Safety - first of all

[tojan3]

Polecam:

https://e-wczasowicz.pl/forum/

[breja]

Powered by phpBB 2.0.6

co sie dziwic :]

[tomek.l]

Ostatnio często się włamują na fora phpbb. Nie dawno dostałem maila wysłanego przez hakera do wszystkich użytkowników forum. Może to nawet ten sam.

[tojan3]

Tez cos mi sie tak wydaje. Mi sie dwa razy wlamali na foum.

Musze powiedziec, ze polscy hackerzy byli znacznie przyjazniejsi, bo radzili updateowac i nie robili specjalnie szkod.

Natomiast w drugim przypadku, to byl wlam na moje jedno angielskie forum, ktorym pzestalem sie interesowac. tutaj narobili bardzo duzo zniszczen i chcieli zadac maksimum szkod. POmijam fakt, ze to byli ostatni zboczency.

[Rafal]

Już 2.0.13 jest. Chyba muszę swoje zaktualizować.

Mam też galerię zdjęć Coppermine i dosyć często dobierają mi się do pliku login.php. Na szczęście TYLKO ja mogę się logować, więc zmieniłem nazwę pliku logowania, a login.php wygląda tak:

<?

echo "permission denied"

?>

I chakeży już mi nie generują zbyt dużego ruchu.

[EDDY]

Chciałeś napisać 2.0.14 i to ładnych parę dni...

Gotowych exploidów jest od groma dla phpbb2 i nawet aktualizacja do najnowszej wersji to często jest za mało. Polecam zabezpieczać wykonywanie plików wprowadzając hash MD5 dla każdego z osobna. Dzięki temu ewentualne wgranie pliku z zewnątrz uniemożliwi wykonanie kodu.

Warto też zabezpieczyć w .htaccess dostęp do katalogów z przeglądarki, a katalog /admin warto zmienić na inny i zrobić dodatkoweg logowanie i dostęp tylko dla jednego IP.

Jeszcze wiele innych rzeczy mozna zrobić, ale myślę, że jak komuś zależy i się zna, to już to zrobił...

[tojan3]

Gotowych exploidów jest od groma dla phpbb2 i nawet aktualizacja do najnowszej wersji to często jest za mało. Polecam zabezpieczać wykonywanie plików wprowadzając hash MD5 dla każdego z osobna. Dzięki temu ewentualne wgranie pliku z zewnątrz uniemożliwi wykonanie kodu.

Warto też zabezpieczyć w .htaccess dostęp do katalogów z przeglądarki, a katalog /admin warto zmienić na inny i zrobić dodatkoweg logowanie i dostęp tylko dla jednego IP.

Jeszcze wiele innych rzeczy mozna zrobić, ale myślę, że jak komuś zależy i się zna, to już to zrobił...

Powiem wam, ze to jest cholernie irytujace.

Mi sie wyadje, ze dosc dobrym sposobem, jest znaleźć jakas niekoniecznie najnowsza wersje i wcale tego nie updateowac.

W updateach moga byc dziury, a to co mialo byc zalatane juz zostalo zalatane.

Ja wole pozostac przy nieco starszym skrypcie, ktory nie koniecznie ma wszystkie funkcje, ale jest bezpieczny.

wprowadzając hash MD5 dla każdego z osobna

O co chodzi?

[Rafal]

O co chodzi?

Mi się wydaje, że o to, żeby mogły zostać wykonane tylko pliki, których suma kontrolna jest zapisana gdzieś w bazie.