Chráníme PhpBB. Ochrana PhpBB Noble powered by phpbb

V jednom z komentářů k mému článku jsem byl požádán, abych vám řekl, jak odstranit pole autorských práv tvůrců phpBB motoru: „Vytvořeno na základě phpBB.“ Protože se tyto informace mohou hodit dalším návštěvníkům, rozhodl jsem se o nich napsat tento článek.

Proč toto pole odstranit? Mnozí z vás mohou vyjádřit rozhořčení a říci, že odstranění tohoto pole bude považováno za nedodržení autorských práv. To však není tak úplně pravda – phpBB je bezplatné webové fórum se zdrojovým kódem zdarma. Veškeré změny, které provedete, proto předpokládají, že vlastníte autorská práva ke svému konkrétnímu produktu. Jinými slovy, po vytvoření fóra na tomto enginu se stane vaším duševním vlastnictvím. Autoři phpBB napsali mechanismus, nástroj pro vytváření fór a ne hotový produkt. Pokud v tomto případě odstraníte upozornění na autorská práva v zápatí fóra, nebude to porušení autorských práv. Na druhou stranu, pokud tento nápis přeci jen opustíte, bude to pro vývojáře projevem vděčnosti a podpory, což je rozhodně dobře!

Pokud se tedy rozhodnete tohoto nápisu zbavit, pak je prvním krokem zjistit, kde se nachází parametr zodpovědný za zobrazování informací o autorských právech. K tomu musíme otevřít jakoukoli stránku fóra, kde je fórum viditelné v jednom z prohlížečů, které podporují funkci zobrazení kódu stránky (Opera, Google Chrome, Firefox atd.), a kliknout pravým tlačítkem myši na samotný nápis a výběrem z rozbalovací nabídky zobrazíte kód (prvek Zkontrolovat).

Po otevření inspektoru kódu vidíme, že blok, který nás zajímá, se nazývá „copyright“. Právě tam je třeba provést změny, aby bylo možné upravit, skrýt nebo odstranit informace.

Druhým krokem je najít soubor, který obsahuje blok „autorská práva“. Vzhledem k tomu, že neznáme název souboru, ruční vyhledávání bude trvat velmi dlouho. Využijeme proto pohodlnou funkci – vyhledávání podle obsahu, která je dostupná v mém oblíbeném správci souborů – Total Commander, dále jen TC (existují i ​​jiné způsoby vyhledávání podle obsahu, o kterých se ale v tomto článku nebudeme bavit) . Ve správci souborů otevřete složku, ve které je fórum nainstalováno, na místním serveru nebo na FTP serveru vašeho hostitele. Pro usnadnění vyhledávání rovnou otevřeme složku, ve které jsou uloženy soubory výchozího stylu. Dále vyberte hledat soubory v nabídce „Příkazy“ nebo jednoduše stiskněte Alt + F7. V okně hledání, které se objeví, ignorujeme pole „Hledat soubory“, protože název souboru nám není znám. V poli „Umístění hledání“ musí být uvedena cesta ke složce s nainstalovaným modulem fóra, ve výchozím nastavení vozidlo načte cestu automaticky, pokud bylo okno hledání vyvoláno z aktivní části, kde si prohlížíte obsah složek. Dále zaškrtněte pole „S textem“ a do vyhledávacího pole zadejte „autorská práva“, poté odvážně klikněte na tlačítko „ Zahájit vyhledávání“ a počkejte, až se zobrazí výsledky.


Hledání nám poskytlo několik souborů, teoreticky by jich mělo být 5, ve kterých je uveden název bloku autorských práv. Ze všech výstupních souborů jasně vidíme, že nás zajímá soubor s názvem „overall_footer.html“, protože blok je umístěn v zápatí stránky a slovo celkově naznačuje, že tento soubor ukládá globální nastavení, tj. celé fórum. Nyní máme 2 možnosti, jak upravit soubor, který potřebujeme – prostřednictvím vestavěného editoru šablon phpBB nebo pomocí editoru třetí strany. Nejprve se podíváme na možnost úprav prostřednictvím nativního rozhraní phpBB.
Musíme jít do „Centra správy“ a přejít na kartu „Styly“. V sekci pro správu stylů se podíváme na to, který styl je standardně nainstalován, je to označeno hvězdičkou za názvem stylu. V příkladu je nainstalován pouze jeden základní styl - prosilve, ale můžete jich mít několik.

Dále v sekci pro správu komponent stylu přejdeme do podsekce „Šablony“ a vybereme položku „Upravit“ vedle našeho aktivního motivu.


Nyní musíme z rozevíracího seznamu vybrat soubor, který nás zajímá, s názvem „overall_footer.html“


V editační oblasti, která se objeví, přejdeme na úplný konec stránky a najdeme řádek:

poté odstraníme následující kód:

(CREDIT_LINE) (TRANSLATION_INFO) (DEBUG_OUTPUT)

Nakonec by váš kód měl vypadat takto:


Nyní stiskneme tlačítko „Odeslat“ a voila, dosáhli jsme požadovaného výsledku – upozornění na autorská práva tam již není.

Přejděme k alternativnímu způsobu, jak dosáhnout stejného výsledku: když již máme název požadovaného souboru, přejdeme do složky „šablona“ motivu aktivovaného ve výchozím nastavení a hledáme stejný soubor s názvem „overall_footer.html ".


Dále klikněte pravým tlačítkem myši na soubor a v rozbalovací nabídce vyberte „Otevřít pomocí“ a vyberte svůj oblíbený editor kódu, v mém případě je to Blumentals WeBuilder 2011. Poté, stejně jako v případě nativního editoru šablon phpBB , odstraňte dříve zadaný kód a uložte změny. Program má také velmi pohodlného vestavěného FTP klienta, který umožňuje upravovat a ukládat změny souborů na vzdáleném serveru.

Připraveno! Pokud jste dodrželi všechny výše uvedené kroky, měli byste být schopni nápis odstranit. Gratulujeme!

Takže, drahý příteli, z nějakého důvodu jste na své stránky nainstalovali PhpBB.
Možná proto, že jste nečetli časopis ][, nebo možná proto, že se vám tento motor líbí. Šance, že nebudete hacknuti, je však minimální. Armády dětí prohledávají internet a hledají svou další oběť. Jak se chránit před primitivy
hackování fóra? Pokusím se vám dát nějaké nápady. Většinu z nich můžete použít v jiných skriptech.

Aktualizace

Toto je výchozí nastavení. Fórum je třeba aktualizovat. A skutečnost, že máte 5/10/15 (podtrhněte vhodné) mody, není omluva. Jde jen o to, že v tomto případě byste měli použít „změny kódu“, pečlivě stanovené vývojáři fóra ve formě stejných modů. Doporučuji také přihlásit se k odběru newsletteru o nových verzích fóra. Nemůžete však sledovat všechno a jste příliš líní
stane se, ne? Proto vám nabízím několik pasivních způsobů ochrany fóra.

Skrytí verze

Nedávno se objevil v PhpBB a je skvělým pomocníkem proti hackerům Google. A pokud fórum stále neaktualizujete, myslím, že pro vás nebude těžké opravit soubory simple_footer.tpl a total_footer.tpl. Můžete však jít dále a napsat zlou frázi „Powered by PhpBB“ pomocí javascriptu

Pokud má uživatel vypnutý javascript, dojde k malé ztrátě, ačkoli by tato fráze neměla být zcela odstraněna z čistě morálních zásad. Nebo si z toho můžete udělat legraci napsáním „PhpBB 2.0.6“. Když hacker, který vás naboural, zjistí skutečnou verzi, ze vzteku vám zahodí celou databázi 😉 Můžete také napsat „Php BB“... Není to úplně upřímné, ale funguje to!

Vlastní styl

Nejen, že ozdobí vaše fórum, ale také mírně zvýší ochranu proti exploitům, které vytrhávají informace ze stránky HTML. A pak standardní styl vytváří pocit, že admin fórum buď zanedbal, nebo kulhá.

Předpona tabulky

Proč tam nedat něco svého, třeba "ExBB". To lze mimochodem provést po instalaci úpravou config.php a přejmenováním tabulek.

Úprava databáze

Spolehlivým způsobem ochrany před útoky SQL injection-Union je změna databáze. Přidejte do tabulek další prázdná pole, projděte kód a primitivní (!) exploity selžou kvůli nesouladu v počtu polí. Nebo jinak: přejmenujte pole user_password na blablahblah a opravte zdroje (tento proces lze snadno automatizovat). To je vše, když se teď pokusíte získat hash hesla správce, exploit překvapením zůstane viset :) A nejen exploit.

Skrytí souboru config.php

Usnadní vám život, pokud je hacker schopen číst soubory na serveru díky chybě include. Samozřejmě, že v tomto případě mu obsah souboru stejně bude k ničemu, pokud na všechno nedáte stejné průchody.

Normální heslo

Jakkoli se to může zdát banální, heslo by mělo mít tvar Sdh66rH904hG – jedině tak se nebudete muset starat o hacknutí hashe. Uložíte jej do Password Commanderu. No řekněte, jak často to budete muset zavádět? Nyní, pokud je hash ukraden, bude méně užitečný.

Zakázat vyhledávání

A nebylo by to na škodu. Funguje to strašně zabugovaně, žere neuvěřitelné množství místa v databázi a strašně snižuje výkon. A pak je to zdroj chyb, totéž. Bohužel to nelze provést standardními prostředky, ale ne nadarmo čtete ][? Odstraňte soubory, které s tím souvisejí, zahoďte tabulky a vyčistěte suroviny a témata. Výsledkem je zvýšená produktivita a bezpečnost. Pokud jste příliš líní na to přijít, pak vám dám nápovědu: eliminujte volání funkcí umístěných v functions_search.php. Kromě toho posledního, samozřejmě. Přemýšlejte o tom, které stoly vyhodit.... Neměl jsem žádné problémy.

Falešný admin

Skryjte skutečný administrátorský panel a ve falešném odstraňte všechny dotazy do databáze jako INSERT, UPDATE atd. Ještě lépe, místo jejich spouštění je přihlaste do souboru spolu s IP a dalšími užitečnými údaji. Dokážete si představit, jak pomalý bude hacker, když změny, které provede, nebudou použity? Jen honeypot, ne fórum!

Změna hashovacího algoritmu

Obecně užitečná technika. Změňte všechna volání funkcí související s hashováním na svá vlastní, která po volání standardních mírně upraví hash. Například ac45e53bc8dc478e->ac45e53bc8da478e.
Hacker pravděpodobně nebude mít podezření na trik... Navíc při pohledu na tyto dva hashe si hned nevšimne rozdílu...

No, proč byla tato unie vynalezena, přinesla tolik děr.... Otevřete tedy include pro práci s databází a přidejte filtrování dotazů pomocí UNION!

Závěr

Čím více souborů, tabulek a polí přejmenujete, tím více souborů, tabulek a polí přejmenujete

• Pro haxora to bude složitější
• Bude pro vás obtížnější aktualizovat fórum
• Uděláš víc chyb

Poznejte tedy své limity a nebuďte paranoidní. Provedením všech těchto triků vyděsíte/zastavíte Kiddis i Haxor, pokud Haxor nemá konkrétní cíl vás hacknout. I když přejmenování polí tabulky poskytuje téměř neproniknutelnou ochranu proti SQL injection, protože před hacksorem nebudou žádné druhy.

Začněme dávat malé tipy na optimalizaci a propagaci stránek (fór) na phpBB. V tomto případě provedeme malý hack, který pomůže zbavit se externího odkazu jako „Powered by phpBB © ...“. V této publikaci se podíváme na 2 způsoby, jak to můžete udělat - techniku ​​pro phpBB 3.x.x.

Odstranění externího odkazu Powered by phpBB © 2000, 2002, 2005, 2007 phpBB Group a ruská podpora phpBB

První způsob, jak odstranit externí odkaz, který říká Powered by phpBB © 2000, 2002, 2005, 2007 phpBB Group. Nejjednodušší způsob je tedy smazání pomocí panelu administrátora. Přejdeme do administrativního panelu, přejděte na položku nabídky „Styly“, vlevo vidíme panel, kde se nachází blok v nabídce, zajímá nás blok „Komponenty stylu“ a v něm „Šablony“. Podle standardu v navrhovaném okně uvidíme následující: prosilver a subsilver2, i když mohou být i jiné, pokud jste je nainstalovali. Obecně o to nejde. Z navržené sady vyberte výchozí. Klikněte na tlačítko "upravit" vedle šablony. Dále se zobrazí okno s výzvou k „Vyberte soubor šablony“. Dále vyberte „Soubor šablony“ - „overall_footer.html“. HTML editor se zobrazí níže. Najdeme následující kód: “Powered by phpBB 2000, 2002, 2005, 2007 phpBB Group” a jednoduše jej smažeme, i když si můžete nastavit svůj vlastní odkaz a popisek. "
(TRANSLATION_INFO) " (který je umístěn níže, lze jej také smazat) - tento kód je zodpovědný za lokalizaci, například externí odkaz s nápisem "Russian phpBB support".

Druhý způsob, jak odstranit externí odkaz, který říká Powered by phpBB © 2000, 2002, 2005, 2007 phpBB Group. Tato metoda je podobná, ale k webu se připojujeme přes Pratacol ftp. Přejděte na následující styly cesty/template_name/template/overall_footer.html. A upravíme stejný kód, který jsme upravili výše. Pokud změníte kód, nezapomeňte nastavit kódování UTF - tímto způsobem se mohou místo kotev objevit „crackery“ (čtverečky a další nesrozumitelné symboly).