بحث متقدم | التسجيل
الويب العربي
  تسجيل دخول
 
   
   

  ملاحظة
الموقع متاح للإطلاع والقراءة فقط، المشاركة والمواضيع الجديدة غير متاحة حالياً لحين تطوير الموقع.




الموقع متاح للإطلاع والقراءة فقط، المشاركة والمواضيع الجديدة غير متاحة حالياً لحين تطوير الموقع.

عـودة للخلف   الويب العربي المركز التعليمي المجاني أمن المعلومات

أمن المعلومات مقالات, أخبار, مواضيع حول أمن المعلومات, وحماية أنظمة التشغيل, الشبكات, المواقع, البيانات السرية.

موضوع مغلق اضف موضوع جديد
 
خيارات الموضوع طريقة العرض
  #1  
قديم 03-08-2006, 08:08 PM
v_i_p v_i_p غير متصل
عضو
 
تاريخ التسجيل: Jul 2006
المدينة: السعوديه
مشاركة: 71
مستوى تقييم العضوية: 13
v_i_p is on a distinguished road
Post ::+::درس متجدد لحماية المواقع::+::

طرق حماية المنتديات من الإختراق

بسم الله الرحمن الرحيم

السلام عليكم وحمة الله وبركاته،،،

اتمنى الموضوع يفيدكم في شي ولو بقليل ،

* كلمات المرور :

أسهل طريق أمام المخترق هو تجربة كلمات مرور عدة حتى يصل لهدفه ... أو قد يقوم صاحب المنتدى بنشر كلمة مروره عن طيبة قلب لشخص أو لآخر .....

يجب الحذر كثيراً من هذه النقطة .... حاول تغيير كلمة مرورك بشكل دوري و لا تحفظها في أي مكان على جهازك (إذا خشيت من نسيان الكلمة فعليك بحفظها على ورقة خارجية) . كذلك لا تحفظها في المتصفح فقد يكون الوصول إليها سهلاً لو نجح المخترق في اختراق جهازك الشخصي .

*لا تستخدم اسم الـ Admin في مشاركاتك في المنتدى ...:

يفضل أن تنشأ اسماً خاصاً تدخل به على لوحة التحكم و اسماً آخراً تشارك به في المنتدى و السبب أن لا يكون اسم الأدمن معروفاً للجميع و في ذلك بعض الخطورة .



*تغيير خصائص الأدمن :

نعلم جميعاً أن المنتديات تعطي صلاحية للأعضاء المنتمين للعضوية Adminstration

و أغلب الثغرات التي يحاول المخترقون ايجادها تكون بإعطاء صلاحية أدمن لنفسه ....

إذن .... الحل الأكيد لمنع مثل هذه المحاولات هو تغيير خصائص الأدمن من لوحة التحكم الخاصة بمنتداك ..... كل ما عليك هو أن تغيير خصائص الأدمن ليصبح مثله مثل أي عضو آخر (لا يستطيع تعديل المواضيع - لا يستطيع دخول لوحة التحكم - لا يستطيع رؤية الساحات الخاصة) ..... عندها تستطيع أن تنام و أنت مرتاح البال ....



*تحديث المنتدى بشكل دوري :

احرص على الحصول على آخر نسخة من منتداك لأنها غالباً ما تكون خالية من ثغرات النسخ القديمة ..... و لا بأس من التروي قليلاً للتأكد من خلو النسخة الجديدة من الثغرات أيضاً ...



*متابعة الموقع الرسمي للمنتدى :

احرص على زيارة الصفحة الرئيسية للشركة المنتجة للاطلاع على آخر الثغرات و رقع هذه الثغرات .



*عمل باك آب بشكل دائم للمنتدى :

من البديهي أن هذه النقطة هي نقطة مهمة جداً .... لأنك على أسوأ الأحوال ستتمكن من العودة إلى آخر نقطة عملت باك آب عندها ...

ماهو الموعد المناسب لعمل باك آب ؟

هذا يعتمد على حجم منتداك ..... فقد تحتاج لعمل باك آب بشكل اسبوعي أو حتى يومي إذا كان المنتدى ضخماً ...



*اجعل كلمات المرور غير ظاهرة في لوحة التحكم :

مثلاً في منتديات الـ VB هناك خاصية تسمح لك بإخفاء كلمات المرور في لوحة التحكم و ذلك من خلال ملف Config الخاص بمنتداك ... (كل ما عليك هو تغيير أحد القيم من 1 إلى 0) .



*ماذا يحدث غالباً عند اختراق المنتدى ؟

غالباً فإن المخترق يتمكن من اختراق المنتدى باستخدام ثغرة تنشر على الشبكة أو يكتشفها بنفسه ....

لذلك فلا تقلق على موقعك الأصلي (إن كان الموقع يحتوي على أقسام أخرى غير المنتدى) .... لأن المخترق لم يتمكن من اختراق الموقع نفسه كل ما فعله هو التمكن من الدخول على لوحة التحكم بإعطاء نفسه صلاحيات المشرف .

هنا قد يغير المخترق صفحة البداية من المنتديات ..... و هو أقل شيء يفعله ليخبر الجميع بعملية الاختراق ...

بالطبع ستساء كثيراً إذا دخلت يوماً على منتداك و فوجئت بأن صفحة البداية مختلفة !!

ماذا تفعل حينها ؟

إذا كنت تريد نصيحتي فإن هناك طريقة قد لا ترضي الجميع و لكنها بالنسبة لي أفضل مليون مرة من الصفحة التي يضعها المخترق !

كل ما عليك هو أن تدخل على ملفات موقعك من خلال أي برنامج FTP و قم بتغيير البيرمشنز الخاصة بمجلد المنتدى ليتجعل الوصول إليه محجوباً عن الجميع ...

عندها ستظهر رسالة 403 fORBIDEN

إذا كان لا يعجبك شكلها فيمكنك استخدام صفحات الخطأ البديلة إذا كان المستضيف يعطيك هذه الخاصية .



* هل منتداك آمن عند هذه النقطة ؟

لا نستطيع أن نجزم بذلك للأسف ...... لكن نستطيع أن نقول أنه لم يتبقى طرق أخرى معروفه أمام المخترق سوى محاولة اختراق السرفر نفسه و هي عملية أصعب قليلاً من عملية اختراق منتدى ....


و لحماية سيرفرك اتبع التالي :

* عليك أن تحرص استضافة موقعك لدى شركة معروفة و مضمونة ببرامجها الآمنة و المتجددة دائماً ...

* كما أرجو ألا تهمل كلمة مرورك بأي حال من الأحوال .

*احرص على استخدام صفحات الخطأ البديلة لأنها تمنع المخترق من معرفة نوع السيرفر الذي يعمل عليه موقعك .

*احرص على استخدام برامج آمنة في موقعك




أولاً الحماية :



بعد ماتركب منتدى جديد أو تحدث إصدار منتداك



تعمل الأتي :



تحذف مجلد install



تضع حماية على المجلدات التالية :-



admincp



modcp



includes



وحماية المجلدات تتم عن طريقتين :



الأولى : عن طريق لوحة تحكم موقعك وهي معروفة للجميع



الثانية : عن طريق رفع ملف مخصص لإضافة حماية على أي مجلد تريد





وراح أشرح الأن حماية المجلدات عن طريق الملف :



أولاً حمل الملف فى المرفقات

وضعه في مجلد admincp



وأعط الملف save.php الترخيص 755



وأعط مجلد admincp الترخيص 777



إذهب إلى المتصفح وضع فيه الرابط هذا



www.****.com/vb/admincp/save.php



حيث أن ****إسم موقعك



وsave.php إسم الملف



وإضغط إنتقال أو إنتر راح يطلب منك إسم مستخدم وكلمة مرور



أكتب المطلوب وبعدها إضغط على كلمة إحم المجلد



وأخيراً إحذف المجلد save.php



وبكذا تكون حميت مجلد admincp



وهكذا تعمل بباقي المجلدات :



modcp



www.******.com/vb/modcp/save.php



includes



www.*****.com/vb/includes/save.php



والأن خلصنا من شرح طريقة حماية المنتدى والطريقه هذي تستطيع عملها على جميع إصدارات vBulletin



واللذي سيختلف في النسخة vb2 هو إضافة الحماية على المجلدات التالية فقط :



admin



mod



ثانياً : طريقة إغلاق أخطر ثغرتين للنسخة الجديدة vb3


ثغرة في ملف editpost.php



إفتح الملف وفي أوله بعد<?php



أضف الكود التالي


$title = addslashes($title);

if (strstr($title,"******") != NULL){

echo "hello.. are you hacking us?<br>vBulletin<br>note: use scr!pt";

exit;

}



ثغرة في ملف sub******ions/authorize.php



وطريقة إغلاقها



تبحث في الملف authorize.php عن الكود هذا


$userid = $DB_site->query_first("SELECT userid, languageid, styleid FROM " . TABLE_PREFIX . "user WHERE userid = " . $item_number[1]);


وتحذفه وتضع بداله الكود هذا


$userid = $DB_site->query_first("SELECT userid, languageid, styleid FROM " .

TABLE_PREFIX . "user WHERE userid = " .intval( $item_number[1]));



بالنسبه للتطوير لنسخة 3,0,3 فهي أمنه وهذا ملخص لما فيها من ثغرات وطرق ترقيعها :
==========================================
1- ثغرة ملف التعليمات faq.php :
وهي ثغره من نوع Path Disclosure حيث بواسطتها يقدر أن يعرف الشخص المخترق في
أي دليل داخل السرفر تقع ملفات المنتدى ومستواها ( ضعيف ) .


الترقيع للثغره :

* افتح ملف faq.php وقم بالبحث عن الأسطر التاليه:

// initialize some template bits
$faqbits = '';
$faqlinks = '';

أضف بعده الكود التالي

$navbits[''] =$vbphrase['faq'];

* إحفظ الملف.

==========================================

2-ثغرة ملف editpost.php :
وهي ثغره من نوع CrossSite ******ing وهي ثغره عن طريقها يتم سرقة الكوكيز
المحفوظ داخل الأجهزه وبها يستطيع المخترق الدخول للمنتدى بالكوكيز المسروقه
ولكن لا يستطيع التعديل في بيانات الشخص المسروق الكوكيز منه سواءاً بريده
الالكتروني أو كلمة المرور وهذه ميزة النسخه من الجيل الثالث . مستواها ( جيد )

الترقيع:

* قم بفتح ملف editpost.php وابحث عن السطر التالي:

$edit['title'] = trim($_POST['title']);

إستبدله بهذا السطر

$edit['title'] = trim(xss_clean($_POST['title']));

* احفظ الملف .

==========================================

3- ثغرة ملف authorize.php:
وهي ثغره من نوع SQL Injection.

وهو ملف خاص بتطبيق عمليات الشراء والتحقق من بعض مواقع الصرافات مثل paypal
وهو ليس لازم لعمل المنتدى فلو تم حذفه يكون أفضل وهنا بعض التفاصيل عن الثغره:
http://www.securiteam.com/unixfocus/5BP0E15E0M.htm l


==========================================

4- إذا كانت لوحة تحكم المشرف العام مفتوحه
للدخول بدون طلب كلمة مرور أخرى فيفضل أن تقوم بحمايتها تفادياً لأي طريقة وصول
عن طريق htaccess .
ويستحسن تغير اسم مجلد لوحة التحكم إلى أي إسم أخر على سبيل المثال myguard
بعدها قم بفتح ملف config.php وابحث عن كلمة admincp
وضع بدلاً منها اسمك الجديد .


==========================================

5- لوحة تحكم المراقبين بها ثغرات كثيره أيضاً ويفضل إغلاقها نهائياً عن طريق htaccess ويكتفى عمل المراقبين داخل الساحات فقط

اتمنى ان الشرح اعجبكم



السلام عليكم ورحمة الله وبركاته

اليوم جايب طرق ترقيع الثغرات في المنتدى النسخه 3,0,3

نبنتدي الشرح...


بالنسبه للتطوير لنسخة 3,0,3 فهي أمنه وهذا ملخص لما فيها من ثغرات وطرق ترقيعها :
==========================================
1- ثغرة ملف التعليمات faq.php :
وهي ثغره من نوع Path Disclosure حيث بواسطتها يقدر أن يعرف الشخص المخترق في
أي دليل داخل السرفر تقع ملفات المنتدى ومستواها ( ضعيف ) .


الترقيع للثغره :

* افتح ملف faq.php وقم بالبحث عن الأسطر التاليه:

// initialize some template bits
$faqbits = '';
$faqlinks = '';

أضف بعده الكود التالي

$navbits[''] =$vbphrase['faq'];

* إحفظ الملف.

==========================================

2-ثغرة ملف editpost.php :
وهي ثغره من نوع CrossSite ******ing وهي ثغره عن طريقها يتم سرقة الكوكيز
المحفوظ داخل الأجهزه وبها يستطيع المخترق الدخول للمنتدى بالكوكيز المسروقه
ولكن لا يستطيع التعديل في بيانات الشخص المسروق الكوكيز منه سواءاً بريده
الالكتروني أو كلمة المرور وهذه ميزة النسخه من الجيل الثالث . مستواها ( جيد )

الترقيع:

* قم بفتح ملف editpost.php وابحث عن السطر التالي:

$edit['title'] = trim($_POST['title']);

إستبدله بهذا السطر

$edit['title'] = trim(xss_clean($_POST['title']));

* احفظ الملف .

==========================================

3- ثغرة ملف authorize.php:
وهي ثغره من نوع SQL Injection.

وهو ملف خاص بتطبيق عمليات الشراء والتحقق من بعض مواقع الصرافات مثل paypal
وهو ليس لازم لعمل المنتدى فلو تم حذفه يكون أفضل وهنا بعض التفاصيل عن الثغره:
http://www.securiteam.com/unixfocus/5BP0E15E0M.htm l


==========================================

4- إذا كانت لوحة تحكم المشرف العام مفتوحه
للدخول بدون طلب كلمة مرور أخرى فيفضل أن تقوم بحمايتها تفادياً لأي طريقة وصول
عن طريق htaccess .
ويستحسن تغير اسم مجلد لوحة التحكم إلى أي إسم أخر على سبيل المثال myguard
بعدها قم بفتح ملف config.php وابحث عن كلمة admincp
وضع بدلاً منها اسمك الجديد .


==========================================

5- لوحة تحكم المراقبين بها ثغرات كثيره أيضاً ويفضل إغلاقها نهائياً عن طريق htaccess ويكتفى عمل المراقبين داخل الساحات فقط

اتمنى ان الشرح اعجبكم
للعلم جميع النسخ مصابة بهذه الثغرات



الموضوع متجدد انشاءلله









التوقيع
افا ليه

آخر تعديل بواسطة v_i_p ، 03-08-2006 الساعة 08:12 PM.
  #2  
قديم 04-08-2006, 02:25 AM
الصورة الشخصية لـ الصريح جداً
الصريح جداً الصريح جداً غير متصل
عضو
 
تاريخ التسجيل: May 2006
المدينة: جـ JeDDaH ـدة
مشاركة: 2,933
مستوى تقييم العضوية: 18
الصريح جداً is on a distinguished road
وسام الويب الذهبي وسام الويب الفضي وسام الويب البرونزي 
عدد الأوسمة: 3 (المزيد ...)
الافتراضي

هلا أخي العزيز بارك الله فيك

وياريت ترفق لنا ملف save.php

الظاهر انك نسيت ترفقه خخخخخ


وهذه مواضيعي الخاصة بالحماية وقريب بينزل الدرس الرابع بإذن الله

http://www.arabwebtalk.com/showthread.php?p=192353
http://www.arabwebtalk.com/showthread.php?t=27857
http://www.arabwebtalk.com/showthread.php?t=29096

ويعطيك العافية أخوي على الموضوع ما قصرت

أخوك في الله

حسين






التوقيع
كنتُ هنا يوماً ما ...
  #3  
قديم 04-08-2006, 04:31 PM
v_i_p v_i_p غير متصل
عضو
 
تاريخ التسجيل: Jul 2006
المدينة: السعوديه
مشاركة: 71
مستوى تقييم العضوية: 13
v_i_p is on a distinguished road
Cool

اسف وهذا المرفق





الملفات المرفقة
نوع الملف: zip save.zip‏ (الحجم 780 بايت , عدد مرات التنزيل : 101)

التوقيع
افا ليه
  #4  
قديم 06-08-2006, 04:14 AM
admin.al3sfa admin.al3sfa غير متصل
عضو
 
تاريخ التسجيل: Aug 2006
المدينة: مــصــر{أم الــدنــيــا}
مشاركة: 25
مستوى تقييم العضوية: 0
admin.al3sfa is on a distinguished road
إرسال رسالة عبر MSN إلى admin.al3sfa إرسال رسالة عبر Yahoo إلى admin.al3sfa
الافتراضي

مشكور اخوي في اي بي على هذا الجهد الكبير وهذه المعلومات القيمة ونا ممكن اجعلك نائبي في المنتدى مقابل تأمين الحماية له






التوقيع
مدير عام منتديات العاصفة
الرابط:
:E-mail
  #5  
قديم 08-08-2006, 08:03 PM
القمة نت القمة نت غير متصل
عضوية مغلقة
 
تاريخ التسجيل: Aug 2006
المدينة: E G ¥ P T وا افتخر
مشاركة: 321
مستوى تقييم العضوية: 0
القمة نت is on a distinguished road
إرسال رسالة عبر ICQ إلى القمة نت إرسال رسالة عبر  AIM إلى القمة نت إرسال رسالة عبر MSN إلى القمة نت إرسال رسالة عبر Yahoo إلى القمة نت
الافتراضي

مشكور اخوي في اي بي على هذا الجهد الكبير وهذه المعلومات القيمة ونا ممكن اجعلك نائبي في المنتدى مقابل تأمين الحماية له





موضوع مغلق



خيارات الموضوع
طريقة العرض

قوانين المشاركة
لا يمكنك إضافة موضوع جديد
لا يمكنك الرد على المواضيع
لا يمكنك إضافة مرفقات
لا يمكنك تعديل مشاركاتك

كود vB متاح
كود [IMG] متاح
كود HTML مغلق
إنتقل إلى

مواضيع مشابهة
الموضوع الكاتب القسم مشاركة آخر مشاركة
اريد شركة لحماية المنتدى ؟ فارس المحبه مزاد المواقع 2 24-06-2007 07:50 PM
لحماية أفضل لمنتداك ( تفضل هنا عبدالله الحصان قسم المنتديات 12 14-06-2006 01:28 AM
شركة قوزيلا لحماية حقوق المواقع العربية تقدم عروض الحماية التجارية فعلى الجميع الدخول شركة قوزيلا التجارة الالكترونية 13 26-12-2005 11:16 AM
أهم النقاط لحماية موقعك (1) مشعل أمن المعلومات 27 22-09-2005 05:38 PM
طرق لحماية مواقعكم من السرقه Dooem المنتدى العام 3 17-08-2005 09:51 PM


جميع الأوقات بتوقيت مكة المكرمة. الساعة الآن » 02:13 AM.

Powered by vBulletin
Copyright ©2000 - 2018, Jelsoft Enterprises Ltd.


 
 »  خدمات البرمجة   »  رئيسية الدليل
  »  خدمات التصميم   »  الأمن والحماية
  »  الدعاية والتسويق
  »  الدعم والتطوير
  »  الشركات الرسمية
  »  حجز دومينات
  »  خدمات الإستضافة
 
 
  »  مكتبة الإستايلات   »  رئيسية المكتبة
  »  أكواد برمجية   »  أدوات الويب ماسترز
  »  مكتبة الهاكات   »  أدوات المصممين
  »  سكربتات متنوعة
  »  مجلات إلكترونية
  »  بلوكات متنوعة
  »  ثيمات مختلفة
 
 

صحيفة متخصصة في متابعة أخبار وجديد الإنترنت العربي
والحوارات الصحفية ومعلومات تقنية متنوعة .

   
 
 

للتواصل مع فريق عمل الويب العربي
يمكنك ذالك من خلال مركز الدعم والمساندة.

 الدعم الفني |  اعتماد العضويات |  قوانين الإنتساب |  إتفاقية الإستخدام |  أهداف الويب العربي |  دليل الشركات |  مكتبة الويب |  صحيفة الويب العربي |  الرئيسية