Podstrony
- telcocafe
- [PHP] Skrypt cenzury Chcę cenzury!!!
- [HTML+ PHP] Skrypt HTML w PHP
- [JS] Problem ze skryptem pobierającym źródło strony skrypt pobierający źródło strony
- [Galeria] Co to za skrypt galeri?
- [PHP] Skrypt wejscia na strone Jedyne mozliwe wejscie na strone
- [mysql php]wykonywanie skryptów php z bazy mysql czy to mozliwe?
- [php] sprawdzanie formularzy !!! wyswietla sie komunikat ale skrypt wykonuje sie dalej!
- [JS/PHP] Wykrycie czy plik php jest otwierany bezpośrednio czy przez skrypt JS
- [php i mysql]problem ze skryptem :/ Unknown column 'asdf' in 'where clause'
- Skrypt dziala na PHP 4 a na PHP 5 nie
- zanotowane.pl
- doc.pisz.pl
- pdf.pisz.pl
- endurocross.keep.pl
telcocafe
Posiadam forum oparte na skrypcie phpBB by Przemo. Ostatnio zaczęły się nasilać ataki script kiddies na takie fora, dlatego chciałbym zabezpieczyć swoje forum, wyeliminować błędy itp. Wie ktoś jak mi pomóc, jakieś ciekawe artykóły itp. Na razie zabezpieczyłem PA za pomocą dodatkowego hasła, ale to za mało. Kiedyś nie mogłem się dostać na forum, ponieważ ktoś wbił mi się na mój profil i zmienił hasło. Hasło to był losowy ciąg znaków i cyfr, wie ktoś jak się zabezpieczyć przed czymś takim ? Pomocy!Posiadam forum oparte na skrypcie phpBB by Przemo. Ostatnio zaczęły się nasilać ataki script kiddies na takie fora, dlatego chciałbym zabezpieczyć swoje forum, wyeliminować błędy itp. Wie ktoś jak mi pomóc, jakieś ciekawe artykóły itp. Na razie zabezpieczyłem PA za pomocą dodatkowego hasła, ale to za mało. Kiedyś nie mogłem się dostać na forum, ponieważ ktoś wbił mi się na mój profil i zmienił hasło. Hasło to był losowy ciąg znaków i cyfr, wie ktoś jak się zabezpieczyć przed czymś takim ? Pomocy!
htmlspecialchars();
samemu samo nie pomoże jedna funkcja. phpBB jest dość dziurawy - jak każda, większa aplikacja webowa(nic nie jest do końca bezpieczne). A żeby ktoś mógł Ci się wbić na admina, musiałby przerobić COOKIE, złamać login.php lub co gorsza cudem odczytać Twoje hasło z bazy i odkodować (jest zakodowane z md5). Także poszukaj na zmiennych $HTTP_POST_VARS login i hasło czy jest funkcja htmlspecialchars, jak nie ma - wklep ją ;)
PS. Masz phpBB modified by Przemo? Jeżeli tak to instalowałeś poprawki do wersji 1.12.5 (Fix 1.0, 1.1) ?
Petermechanic, sądze, że mam już poprawioną wersję, bo forum ściągałem jakieś dwa miechy temu, na tamtym co mi się ktoś wbił miałem wszystkie poprawki. Jedyne co wtedy zrobił to przez ponad godzine siedzial na forum na moim nicku i przegladal dzialy i skasowal mi jednego nowego PW, to wszystko. Postanowiłem byc czujny i zabezpieczyc sie jak tylko to mozliwe.
Kiedyś znalazłem coś takiego w necie:
Wchodzi na stronę na której loguje się administrator, jest tam pole tekstowe w które należy wpisać hasło... wpisujesz coś takiego:
eval(" echo strip_tags( implode( ' ' , file( $PHP_SELF ) ) ) ");
Funkcja eval() wykonuje łańcuch znaków zawarty wewnątrz jej jak gdyby był kodem PHP. funkcja echo wypisuje podaną wartość na ekran. Funkcja strip_tags, usuwa z podanego łańcucha znaków znaczniki HTMl i PHP. Funkcja file() zwraca podany plik w postaci tablicy, gdzie każdy element jest kolejną linią pliku. A $PHP_SELF to stała PHP zawierająca adres aktualnego dokumentu. A funkcja implode() łączy podana tablice w jeden ciąg. Jak nie trudno się domyślić, ta instrukcja pobierze aktualną stronę i wyświetli jej zawartość. Jeżeli sprawdzanie hasła odbywa się na stronie, najprawdopodobniej tak można dostać się do hasła... Jak tego uniknąć? Bardzo prosto, również używając funkcji strip_tags() na zmiennej przechowującej hasło przed jej wykorzystaniem.
Użytkownik statjacek edytował ten post 08 sierpień 2007, 18:57