Безопасность в IPB

Подписчики

17 ноября 200817 г

Господа, товарищи. Вот и настал мой день. И меня ХАКнули! ((((( Как всегда хочется верить что именно со мной этого не произойдёт, и вот на тебе. Меня Админа на моём форуме забанил один из забанненный мною участников!

Был там наглец один. Я его забанил на форуме, в итоге вчера мне кричат, Сталин зайди на форум, я захожу, и он меня не пускает "У Вас нет прав и т д... для просмотра этой страницы." Потом он всё таки меня впустил. И что я увидел? Что мне приклеился ярлычок БАНа, и этот уродец от моего имени пишет разные посты. Причём позабанил не только меня, но и многих других участников. Я не могу ответить. В общем вытворяет что хочет. Господа, прошу Вашего скорейшего великодушия. Помогите. Что мне делать?

После установки форума, не разу не занимался вопросом безопасности. Никакие патчи не ставил, и никакие дыры не залатывал. Можно сказать что он у меня голый. По умолчанию всё!

Движок IPB 2.2.2.

Пришлось конечно же отключить его. Урод ликует и празднует победу. Что мне делать? Забанить в фаерволе, так он с другого компа меня снова хакнет.

1. Вернуть всё на место?

2. Какие дыры и чем залатать чтобы больше это не повторилось?

3. какую профиллактику в будущем проводить по устранению возможной опасности. Может патчи время от времени какие-нибудь ставить7

Стоит куча модов, поэтому не хотелось бы переходить на новую версию. Если можно подскажите без переустановки движка как это решить?

Изменено 17 ноября 200817 г пользователем stalin_alex

19 ноября 200817 г

Да еще ...

Многие хостинг панели, умеют закрывать директории через htpasswd и htaccess. У меня на всех хостинг платформах стоит ISPmanager, там это есть. DirectAdmin это тоже умеет, как помнится в Plesk и Cpanel это есть. Функция давно уже штатная для всех.

19 ноября 200817 г

Автор

Да еще ...
Многие хостинг панели, умеют закрывать директории через htpasswd и htaccess. У меня на всех хостинг платформах стоит ISPmanager, там это есть. DirectAdmin это тоже умеет, как помнится в Plesk и Cpanel это есть. Функция давно уже штатная для всех.

Спасибо, в этом уже я разобрался сам. Очень хорошая штука. Продскжите мне вот что. не получается одно.

Создал в директории админки файл .htaccess, в нём прописал

Order Deny,Allow 
# запрет для всех на доступ к ресурсу 

Deny from all 
# разрешаем только следующим 

Allow from local. 

Allow from 10.0.1.191

Работает.

А потом следом в этот же файл решил ещё и пароль сделать, путём добавления:

# в кавычках пишем произвольное сообщение на английском,

#которое будет появляться в окошке авторизации

AuthName "Fuck" 

AuthType Basic

AuthUserFile /xampp/pass/.htpasswd

Require valid-user

Соответственно в директории /xampp/pass/ лежит файлик .htpasswd в который я прописал используя программку для паролей, что в инструкции указана следующий код

=STALIN=:=Sp9Fjwi/TpnQ

А в реале это получается Имя =STALIN= а пароль 222, тоесть это программа паролей так его закодировала!

В итоге. При открытии страницы у меня появляется окошко для воода пароля, что и следовало ожидать, но пароль не принимается. Жму ОК и всё бестолку, окно ввода не пропадает и админка не открывается! В чём дело????

Изменено 19 ноября 200817 г пользователем stalin_alex

19 ноября 200817 г

В итоге. При открытии страницы у меня появляется окошко для воода пароля, что и следовало ожидать, но пароль не принимается. Жму ОК и всё бестолку, окно ввода не пропадает и админка не открывается! В чём дело????

Вы кажется перемудрили.

Разбираться не когда, сделал запрет на рабочем форуме средствами IPB

.htaccess

AuthType Basic
AuthName "IPB ACP"
AuthUserFile /home/....../....../admin/.htpasswd
Require valid-user

.htpasswd

STALIN:MjTas9pz.XL3A

Работает.

19 ноября 200817 г

Автор

Вы кажется перемудрили.
Разбираться не когда, сделал запрет на рабочем форуме средствами IPB

.htaccess
AuthType Basic
AuthName "IPB ACP"
AuthUserFile /home/....../....../admin/.htpasswd
Require valid-user
.htpasswd
STALIN:MjTas9pz.XL3A
Работает.

Так я не пойму а пароль какой писать? Который закодированный? Или нормальный типа 222??? не получается, не принимает

(((. Не.. Не получается, не та к ни сяк...Не принимает пароль!

Изменено 19 ноября 200817 г пользователем stalin_alex

19 ноября 200817 г

Так я не пойму а пароль какой писать? Который закодированный?

Закодированный.

У меня работает.

Имя =STALIN=

Пароль 222

=STALIN=:MjTas9pz.XL3A

19 ноября 200817 г

Автор

Закодированный.

У меня работает.
Имя =STALIN=
Пароль 222
=STALIN=:MjTas9pz.XL3A

А у меня нет (((

А ещё интересно то, что у меня пароль 222 постоянно показывает вот таким кодом

=STALIN=:=Sp9Fjwi/TpnQ

Вот.. Это мои =STALIN=

и пароль 222. Тут может подвох? Почему у Вас иначе код выглядит?

19 ноября 200817 г

А у меня нет (((

У вас на сервере стоит расширение apache - mod_auth_digest.

На хостинге, какая панель? можете через панель закрыть директорию? Это будет проще.

А ещё интересно то, что у меня пароль 222 постоянно показывает вот таким кодом

А где вы его создаете?

и пароль 222. Тут может подвох? Почему у Вас иначе код выглядит?

А мой пароль работает?

Надо смотреть алгоритм шифрование этого пароля. До сегодняшнего дня, я думал, что он стандартный.

19 ноября 200817 г

Автор

У вас на сервере стоит расширение apache - mod_auth_digest.
На хостинге, какая панель? можете через панель закрыть директорию? Это будет проще.

А где вы его создаете?

А мой пароль работает?

Надо смотреть алгоритм шифрование этого пароля. До сегодняшнего дня, я думал, что он стандартный.

Дело в том, что у меня нет хостинга! Форум в локальной сети по области. Ну в общем на локальном ПК, у меня лично! Пароль создаю в программе passwd.exe

Ваш пароль НЕ работает!

Не знаю что делать!

Эта программа для паролей скачана по ссылке приведённой на сайте http://www.htaccess.net.ru/doc/htaccess/auth.php

19 ноября 200817 г

Ну в общем на локальном ПК, у меня лично!

Windows ... Не знаю, я его нормально.

Тогда просто перенесите админку.

init.php

//-----------------------------------------------
// Security features
//-----------------------------------------------

/**
* Directory name for the admin folder
* @since 2.2.0.2006-11-06
*/
define( 'IPB_ACP_DIRECTORY', 'admin' );

define( 'IPB_ACP_DIRECTORY', 'новая директория' );

19 ноября 200817 г

Автор

Windows ... Не знаю, я его нормально.

Тогда просто перенесите админку.

init.php
//-----------------------------------------------
// Security features
//-----------------------------------------------

/**
* Directory name for the admin folder
* @since 2.2.0.2006-11-06
*/
define( 'IPB_ACP_DIRECTORY', 'admin' );
define( 'IPB_ACP_DIRECTORY', 'новая директория' );

Так перенёс уже.. ещё пару дней как. Но впринципе хрен с ним с паролем, я нашёл другой выход. Так же через htaccess. Просто сделал так, чтобы в админ панель мог войти только мой IP.

Пример: .htaccess _разрешение_ на доступ для определенного IP адреса и хоста.

Order Deny,Allow 
# запрет для всех на доступ к ресурсу 

Deny from all 
# разрешаем только следующим 

Allow from local. 

Allow from 100.99.99.1, 100.99.99.2

Но всё равно Вам спасибо, и Вашему форума. В очередной раз Вы мне помогли ребята! :)

Форум запущен снова!

Изменено 19 ноября 200817 г пользователем stalin_alex

Создайте аккаунт или войдите в него для комментирования

Зарегистрировать аккаунт

Войти сейчас

Подписчики

Перейти к списку тем

Безопасность в IPB

Рекомендованные сообщения

Создайте аккаунт или войдите в него для комментирования

Важная информация

Аккаунт

Навигация

Поиск

Настроить push-уведомления браузера

Chrome (Android)

Chrome (компьютер)

Safari (iOS 16.4+)

Safari (macOS)

Edge (Android)

Edge (компьютер)

Firefox (Android)

Firefox (компьютер)