Phpbb Security
phpbb kendi çapinda güvenli bir sistem fakat bunu daha güvenli hale nasil getiricez anlaticam burada
öncelikle bunu 5 subat 2005 tarihinde yaziyorum forumunuzu güncelleyin bu tarihte en son sürüm phpbb 2.0.11 görsel dogrulama standart oldu bunu açaak basliyoruz
restrict guess accessbu modu kurmanizi öneririrm ziyaretçilerin izinlerini sinirliyor kimler online sayfasina kullanici gruplarina arama özelligini kullanmalarini engelliyor bunlardan herhalde en önemli yer arama özelligi
http://www.phpbbhacks.com/download/1415
çok kisa araliklarla çok belirgin bir ünlü harfi istemek a gibi cpu nuzun sismesine sebep olur eger sistem kaynaklarinin size ayrilan kisimindan çogunu bu yüzden kullanirsaniz hesbainiz dondurulur suspend edilir
2. olay config.php nize weden ulasilabilecek bir klasörde tutmayin public_html yada www klasörlerine webden ulasilir bunlarin bir üst klasörüne koyun config.php nizi ve su degisikligi yapin
common.php yi açin
Kod: Hepsini Seç
include($phpbb_root_path . ’config.’.$phpEx);
bunu bulun
bununla degistirin
Kod: Hepsini Seç
include($phpbb_root_path . ’../config.’.$phpEx);
phpbb de ara ara çikan xss açiklari ile saldirganlar sizin farkina varmadan bir link tikltip cookienizi alip içindkei md5 hash i kirip sifrenize ulasmak isteyebilir bunu içinde bu modu kuruyoruz
http://www.phpbbhacks.com/download/3527
olayin mantigi sey sifrenizi girip login e bastiginiz anda girdiginiz sifrenin yanina tamamen random rastgele yani sayilar ekliyor cookienizdede bu eklenmis sayilari içeren hash saklaniyor yani kirsalar bilr sizin sifreniz degil bu olaya custom salt denir
max session modunu kurun diyecegim ama bgüne kadar hiç bir yararini görmeddim kurmak sizin elinizde sözde server in overload olmasini engelliyor
oda burada
http://www.canver.net/viewtopic.php?t=358
simdi küçük ama etkili ve asil önemli seylere geldik
öncelikle powered by yazisini kaldiriyoruz yanlis anlamayin türkçesini yazicaz onu editlemek için overal_footer.tpl yie ditlicez
Powered by phpBB yazan yeri php.B.B tarafindan güçlendirilmistir gibi bir sey yazin copyright i silmeyin bu neyi engeller google vs. de inurl yada intitle powered by phpbb 2.0.10 diye arayanlari engeller sizin forumu bulamazlar yada bu yazi yerine bir resim yapistrabilirsiniz
en önemli degisim versiyonun silinmesi
overall_footer.tpl yi açin
’PHPBB_VERSION’ yazan kisimi silin yada basina // koyun yani
// ’PHPBB_VERSION’
bu sekilde olsun yada silin iste
admin/admin_db_utilities.php i kesinlikle siliyoruz çok gereksiz zaten oradan ne veritabani yükleyin nede yedek almaya çalisin o islemleri phpmyadmin den hallediyoruz
eger bir saldirgan yönetim panelinize girerse en azindan yedegini alamasin kullanicilarin sifrelerini vs. kirmak için
simdi admin klasörünün adini degistirin
daha sonra includes/functions.php yi açin
include($phpbb_root_path . ’admin/ yazan kisimi degistirdiginiz klasör adiyla degistirin admin klasörünü ab5hjd olarak adini degistirdiyseniz orada admin yazan yere ab5hjd yazin
daha sonra includes/page_tail.php yi açin
’ADMIN_LINK’ => $admin_link yazan kisimi bulun
’ADMIN_LINK’ => ’’ olarak degistirin
bu neyi saglar login olmus yöneticinin alttaki yönetim paneli linkine tiklayarak giremesini sgalar çünkü o link yok girisi nasil yapacak
admin klasörümünüz yeni adi ab5hjd idi forum/ab5hjd/index.php seklinde giricek
dananin kuyrugunu kopartiyoruz o klasörü bir de sifreliyelim onu daha önce anlatmistim
http://www.canver.net/viewtopic.php?t=732
onunda linki üstteki neyse devam edelim
phpbb_ yi standart prefiz olarak kullanmayin sql injection saldirilarinda basinizi agritabilir en son phpbb 2.0.10 açiginda php üzerinden shell kodu çalistirilip mysqldump ile yedke alinabiliyordu bunun için phpbb_ tablo yapisi bilinmesi laizmdi oda çogumuuzn forumdunda standart phpbb_ dir simdi onu degistiricez
config.php yi açin degistirmek istediginiz tablo adini
$table_prefix = ’phpbb_’ phpbb_ yazan kiisma girin tablo adi xyz14xyz_ oldun diyelim oraya girin
daha sonra
NOT :bu tablolar sadece standart hiç mod kurulmamis phpbb içindir plus a da uymaz ona kendiniz ekleme çikarma yapabilirsiniz
phpmyadmin en bu sorguyu çalistirin
Kod: Hepsini Seç
ALTER TABLE phpbb_auth_access RENAME TO xyz14xyz_auth_access;
ALTER TABLE phpbb_banlist RENAME TO xyz14xyz_banlist;
ALTER TABLE phpbb_categories RENAME TO xyz14xyz_categories;
ALTER TABLE phpbb_config RENAME TO xyz14xyz_config;
ALTER TABLE phpbb_confirm RENAME TO xyz14xyz_confirm;
ALTER TABLE phpbb_disallow RENAME TO xyz14xyz_disallow;
ALTER TABLE phpbb_forum_prune RENAME TO xyz14xyz_forum_prune;
ALTER TABLE phpbb_forums RENAME TO xyz14xyz_forums;
ALTER TABLE phpbb_groups RENAME TO xyz14xyz_groups;
ALTER TABLE phpbb_posts RENAME TO xyz14xyz_posts;
ALTER TABLE phpbb_posts_text RENAME TO xyz14xyz_posts_text;
ALTER TABLE phpbb_privmsgs RENAME TO xyz14xyz_privmsgs;
ALTER TABLE phpbb_privmsgs_text RENAME TO xyz14xyz_privmsgs_text;
ALTER TABLE phpbb_ranks RENAME TO xyz14xyz_ranks;
ALTER TABLE phpbb_search_results RENAME TO xyz14xyz_search_results;
ALTER TABLE phpbb_search_wordlist RENAME TO xyz14xyz_search_wordlist;
ALTER TABLE phpbb_search_wordmatch RENAME TO xyz14xyz_search_wordmatch;
ALTER TABLE phpbb_sessions RENAME TO xyz14xyz_sessions;
ALTER TABLE phpbb_smilies RENAME TO xyz14xyz_smilies;
ALTER TABLE phpbb_themes RENAME TO xyz14xyz_themes;
ALTER TABLE phpbb_themes_name RENAME TO xyz14xyz_themes_name;
ALTER TABLE phpbb_topics RENAME TO xyz14xyz_topics;
ALTER TABLE phpbb_topics_watch RENAME TO xyz14xyz_topics_watch;
ALTER TABLE phpbb_user_group RENAME TO xyz14xyz_user_group;
ALTER TABLE phpbb_users RENAME TO xyz14xyz_users;
ALTER TABLE phpbb_vote_desc RENAME TO xyz14xyz_vote_desc;
ALTER TABLE phpbb_vote_results RENAME TO xyz14xyz_vote_results;
ALTER TABLE phpbb_vote_voters RENAME TO xyz14xyz_vote_voters;
ALTER TABLE phpbb_words RENAME TO xyz14xyz_words;
bu tablolar sadece standart hiç mod kurulmamis phpbb içindir plus a da uymaz ona kendiniz ekleme çikarma yapabilirsiniz
en son phpbb worm saldirilarindan korunmak için apache ye mod_security yi kurmanizi öneririm yapamazsaniz yardim edebilriim ayrica arama motorlarini bunun için kullanana kisilerin sitenizdeki trafigi arttirmasini söyle engelliyebilirsiniz adamin biri phpbb.com da görmüstüm 3 gb trafigini yemis google 2 günde bu aramalar yüzünden
.htacess dosyasi olusturun forumun ana klasöründe
bunu ekleyin içine
Kod: Hepsini Seç
RewriteCond %{QUERY_STRING} ^(.*)\%2527
RewriteRule ^.*$ http://127.0.0.1/ [R,L]
bu açigi kapamaz sadece arama motorlari bu sekilde sitenizi indexliyemez
sunucunuzda neler oldugunu mu ögrenmek istiyorsun mysql in loglamasini saglayin
ssh yada telnet ile sunucuya baglanin
my.cnf
dosyaisni açin
[mysqld] yazan yerin altina su kelimeuyi ekleyin
log-bin
daha fazla bilgi google
http://www.google.com/search?num=100&q=mysqlbinlog
kurabilirseniz siteye hotlinkide kuun böylece sql injectionlari direk deniyemezler gene istediginiz sayfaya yönlendirri döküman bitti bende bittim
