Если Вы держите свой vbulletin форум, то рано или поздно приходится думать о защите Вашего форума. Начнем:

1) Апдейтимся в самый конец своей линейки(3.5.х,3.6.х,3.7.х).

2) Переименовываем админку, но в конфигурации ни в коем случае не пишем путь к нашей переименованной админке, после переименовываем модерку, но её уже можно прописать в конфигурации.

3) Ставим .htaccess на админку:
a) если ip статичен, то

order allow, deny
deny from all
allow from you.ip.add.res

b) Также ставим дополнительный пароль:

Идём по ссылке: _http://vbsupport.ru/htaccess.php, заполняем поля и дописываем по инструкции в наш файл htaccess.

4) Удаляем файлы и папки:
a) Удаляем файлы:
/validator.php(если имеется)
/checksum.md5(если имеется)
b) Удаляем папки:
/install/

5) Идём в админку:
a) Вложения -> Метод хранения вложений
Вложения должны храниться в базе данных

Сейчас вложения сохраняются в базе данных

, если это не так, то переносим их туда с помощью кнопки 'Вперед'.
b) Аватары -> Тип хранения изображений пользователя
Аватары должны храниться в базе данных

Сейчас изображения хранятся в базе данных

, если это не так, то переносим их туда с помощью кнопки 'Вперед'.

6) Теперь смело ставим права на папки custom***** 644, так как они нам теперь не нужны(или можете их удалить). Теперь, если Вы устанавливали vbulletin по инструкции, у вас все папке в /(корне) должны иметь права 644. Проверьте это, если не так, то выставите права 644.

7) Нигде, никогда, никому не включаем опцию 'Разрешить html'.


8) Ставим .htaccess на папку includes следующего содержания:

order allow, deny
deny from all

Для чего же?
- если туда каким-либо образом зальют шелл, то не смогут зайти на него.
- если вас будут ддосить, то возможен такой вариант, когда интерпретатор php отваливается и остается только апач - и апача разрешает уже читать файлы php - следовательно можно будет прочитать все файлы из папки /includes/ - тот же config.php, что не очень хорошо.

небольшой итог:

доступ к админке получить достаточно сложно - следовательно залить шелл через админку тоже, значит можно залить шелл через уязвимости воблы, но если лить в инклуды - там есть для некоторых хаков файлы, которые требуют 777- то у нас на папке includes стоит deny from all - шелл не заюзать!

а на остальные папки можно ставить права 644, если проделали все пункты - тогда достаточно сложно будет залить при правильной настройке chroot'инга(или как его там- на не совсем трезвую голову вылетело слово)...

также добавилась защита от самих админов, которые лазают где не попадя, тем самым сажая себя на XSS'ки и трояны.

Originally Posted by ReaM

Вложения должны храниться в базе данных

чушь полнейшая, никакого отношения к безопасности не имеющая

Originally Posted by ReaM

Аватары должны храниться в базе данных

еще одна полнейшая чушь

=========
уважаемый топик стартер, не будете лы Вы столь любезны, объяснить чеснейшей публике, а почему собственно вложения, изображения и пр. файлы должны храниться в БД?
И каким образом влияет хранение файлов в файловой системе, на безопасность форума?

Originally Posted by ReaM

2) Переименовываем админку, но в конфигурации ни в коем случае не пишем путь к нашей переименованной админке!

почему?

почему?
автору видно доставляет удовольствие, каждый раз, заходя в админку, набирать путь к ней в адресной строке

А даже если админку переименовать, все равно думаю есть много способов ее найти.

Originally Posted by kerk

чушь полнейшая, никакого отношения к безопасности не имеющая


еще одна полнейшая чушь

=========
уважаемый топик стартер, не будете лы Вы столь любезны, объяснить чеснейшей публике, а почему собственно вложения, изображения и пр. файлы должны храниться в БД?
И каким образом влияет хранение файлов в файловой системе, на безопасность форума?

например чтобы можно было поставить на эти папки права 644, а также при некорректной настройке сервера возможно заливание php скриптов в виде картинок.

Да, мне еще до этого далеко.

Originally Posted by kerk

почему?
автору видно доставляет удовольствие, каждый раз, заходя в админку, набирать путь к ней в адресной строке

если у Вас стырят куки и админскую сессию, то не смогу попасть в админку, ибо у них на форуме не будет высвечиваться путь к ней.

удовольствие? у меня в закладках в лисе висит мне нормально...

сейчас будет вопрос почему-же хтакцес не спасает=)
потому что вас можно похекать и поставить прокси
человек может быть из той же сети что и вы(если у вас не выделенный ип)

а пароль в хакцесе? - можно сбрутить например или на трояна посодить кого либо из админов...

Originally Posted by Myhu

А даже если админку переименовать, все равно думаю есть много способов ее найти.

разве что взломать фтп. Если произвольное название папки с админкой то возможности её найти практически нет

AlfaDogg добавил 19.08.2008 в 23:18

Originally Posted by ReaM

если у Вас стырят куки и админскую сессию, то не смогу попасть в админку, ибо у них на форуме не будет высвечиваться путь к ней.

удовольствие? у меня в закладках в лисе висит мне нормально...

сейчас будет вопрос почему-же хтакцес не спасает=)
потому что вас можно похекать и поставить прокси
человек может быть из той же сети что и вы(если у вас не выделенный ип)

а пароль в хакцесе? - можно сбрутить например или на трояна посодить кого либо из админов..

Можно как угодно предахраняться. Резинка иногда тоже лопается ;)

AlfaDogg добавил 19.08.2008 в 23:18

Originally Posted by ReaM

если у Вас стырят куки и админскую сессию, то не смогу попасть в админку, ибо у них на форуме не будет высвечиваться путь к ней.

удовольствие? у меня в закладках в лисе висит мне нормально...

сейчас будет вопрос почему-же хтакцес не спасает=)
потому что вас можно похекать и поставить прокси
человек может быть из той же сети что и вы(если у вас не выделенный ип)

а пароль в хакцесе? - можно сбрутить например или на трояна посодить кого либо из админов..

Можно как угодно предахраняться. Резинка иногда тоже лопается ;)

Originally Posted by AlfaDogg

Можно как угодно предахраняться. Резинка иногда тоже лопается ;)

Ну если ты купишь резинку за 5 рублей и за 105 - есть же разница? вот так вот!