناء الثغرات التي لا تنتهي فيهم ...وهذا هو ما قام به أغلب المنتديات التقنية المشهورة التي تعنى بأمور الحماية والأمان للمنتديات... لو لاحظتم ذلك ... الطريقة : أفتح ملف vb/index.php وانسخ كل محتوياته... وبعده اتجه لملف vb/calendar.php وامسح كل محتوياته وضع مكانها الذي قمت بنسخه من إندكس المنتدى.... و لملف vb/memberlist.php نفس الشئ ... وايضا ملف vb/faq.php نفس الشئ , امسح محتواه وضع محتوى ملف الإندكس مكانه .. ثم احفظ الملفات بعد التعديلات ثم ارفع الملفات لمنتداك مرة آخرى وهكذا تكون قد أغلقت كل ثغرات التقويم وقائمة الأعضاء والأسئلة الشائعة ================================================== ===== خامسآ : الكلمات الممنوعة من لوحة التحكم .. هناك الكثير من الكلمات الممنوعة الشائعة وليس فيها شئ يستحق أن تمنعها من لوحة التحكم ...وهذا بسبب الجهل الشديد بلغة الـ php والـ html...إلخ وكيفية عمل الدالات الخاصة بهذه اللغات ... الشاهد لقد وضعت لكم في المرفقات الكلمات الممنوعة التي يجب أن تقوم بحظرها من لوحة التحكم وهي مجربة .... الطريقة : ادخل على لوحة التحكم خيارات المنتدى .. خيارات الرقابة وضع في خانة الكلمات الممنوعة محتوى الملف المرفق ...ثم إضغط حفظ ... سادسا: وأيضا خيار المتواجدين الآن فيه الكثير من الثغرات ...فالأولى منعه عن الأعضاء تماما ...وجعله للمشرفين فقط ..أو متابعة ثغراته بإهتمام شديد جدا حتى يتم الترقيع في الوقت المناسب إن شاء الله تعالى ...وإلا فالأفضل بلا شك أن يتم إيقاف هذه الخاصية للأعضاء وتستريح .. ================================================= سابعا : الباسورد الخاصة بالمشرف العام خاصة والمشرفين عامة... هذه يجب الإعتناء بها جدا بارك الله فيكم .. وهنا يجب ملاحظة أن عمل الباس كلها من حروف فقط خطأ كبير ...ولن أذكر السبب حتى لا ينتشر الشر ...ولكن أقول أن باسورد مثل هذه : !AeT-- أفضل مئات المرات من هذه مثلا : tghskloqpnvbewwygfsfdg فاحرص أخي الحبيب أن تكون الباس الخاصة بك قوية ومشتملة على حروف كبيرة وصغيرة وأرقام ورموز مثل هذه مثلا : Qu2Es!!8--jkO09- ولا تقوم بعمل باس سهلة حتى تتذركها هذا خطر جدا بارك الله فيك ...بل عليك بالصعب المعقّد واحفظها في ورقة خارجية حتى لا تنساها ... ================================================== ===== وبعد كل هذا ما في أحد يستطيع أن يخترق منتداك إطلاقا -إن شاء الله تعالى - إلا إذا كان من كبارالمخترقين المحترفين وهذا نادر جدا أو أن تقوم أنت بخطأ ما ...أما غير ذلك فالأمر شبه مستحيل والحمد لله ... ولا تنسى أخي ضرورة متابعة الثغرات التي تكتشف أولا بأول وطرق الترقيع المناسبة ... ونسأل الله أن يحفظنا وإياكم من كل سوء إنه ولي ذلك والقادر عليه ... منقول للفائدة |
|
10-02-2009, 01:05 PM
|
#2 |
دمت لنا مبدع يا غالى ان شاء الله
موفق دائماً باذن الله تحياتى لك ^.* |
|
|
|
|
10-02-2009, 10:01 PM
|
#3 | |
تاريخ التسجيل: Sep 2009
الدولة: بلاد كل العرب (اليمن)
المشاركات: 44
التقييم: 51  |
اقتباس:
لك ودي .gif "SnipeR (9)")
|
|
|
|
|
| مواقع النشر (المفضلة) |
| الذين يشاهدون محتوى الموضوع الآن : 1 ( الأعضاء 0 والزوار 1) | |
| أدوات الموضوع | |
| انواع عرض الموضوع | |
|
|
المواضيع المتشابهه
|
||||
| الموضوع | كاتب الموضوع | المنتدى | مشاركات | آخر مشاركة |
| هاك تصاريح عناكب البحث | Mahdi | [ صالة ] تطوير الجيل الثالث [ vBulletin 3 ] | 6 | 10-30-2010 09:38 PM |
| [ الدرس الثاني ] سد و ترقيع جميع الثغرات و حماية المنتدى | Ahmed | دورة الحمايه الشامله لمنتديات الـ vBulletin | 59 | 08-24-2010 04:12 AM |
| هاك تصاريح العناكب | Just Smile | [ صالة ] تطوير منتديـــــ vb3.7.X ــات | 4 | 07-12-2009 08:04 AM |
| تصاريح العناكب | THE PUNISHER | [ صالة ] تطوير الجيل الثالث [ vBulletin 3 ] | 7 | 06-21-2009 08:43 PM |
| [شرح] : أسباب سرعه بعض المنتديات وأسباب بطء بعض المنتديات الاخرى | Just Smile | [ صالة ] تطوير منتديـــــ vb3.7.X ــات | 10 | 09-15-2008 05:33 PM |
العرض العادي
