S.a. Arkadaslar Vbulletin Ne Kadar Güvenlik Bir Scriptte Olsa Güvenliginizi Ön Planda Tutmaniz Gerekir...Ise Insan Eli Degince Biraz Degisebiliyor Durum Simdi Sizlere Bir Kaç Güvenlik Asamasindan Bahsedecegim

NELER YAPMAM LAZIM ?

* Vbulletin Dosyalarini Resmi Web Sitesinden TEmin edin...
Bu Büyük Bir Yer Kaplar "NULL"  Adi Altinda Yer Alinan (Bazi) Scriptler
Shell EnCODe Edilerek Script’inize Yerlestiriliyor...
Eger Muhtaç Olsaniz Bile Dosyalarinizi Kontrol ediniz..

* Siteme Meta Atildi...
Bu Birçok Forumda Meydana gelen Bir Durum Bu Durumu Engellemek Için Kelime Sansürleyiniz.
neden derseniz Yetki Verdiginiz Kisiler Veya Kisilerin Sifreleri Çalinarak Panellerinden
Örnegin ; "Forumumuz Hakkinda" Bölümüne Meta Atilabilir.Ayrica Yetki Verdiginiz Kisilere Dikkat Edin :)
Bir Çok Hack Forumunda Genellikle Bu Tür Olaylar Gerçeklesir Verilen Yetki O Kisi Için Yanlis Veya Gereksizdir...

* Kodlarin Orjinal Kalmasina dikkat Edin.
Editleme " Düzenleme " Olarak Tabir Ettigimiz biR Durumdur PHP Kodlarinda 1 Kodun Degisikligi Güvenlik Açisindan
Kötü Durumlara Sebep olabilir.Kodlarin Orjinal Olmasina Dikkat Edilmelidir.Ve Bilinmeye Kod eklenmemelidir.
Örnegin ; <?php include($_GET["jester"]);  ?> Kodu Bir RFI Açigidir
bunu index.phpye yerlestirirseniz bir RFI AÇigi Olusturusunuz bu yüzden bilmediginiz
kodlari göz önünde bulundurmamaya dikkat edin
"index.php?jesteR=Shell?"

* AdminCP Ve ModCP
Admin Panelleriniz Standart Olarak AdminCP olarak Görülür Sifreniz Çalindiginda Adminpaneli Bir Anlik Sitenizi Cehenneme
Çevirebilir Peki Ne Yapabiliriz ??
Admin Panelinizin Yolunu Degistirmek Geçerli Bir Yoldur... AdminPaneliniz Standart Olarak"Admincp" oldugunu Biliyoruz
Nasil Degistirecegiz Diye Sorarsaniz includes/config.php Dosyamizi Açiyoruz...
$config[’Misc’][’admincpdir’] = ’admincp’;
$config[’Misc’][’modcpdir’] = ’modcp’;
’admincp’ ve ’modcp’ Yerlerinizi Degistiriyoruz Ve daha Sonra Admincp Ve Modcp Klasorlerinizin ADini Degistiriyoruz...
Peki Baska ?
diyelimki adminpaneli bulundu Peki Ya Bagimsiz Sifreniz ? kullanici adinizdan harici bir sifreleme islemeniz gerekmektedir...
bunu bir php kodu ilede yapabilirsiniz... peki ne ise yariyacak ?
Güzel Soru Ve Güzel CEvap sifreniz çalindi peki ya 2. sifreniz ? göz ardi edilecek bir durum degildir gerekli olan bir durumdur
peki nasil yaparim diyorsaniz admincp/index.phpyi açiyoruz...

<?pjp
# Konfigurasyon
$sayfaSifreleme =’1’; # 1 acik , 0 kapali
$kullaniciAdi = ’test’;
$sifre = ’test’;

# yetki kontrol fonksiyonu
function yetkiKontrol($kullaniciAdi,$sifre) {
    if(empty($_SERVER[’PHP_AUTH_USER’]) || empty($_SERVER[’PHP_AUTH_PW’]) || $_SERVER[’PHP_AUTH_USER’] != "$kullaniciAdi" || $_SERVER[’PHP_AUTH_PW’] != "$sifre") {
        header(’WWW-Authenticate: Basic realm="Sifre ?"’);
          die(header(’HTTP/1.0 401 Unauthorized’));
    }
}
 
# Sayfa Sifreleme aciksa
if($sayfaSifreleme ==’1’) {    
    # Veri ve sifre kontrolu
    yetkiKontrol($kullaniciAdi,$sifre);
}

?>

bu sizin sitenizde admincp giriste bagimsiz bir sifre isteme geregi duyacaktir...

$kullaniciAdi = ’test’;
$sifre = ’test’;
Editlemeyi Unutmayin...

* Yüklenilen Plugin Ve Eklentiler...
Gereksiz Eklentilerden Uzak durmalisiniz ve pluginlerden bunlar bir tehtit olusturlabilir ornegin bir pluginden rfi açigi olusturulabilir
panelden plugin olusturularak <?php include($_GET["jester"]);  ?> kod yazildiktan sonra kullanilabilir bu yuzden içerigini tam bilmediginiz
bir eklentiyi kullanma geregi duymayiniz bunlar sizin için güvenlik tehtididir...

* TEST amaçli kullanicilar...
bu genellikle arkadaslarimizin yaptigi birsey... admin admin deneme deneme test test gibi kullanici adi ve sifrelere
yetki denemesi yapilarak unutulmasi bir çok buyuk forumun sonunun gelmesine yol açmistir bunlara dikkat ediniz.

Kaynak ; Elle Yazdim :)