vBulletin Güvenlik Açıkları vBulletin Açıklarını Kapatmak vBulletin Güvenli Hale GetirmekvBulletin heklenmek vBulletin Sitem heklendi. Gibi Konulara Güzel Bir Anlatım
1.Sistemdeki açıklar.
a) admincp ve modcp dosyalarının isimlerini değiştirip ( Örneğin: #342342# ) şeklinde yeniden adlandırılması. (Aynı zamanda config.php'nin 87 88. satırındaki yolu değiştirirseniz. iyi olur.
PHP Kodu:
$config['Misc']['admincpdir'] = 'admincp';
$config['Misc']['modcpdir'] = 'modcp';
b)
Değiştirmiş olduğunuz admincp ve modcp klasörlerinin içindeki index.php nin 2. satırına aşşağıdaki kodları yazın.
PHP Kodu:
<?php
//////////////////////////////////////////////////////
// Protected by r10//
//////////////////////////////////////////////////////
// Kullanici Listesi
$kul[0]['username']="Kullanıcı adınız";
$kul[0]['password']="Şifreniz";
$kul[1]['username']="Kullanıcı adınız";
$kul[1]['password']="Şifreniz";
// Dogrulama
function authenticate()
{
header( 'WWW-Authenticate: Basic realm="Private"' );
header( 'HTTP/1.0 401 Unauthorized' );
echo 'Geçersiz Şifre!';
exit;
}
if (!isset($_SERVER['PHP_AUTH_USER']) || !isset($_SERVER['PHP_AUTH_PW'])) { authenticate(); } else
{
for($i=0;$i<count($kul);$i++) { if($_SERVER['PHP_AUTH_USER']==$kul[$i]['username'] && $_SERVER['PHP_AUTH_PW']==$kul[$i]['password']){$auth=TRUE;}}
if($auth !=TRUE) {authenticate();}
}
?>
Böylece sifrenizi çaldırsanız bile saldırgan 2. paneli gecemez. aynı şekilde bir 3. şifreyide cpanel' veya plesk panelinizden koyabilirsiniz
c) Config.php'de ;
Satır : 117 : $config['SpecialUsers']['canviewadminlog'] = '1';
Satır : 122 : $config['SpecialUsers']['canpruneadminlog'] = '1';
Satır : 129 : $config['SpecialUsers']['canrunqueries'] = '1';
Satır : 134 : $config['SpecialUsers']['undeletableusers'] = '1';
Satır : 139 : $config['SpecialUsers']['superadministrators'] = '1';
1 yazan yerlere user 'id' niz ne ise onu yazınız sifrenizi kaptırsanız bile bazı fonksiyonlar deaktif olur.
d) Config yolu değiştirme ;
Öncelikle ftp' den bir klasör açıyoruz klasörün ismini karışık bir şey yapın
Örnek: "jhdf3olf"
Şimdi /includes klasörü içindeki config.php dosyasını alıp oluşturduğunuz klasörün içine atın.
includes klasöründe config.php dosyası kalmayacak.
Yine /includes klasörü içindeki class_core.php dosyasını bilgisayarımıza indirip düzenliyoruz içerisindeki includes/config.php yazan yerleri bulup Oluşturduğumuz Klasör/config.php şeklinde değiştiriyoruz ve kaydedip yine includes klasörüne atıyoruz işlem tamamdır.
e) Config Şifreleme :
www.ioncube.com adresinden 5$ gibi cüzzi bir miktara kredi satın alıp config.php'niz veya veritabanı yolunuz herneyse upload yapıp sifreleyin ve ftp deki ile değiştirin böylece sisteminize sızan emek hırsızları config bilgilerinizi okuyup databese yani Sql dosyanıza zarar veremez ve indiremezler.
f) Vbseo Acıkları :
Vb seo kurulumunu tamamladıktan sonra vbseo_config.php'nizin izinlerini 664 yapınız.
Aynı şekilde vbsepcp.php panelinizin ismini Örneğin : #vbseocp.php# şeklinde değiştiriniz. vbsepcp.php dosyasının 2. satırına yukarda verdiğim sifrelemeyide yapıp güvenlik önlemi alabilirsiniz.
g) Saldırıları algılamak : SYN Attack
Saldırgan local olarak SYN saldırısı yapıyorsa kullanıcıyı tespit edip uzaklaştırabilirsiniz.
Kurulum :
Rardan cıkarmış olduğunuz :
dnp_fw.php
dnp_fw_config
dnp_fw_template
default.jpg
Dosyaları forum ana dizinine atın. forum ana dizinindeki global.php nin 15 ve 16. satırına :
PHP Kodu:
if(file_exists('dnp_fw.php')){require_once('dnp_fw.php');}
define('CWD' (($getcwd = getcwd()) ? $getcwd : '.'));
Kodlarını yerleştirin kurulum tamamlanmıştır.
Download :
DnP Firewall Gateway dosyasinin Linkleri Kırık Olduğu İçin Lütfen Google Araması Yapın
Bu eklenti vbulletin için özel olarak yazılmıştır.
Kaynak : http://www.silveryhat.com
h) Forumunuzu güzelleştirdiğini sandığınız eklentileri vb. modifikasyonları vbulletin.org haricinde hiçbir siteden indirmeyin Nul lisanssızed Sürümler kullanmayınız.
ı)Servis sağlayıcınıza rica ederek Cgi/Shell yetkisini kapatmasını söyleyin.
Makale İçin AkServer Arkadaşımıza Teşekkürler.
1.Sistemdeki açıklar.
a) admincp ve modcp dosyalarının isimlerini değiştirip ( Örneğin: #342342# ) şeklinde yeniden adlandırılması. (Aynı zamanda config.php'nin 87 88. satırındaki yolu değiştirirseniz. iyi olur.
PHP Kodu:
$config['Misc']['admincpdir'] = 'admincp';
$config['Misc']['modcpdir'] = 'modcp';
b)
Değiştirmiş olduğunuz admincp ve modcp klasörlerinin içindeki index.php nin 2. satırına aşşağıdaki kodları yazın.
PHP Kodu:
<?php
//////////////////////////////////////////////////////
// Protected by r10//
//////////////////////////////////////////////////////
// Kullanici Listesi
$kul[0]['username']="Kullanıcı adınız";
$kul[0]['password']="Şifreniz";
$kul[1]['username']="Kullanıcı adınız";
$kul[1]['password']="Şifreniz";
// Dogrulama
function authenticate()
{
header( 'WWW-Authenticate: Basic realm="Private"' );
header( 'HTTP/1.0 401 Unauthorized' );
echo 'Geçersiz Şifre!';
exit;
}
if (!isset($_SERVER['PHP_AUTH_USER']) || !isset($_SERVER['PHP_AUTH_PW'])) { authenticate(); } else
{
for($i=0;$i<count($kul);$i++) { if($_SERVER['PHP_AUTH_USER']==$kul[$i]['username'] && $_SERVER['PHP_AUTH_PW']==$kul[$i]['password']){$auth=TRUE;}}
if($auth !=TRUE) {authenticate();}
}
?>
Böylece sifrenizi çaldırsanız bile saldırgan 2. paneli gecemez. aynı şekilde bir 3. şifreyide cpanel' veya plesk panelinizden koyabilirsiniz
c) Config.php'de ;
Satır : 117 : $config['SpecialUsers']['canviewadminlog'] = '1';
Satır : 122 : $config['SpecialUsers']['canpruneadminlog'] = '1';
Satır : 129 : $config['SpecialUsers']['canrunqueries'] = '1';
Satır : 134 : $config['SpecialUsers']['undeletableusers'] = '1';
Satır : 139 : $config['SpecialUsers']['superadministrators'] = '1';
1 yazan yerlere user 'id' niz ne ise onu yazınız sifrenizi kaptırsanız bile bazı fonksiyonlar deaktif olur.
d) Config yolu değiştirme ;
Öncelikle ftp' den bir klasör açıyoruz klasörün ismini karışık bir şey yapın
Örnek: "jhdf3olf"
Şimdi /includes klasörü içindeki config.php dosyasını alıp oluşturduğunuz klasörün içine atın.
includes klasöründe config.php dosyası kalmayacak.
Yine /includes klasörü içindeki class_core.php dosyasını bilgisayarımıza indirip düzenliyoruz içerisindeki includes/config.php yazan yerleri bulup Oluşturduğumuz Klasör/config.php şeklinde değiştiriyoruz ve kaydedip yine includes klasörüne atıyoruz işlem tamamdır.
e) Config Şifreleme :
www.ioncube.com adresinden 5$ gibi cüzzi bir miktara kredi satın alıp config.php'niz veya veritabanı yolunuz herneyse upload yapıp sifreleyin ve ftp deki ile değiştirin böylece sisteminize sızan emek hırsızları config bilgilerinizi okuyup databese yani Sql dosyanıza zarar veremez ve indiremezler.
f) Vbseo Acıkları :
Vb seo kurulumunu tamamladıktan sonra vbseo_config.php'nizin izinlerini 664 yapınız.
Aynı şekilde vbsepcp.php panelinizin ismini Örneğin : #vbseocp.php# şeklinde değiştiriniz. vbsepcp.php dosyasının 2. satırına yukarda verdiğim sifrelemeyide yapıp güvenlik önlemi alabilirsiniz.
g) Saldırıları algılamak : SYN Attack
Saldırgan local olarak SYN saldırısı yapıyorsa kullanıcıyı tespit edip uzaklaştırabilirsiniz.
Kurulum :
Rardan cıkarmış olduğunuz :
dnp_fw.php
dnp_fw_config
dnp_fw_template
default.jpg
Dosyaları forum ana dizinine atın. forum ana dizinindeki global.php nin 15 ve 16. satırına :
PHP Kodu:
if(file_exists('dnp_fw.php')){require_once('dnp_fw.php');}
define('CWD' (($getcwd = getcwd()) ? $getcwd : '.'));
Kodlarını yerleştirin kurulum tamamlanmıştır.
Download :
DnP Firewall Gateway dosyasinin Linkleri Kırık Olduğu İçin Lütfen Google Araması Yapın
Bu eklenti vbulletin için özel olarak yazılmıştır.
Kaynak : http://www.silveryhat.com
h) Forumunuzu güzelleştirdiğini sandığınız eklentileri vb. modifikasyonları vbulletin.org haricinde hiçbir siteden indirmeyin Nul lisanssızed Sürümler kullanmayınız.
ı)Servis sağlayıcınıza rica ederek Cgi/Shell yetkisini kapatmasını söyleyin.
Makale İçin AkServer Arkadaşımıza Teşekkürler.