[Админам]

Если есть подозрения (или уверенность), что форум пытаются взломать или уже ломанули, но вы не можете найти дыру, логи не помогают иногда или логи очень большие
этот небольшой скрипт должен помочь в поисках файлов, к которым ломится какер
собственно, это небольшая альтернатива хаку vB Firewall
суть...
есть несколько "стоп-слов" в скрипте, которые он отслеживает и которые используются какерами для выполнения SQL запросов (из адресной строки, либо софтом, типа Havij)
один из примеров запроса из какерской тулзы

=-999.9%20UNION%20ALL%20SELECT%20concat(0x7e,0x27,Hex(cast(database()%20as%20char)),0x27,0x7e),0x31303235343830303536,0x31303235343830303536,0x31303235343830303536--

такие слова редко используются в движке или хаках для воблы, но даже если где то одно из слов встретится, его можно убрать из массива (см. файл переменная $_badWords)
в скрипте есть пара настроек-переменных

PHP Code:

      // ################ Edit Start ############
      // Enter full path to report file and set folder permissions to 0777
      $_reportFile = '';
      // Your _valid_ E-Mail to send reports
      $_reportEmail = '';
      // ################ Edit End ############ 


если емайл не заполнен, будет использован из файла конфига или настроек форума
если путь к файлу лога не заполнен, будет использована папка для вложений или аватар (там права для записи серверу выставлены уже)

при попытке какера выполнить SQL запрос к вашей БД и в запросе будет использовано хотя бы одно из списка слов, загрузка страницы будет прекращена, какер отправится к педикам, а вам придет отчет о попытке взлома (+ запись в лог файл полного отчета о действиях какера) =)
в отчете (емайл + файл лога) будет подробно указано, куда и когда ломился какер, к каким файлам и по каким запросам
а если какер - один из зарегистрированных узеров форума и не почистил куки в браузере (да да, бывает и такое), с которого пытается взломать, в отчете будет и его UserID

в аттаче модуль для воблы (именно модуль), поэтому и устанавливать его нужно как модуль, а не как продукт
Админка => Продукты и модули => Сохранить/загрузить модули => выбрать файл на компе => импорт
модуль висит на хуке init_startup и работает всегда и везде (в т.ч. и в админке), если в адр. строке есть любой запрос
название модуля - watchdog
отключить можно в "Управление модулями"

при тестировании скрипта, нагрузки на форум/сервак не обнаружено (но код и тестировался на небольшом форуме)
скрипт я постарался максимально оптимизировать и исключить "тяжелые" функции

Вот это да, бомба, по-умолчанию должен стоять у всех!

обнаружил, что одно из перечисленных стоп-слов, используется у воблы
при добавлении новой фразы в запросе используется do=insert
соотв. скрипт срабатывает
поэтому, если кто то пишет свои скрипты/хаки и/или добавляет свои фразы, лучше убрать insert из массива (переменная $_badWords)

Оффтоп

Originally Posted by kerk

какер отправится к педикам

header("Location: http://gay.com"); exit;

И еще делайте бекап на всяк случай
Странно, админов много знаю, а бекапы не любят делать.

Kurbatov добавил 09.12.2016 в 19:12
И еще, платные модули не шифрут base64?

Originally Posted by Kurbatov

платные модули не шифрут base64?

а смысл?
если base64 легко преобразуется в читаемый код =)

kerk, ну я образно имел ввиду, инкодеров много, например ionCube говорят, что вообще нельзя раскодировать в каких то версиях 5.4 помоему. Код просто под фильтр попасть может.

нет, не о том скрипт
он не смотрит на содержимое файлов
только в запросы $_POST/$_GET
если в адр. строке будет одно из стоп-слов, скрипт сработает

kerk, моих знаний через чур мало для понимая процесса. Ночью тестил, практически любое действие приводит к логированию в report.txt
Как отделить мух от котлет я не понимаю. В аттаче лог. Если не сложно, помоги (те) разобраться.

лог довольно большой
первые записи в логе, нормально, скрипт сработал правильно
к примеру, вот эта запись

REQUEST_URI => /forum/showthread.php?t=9814');declare%20@c%20cursor;set%20@c=cursor%20for%20select_здесь_еще_куча_текста

сразу после запроса ID темы (t=9814) стоит одинарная кавычка и закрытая скобка с точкой с запятой
в коде обычно это окончание строки, значит однозначно простук скрипта на уязвимость, тем более, что в строке есть стоп-слово select (и другие)

вообще, интересны несколько строк из лога
кто, куда и по каким запросам ломился
строки:
кто

HTTP_X_REAL_IP => 46.229.168.72

HTTP_USER_AGENT => Mozilla/5.0 (compatible; SemrushBot/1.1~bl; +http://www.semrush.com/bot.html)

куда

SCRIPT_NAME => /forum/showpost.php

REQUEST_URI => /forum/showpost.php?p=72327&postcount=39&

по каким запросам

QUERY_STRING => p=72327&postcount=39&

в данном примере, приперся какой то очередной бот и смотрел страницу поста
но не понятно, почему скрипт сработал, в запросе нет ничего криминального
так же и нескольких других записях, нет запросов, которые скрипт должен определить как попытка простучать скрипты на уязвимости

символы %20 = пробел
символы 0x27 = одинарная кавычка
символы %22 = двойная кавычка
символы %2B = знак +
символы 0x7e = знак тильда ~
и т.д...
подробно можно посмотреть здесь http://www.w3schools.com/tags/ref_urlencode.asp
или спросить у гугла =)

Originally Posted by kerk

но не понятно, почему скрипт сработал, в запросе нет ничего криминального

Самое забавное, что в любой теме нажатие на ссылку #39 (т.е. 39 пост) срабатывает скрипт и выкидывает на gay.com