1. Kết quả Event Ghost 2016


    Dưới đây là danh sách những thành viên đoạt giải thưởng trong Event Ghost 2016

Bảo mật cho mã nguồn xenforo

Thảo luận trong 'Bảo Mật Cho Website' bắt đầu bởi Quỷ lệ, 19 Tháng ba 2014.


  1. Quỷ lệ

    Quỷ lệ Member Mới

    2
    0
    1
    [​IMG]
    I. Di chuyển vị trí file config​​
    - Bước 1:
    Đầu tiên tạo một thư mục chứa file config, thư mục này đê đâu tuỳ các bạn​

    ví dụ: diendan/game/data/core/app/codientu

    Ở đây codientu là thư mục chứa file config mình tạo.​

    - Bước 2:
    sau đó copy file config của các bạn đặt vào đó, đổi tên file config ​

    ví dụ: mình đổi config.php thành codientu.php

    - Bước 3:
    chmod file config vừa đổi tên (ví dụ: codientu.php) thành 400​
    chmod thư mục chứ file config thành 101​

    - Bước 4:
    Mở file config.php gốc trong thư mục library lên xoá toàn bộ nội dung trong đó và thay bằng đoạn code sau”​
    <?php include "diendan/game/data/core/app/#m4u.vn/m4u.php" ?>

    sau đó chmod 400
    Trong đó: diendan/game/data/core/app/codientu/codientu.php là đường dẫn tới file config​


    chmod 101 cho thư mục: Tác dụng khi truy cập vào thư mục thì sẽ báo thư mục rỗng
    chmod 400 cho file: Chống sửa

    p/s: Chống chỉ định với các bạn sử dụng code load cache.
    II. Đặt code trong nhiều lớp thư mục

    Thông thường khi local attack (local thế nào các bạn hỏi google nhé) hacker thường sẽ get file config để lấy thông tin database. Thường thì cũng dễ đoán đường dẫn thôi nếu không thay đổi. Mình ví dụ với direct admin thì đường dẫn mặc định thế này:​

    - /home/codientu/domains/codientu.org/public_html/library/config.php

    hoặc nếu đặt code trong thư mục thì sẽ thế này [​IMG]

    - /home/codientu/domains/codientu.org/public_html/folder/library/config.php

    vậy hacker chỉ cần run câu lệnh đến đường dẫn đó là xong (cách run lệnh và làm thế nào để run bà con tự tìm hiểu nhé)​

    Để phòng tránh điều này thì ta đặt code inclu trong nhiều thư mục ví dụ thế này:​

    /home/codientu/domains/codientu.org/public_html/folder/folder1/folder2/folder3/folder4/diendan

    Rồi việc còn lại là trỏ domain tới cái thư mục diendan tức là cái thư mục cuối cùng chứa code. (trỏ domain ra sao hỏi google nhé [​IMG] )

    Vậy đường dẫn của site vẫn là thế này http://yourdomain/diendan

    => ai cũng nghĩ code ta chỉ đặt trong thư mục diendan và nghĩ đường dẫn của ta là thế này​

    - /home/codientu/domains/codientu.org/public_html/diendan/library/config.php

    chẹp mà hacker không gà thế đâu nếu run lênh không được họ sẽ dễ dàng đoán ra ta đặt code xuyên nhiều thư mục [​IMG]
    Mà cái quan trọng là tên các thư mục cha mẹ của thư mục diendan tên là gì mỗi mình ta biết thôi đâu ai biết đâu [​IMG] vậy cứ để người khác ngồi mò đường dẫn đi. [​IMG] tốn kha kha time đấy [​IMG]

    Chú ý CHMOD mỗi lớp thư mục là 701, up lên file index.html với nội dung rỗng để che không cho thấy nội dung trong thư mục (trừ cái thư mục cuối cùng chưa code đó dừng up nhé không lại ko vào đc 4rum [​IMG] )

    p/s: cách này hay nhưng sẽ là xấu đường link khi dùng xen portal nên ai muốn làm đẹp link thì khỏi dùng [​IMG]

    III. Sử dụng file .htaccess để bảo mật website
    Việc sử dụng htaccess giúp hạn chế tối đa việc chèn Shell nếu có lỗi.Các thư mục sau: public_html/data , public_html/styles ,public_html/js bạn up file .htaccess với nội dung sau:
    <FilesMatch "\.(cgi|pl|php|php3|php4|php5|phtml|shtml|nok|love|cin|kid)$"> # Bạn có thể tự cập nhật file không cho phép chạy
    Order Deny,Allow
    Deny from all </FilesMatch>
    Các thư mục sau: public_html/library , public_html/internal_data ,public_html/install (tùy)bạn up file.htaccess với nội dung sau:
    Order deny,allow
    Deny from all
    IV. Bảo mật admincp
    Phần 1: Thay đổi địa chỉ trang quản lí admin
    (Mặc định trang quản lí của bạnhttp://tenwebsiteban/admin.php).
    - Vào host đổi tên file admin.php thành tên bạn muốn (ví dụ: abc.php).
    - Mở file: library/XenForo/Link.php. Tìm đoạn code sau:
    $outputLink = 'admin.php' . ($append !== '' ? '?' : '') . $append; if ($fullLink)
    - Thay admin.php bằng tên file mà bạn vừa đổi.
    Ví dụ:
    $outputLink = 'abc.php' . ($append !== '' ? '?' : '') . $append;
    - Mở template moderator_bar tìm đoạn code sau:
    <a href="admin.php"><span>{xen:phrase admin_control_panel}</span></a>
    - Thay admin.php bằng tên file mà bạn vừa đổi.
    Ví dụ:
    <a href="abc.php"><span>{xen:phrase admin_control_panel}</span></a>
    Phần 2: Tạo thêm 1 lần đăng nhập trước khi vào AdminCP.
    - Mở file admin.php (hoặc file mà bạn vừa đổi tên) thêm vào sau:
    <?php
    đoạn code này
    //Dang nhap vao admincp$config['user_vietxforg'] = 'yourusername';$config['pass_vietxforg'] = 'yourpassword'; if ($_SERVER['PHP_AUTH_USER'] != $config['user_vietxforg'] || $_SERVER['PHP_AUTH_PW'] != $config['pass_vietxforg']){header('WWW-Authenticate: Basic realm="Xin vui long khai bao thong tin yeu cau truoc khi duoc chuyen den bang dang nhap"');header('HTTP/1.0 401 Unauthorized'); //Trang sẽ hiển thị khi thông tin khai báo sai. (support HTML).echo '<center>Access Denied!!!</center>';exit;}
    V. Bảo mật admin bằng IP
    - Bước 1: Tạo 1 file php đặt tên là baomat.php
    <?php
    $list_ip = array(
    "127.0.0.1", // Local
    "202.78.227.157" // IP Hosting
    );
    $file_listip = "themip.txt"; // Kiem tra xem trong file themip.txt co ip dang truy cap khong.
    $fopen_ip = fopen($file_listip, "r");

    while ( !feof($fopen_ip) )
    {
    $read_ip = fgets($fopen_ip,50);
    $ip = explode('<nbb>', $read_ip);
    $list_ip[] = $ip[1];
    }
    fclose($fopen_ip);

    if ( !in_array($_SERVER['REMOTE_ADDR'], $list_ip) ){
    echo "<center></center>";
    exit();
    }
    ?>
    - Bước 2: Tạo tiếp 1 file php đặt tên là themip.php
    <?php
    SESSION_start();
    $pass = 'codientu.org'; // Mat khau de them ip vao file txt
    $file_listip = "themip.txt"; // file txt co nhiem vu them ip
    ?>
    <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

    <html>

    <head>

    <title>Kiểm tra IP</title>

    <meta http-equiv="Content-Type" content="text/html; charset=utf-8" />

    </head>

    <body>

    <?php

    $fopen_ip = fopen($file_listip, "r");

    while ( !feof($fopen_ip) )

    {

    $read_ip = fgets($fopen_ip,50);

    $ip = explode('<nbb>', $read_ip);

    $list_ip[] = $ip[1];

    }

    fclose($fopen_ip);

    if ( in_array($_SERVER['REMOTE_ADDR'], $list_ip) ){

    echo "<center>IP của bạn đã được cập nhập sẵn.</center>";

    }

    else {

    if ($_POST[submit]) {

    if ($_POST
    Mã:
     == "$pass") $_SESSION['code'] = "$pass";
    
    }
    
    if (!$_SESSION['code'] || $_SESSION['code'] != "$pass") {
    echo "<center><form action='' method=post>
    
    Code: <input type=password name=code> <input type=submit name=submit value=Submit>
    </form></center>
    
    ";
    exit;
    }
    
    $new_ip = $_SERVER['REMOTE_ADDR'];
    
    $fp = fopen($file_listip, "a+");
    
    fputs ($fp, "<nbb>$new_ip<nbb>\n");
    
    fclose($fp);
    
    echo "<center>IP của bạn đã được cập nhập thành công.</center>";
    
    }
    
    ?>
    
    </body>
    
    </html>
    Đoạn này:
    codientu.org
    là pass nhé các bạn thay tùy ý
    [B]- Bước 3:[/B]
    Ttiếp tục mở Notepad lên rồi lưu lại với tên [B]themip.txt[/B]
    - [B]Bước 4:[/B] Mở file [B]admin.php [/B]
    thêm đoạn code này
    include("baomat.php");
    dưới dòng
    <?php
    [B]- Bước 5:[/B] up tất cả lên host ngang hàng index
    * tác dụng của các file:
    khi các bạn gõ đường dẫn: [URL]http://yoursitename/admin.php[/URL]
    nó sẽ đọc lệnh: [B]include("baomat.php");[/B] trước và chạy file [B]baomat.php[/B], file [B]baomat.php[/B] sẽ check trong file [B]themip.txt[/B] xem có địa chỉ IP bạn trong đó không, nếu có thì nó sẽ chuyển bạn tới khung đăng nhập của admincp, nếu không có thì nó sẽ hiện trang trắng @@.
    Để thêm IP bạn chạy link: [URL]http://yoursite/themip.php[/URL]
    và nhập pass vào ô code
    [B]Have fun. [/B]
    [LEFT][COLOR=#000000]
    Read more: [URL='http://vntailieu.com/bao-mat-cho-ma-nguon-xenforo/#ixzz2wP534tA9'][COLOR=#003399]http://vntailieu.com/bao-mat-cho-ma-nguon-xenforo/#ixzz2wP534tA9[/COLOR][/URL][/COLOR][/LEFT]
     

Chia sẻ trang này