Protegemos PhpBB. Protegiendo PhpBB Noble desarrollado por phpbb

En uno de los comentarios a mi artículo, me pidieron que le dijera cómo eliminar el campo de derechos de autor de los creadores del motor phpBB: "Creado en base a phpBB". Dado que esta información puede ser útil para otros visitantes, decidí escribir este artículo al respecto.

¿Por qué eliminar este campo? Muchos de ustedes pueden expresar su indignación y decir que eliminar este campo se considerará un incumplimiento de los derechos de autor. Sin embargo, esto no es del todo cierto: phpBB es un foro web gratuito con código fuente gratuito. Por lo tanto, cualquier cambio que realice asume que posee los derechos de autor de su producto específico. En otras palabras, después de crear un foro en este motor, se convierte en su propiedad intelectual. Los autores de phpBB escribieron un mecanismo, una herramienta para crear foros, no un producto terminado. En este caso, si elimina el aviso de derechos de autor en el pie de página del foro, no constituirá una violación de los derechos de autor. Por otro lado, si aún dejas esta inscripción, será una señal de agradecimiento y apoyo a los desarrolladores, ¡lo cual definitivamente es bueno!

Entonces, si decide deshacerse de esta inscripción, el primer paso es averiguar dónde se encuentra el parámetro responsable de mostrar la información de derechos de autor. Para hacer esto, debemos abrir cualquier página del foro donde el foro sea visible en uno de los navegadores que admiten la función de ver el código de la página (Opera, Google Chrome, Firefox, etc.), y hacer clic derecho en la inscripción y seleccione de la opción del menú desplegable para ver el código (Inspeccionar elemento).

Tras abrir el inspector de código podremos ver que el bloque que nos interesa se llama “copyright”. Es allí donde es necesario realizar cambios para editar, ocultar o eliminar información.

El segundo paso es encontrar el archivo que contiene el bloque “copyright”. Como no conocemos el nombre del archivo, la búsqueda manual llevará mucho tiempo. Por lo tanto, usaremos una función conveniente: buscar por contenido, que está disponible en mi administrador de archivos favorito: Total Commander, en lo sucesivo denominado TC (hay otras formas de buscar por contenido, pero no se discutirán en este artículo) . En el administrador de archivos, abra la carpeta en la que está instalado el foro en el servidor local o en el servidor FTP de su proveedor de alojamiento. Para facilitar la búsqueda, inmediatamente abriremos la carpeta en la que se almacenan los archivos del estilo predeterminado. A continuación, seleccione buscar archivos en el menú "Comandos" o simplemente presione Alt + F7. En la ventana de búsqueda que aparece ignoramos el campo “Buscar archivos”, ya que desconocemos el nombre del archivo. En el campo “Ubicación de búsqueda”, se debe especificar la ruta a la carpeta con el motor del foro instalado; de forma predeterminada, el vehículo selecciona la ruta automáticamente si la ventana de búsqueda se llamó desde la parte activa donde se visualiza el contenido de las carpetas. A continuación, marque la casilla junto al campo "Con texto" e ingrese "derechos de autor" en la barra de búsqueda, después de lo cual hacemos clic audazmente en el botón " Iniciar búsqueda" y esperamos a que se muestren los resultados.


La búsqueda nos dio varios archivos, en teoría debería haber 5, en los que se menciona el nombre del bloque de derechos de autor. De todos los archivos de salida, vemos claramente que estamos interesados ​​en el archivo llamado "overall_footer.html", ya que el bloque está ubicado en el pie de página de la página, y la palabra general sugiere que este archivo almacena configuraciones globales, es decir, para todo el foro. Ahora tenemos 2 opciones sobre cómo editar el archivo que necesitamos: a través del editor de plantillas phpBB incorporado o usando un editor de terceros. Primero veremos la opción de edición a través de la interfaz nativa de phpBB.
Necesitamos ir al “Centro de administración” e ir a la pestaña “Estilos”. En la sección de gestión de estilos, miramos qué estilo está instalado por defecto, esto se indica con un asterisco después del nombre del estilo. En el ejemplo, solo se instala un estilo básico: prosilve, pero puede tener varios.

A continuación, en la sección de gestión de componentes de estilo, vamos a la subsección "Plantillas" y seleccionamos el elemento "Editar" al lado de nuestro tema activo.


Ahora debemos seleccionar de la lista desplegable el archivo que nos interesa llamado "overall_footer.html".


En el área de edición que aparece, vamos al final de la página y buscamos la línea:

después de lo cual eliminamos el siguiente código:

(CREDIT_LINE) (TRANSLATION_INFO) (DEBUG_OUTPUT)

Al final, tu código debería verse así:


Ahora presionamos el botón "Enviar" y listo, hemos logrado el resultado deseado: el aviso de copyright ya no aparece.

Pasemos a una forma alternativa para lograr el mismo resultado: cuando ya tengamos el nombre del archivo deseado, nos dirigimos a la carpeta “template” del tema activado por defecto, y buscamos el mismo archivo llamado “overall_footer.html ".


A continuación, haga clic derecho en el archivo y seleccione "Abrir con" en el menú desplegable y seleccione su editor de código favorito, en mi caso es Blumentals WeBuilder 2011. Después de esto, al igual que en el caso del editor de plantillas nativo phpBB. , elimine el código especificado anteriormente y guarde los cambios. El programa también tiene un cliente FTP incorporado muy conveniente que le permite editar y guardar cambios en archivos en un servidor remoto.

¡Listo! Si siguió todos los pasos anteriores, debería poder eliminar la inscripción. ¡Felicidades!

Entonces, querido amigo, por alguna razón instalaste PhpBB en tu sitio.
Quizás porque no has leído la revista ][, o quizás porque te gusta este motor. Sin embargo, la posibilidad de que no seas hackeado es mínima. Ejércitos de niños recorren Internet en busca de su próxima víctima. Cómo protegerse de los primitivos
hackear foros? Intentaré darte algunas ideas. Puede utilizar la mayoría de ellos en otros scripts.

Actualizar

Esto es por defecto. Es necesario actualizar el foro. Y el hecho de que tengas mods del 10/05/15 (subrayado según corresponda) no es una excusa. Lo que pasa es que en este caso deberías utilizar "cambios de código", cuidadosamente diseñados por los desarrolladores del foro en forma de las mismas modificaciones. También recomiendo suscribirse a la newsletter sobre nuevas versiones del foro. Sin embargo, no puedes realizar un seguimiento de todo y eres demasiado vago.
sucede, ¿no? Por eso, te ofrezco varias formas pasivas de proteger el foro.

Ocultar versión

Apareció recientemente en PhpBB y es de gran ayuda contra los hackers de Google. Y si aún no actualizas el foro, creo que no te resultará difícil corregir los archivos simple_footer.tpl y global_footer.tpl. Sin embargo, puedes ir más allá y escribir la frase malvada "Desarrollado por PhpBB" usando javascript.

Hay poca pérdida si el usuario tiene JavaScript deshabilitado, aunque la frase no debe eliminarse por completo por principios puramente morales. O puedes burlarte escribiendo “PhpBB 2.0.6”. Cuando un hacker, tras haberte hackeado, descubre la versión real, entonces, enojado, te dejará caer toda la base de datos 😉 También puedes escribir "Php BB"... No es del todo honesto, ¡pero funciona!

Estilo personalizado

No sólo decorará su foro, sino que también aumentará ligeramente la protección contra exploits que extraen información de una página HTML. Y luego el estilo estándar crea la sensación de que el administrador ha descuidado el foro o es tonto.

Tabla de prefijos

¿Por qué no poner algo propio ahí, por ejemplo "ExBB"? Por cierto, esto se puede hacer después de la instalación editando config.php y cambiando el nombre de las tablas.

Modificación de base de datos

Una forma confiable de protegerse contra ataques de inyección SQL-Unión es cambiar la base de datos. Agregue campos vacíos adicionales a las tablas, revise el código y los exploits primitivos (!) fallarán debido a una falta de coincidencia en el número de campos. O de otra manera: cambie el nombre del campo user_password a blahblahblah y corrija las fuentes (este proceso se puede automatizar fácilmente). Eso es todo, ahora, cuando intentes obtener el hash de la contraseña de administrador, el exploit se colgará por sorpresa :) Y no solo el exploit.

Ocultar config.php

Te hará la vida más fácil si el hacker puede leer archivos en el servidor gracias al error de inclusión. Por supuesto, en este caso, el contenido del archivo seguirá siendo de poca utilidad para él, a menos que le pongas los mismos pases a todo.

Contraseña normal

Por muy trillado que parezca, la contraseña debe tener el formato Sdh66rH904hG; esta es la única manera de no tener que preocuparse por piratear el hash. Lo almacenará en Password Commander. Bueno, dime ¿con qué frecuencia tendrás que presentarlo? Ahora bien, si roban el hash, será de menos utilidad.

Desactivar búsqueda

Y no haría daño. Funciona con muchos errores, consume una cantidad increíble de espacio en la base de datos y reduce terriblemente el rendimiento. Y luego es una fuente de errores, lo mismo destaca. Desafortunadamente, esto no se puede hacer con los medios estándar, pero no en vano estás leyendo ][? Elimine archivos relacionados con él, elimine tablas y limpie materias primas y temas. El resultado es una mayor productividad y seguridad. Si eres demasiado vago para entenderlo, te daré una pista: elimina las llamadas a las funciones ubicadas en funciones_search.php. Excepto el último, claro. Piensa en qué mesas eliminar... No tuve ningún problema.

administrador falso

Oculte el panel de administración real y, en el falso, elimine todas las consultas a la base de datos como INSERTAR, ACTUALIZAR, etc. Mejor aún, en lugar de ejecutarlos, regístrelos en un archivo, junto con la IP y otros datos útiles. ¿Te imaginas lo lento que será un hacker cuando los cambios que realice no se apliquen? ¡Solo un honeypot, no un foro!

Cambiar el algoritmo hash

Generalmente una técnica útil. Cambie todas las llamadas a funciones relacionadas con el hash por las suyas, que, después de llamar a las estándar, modifican ligeramente el hash. Por ejemplo ac45e53bc8dc478e->ac45e53bc8da478e.
Es poco probable que un hacker sospeche de un truco... Además, al observar estos dos hashes, no notará inmediatamente la diferencia...

Bueno, ¿por qué se inventó esta unión? Trajo tantos agujeros... ¡Así que abra un include para trabajar con la base de datos y agregue filtrado de consultas con UNION!

Conclusión

Cuantos más archivos, tablas y campos cambies de nombre, más

• Será más difícil para el haxor.
• Te resultará más difícil actualizar el foro.
• Cometerás más errores

Así que conoce tus límites y no seas paranoico. Al realizar todos estos trucos, asustarás/detendrás tanto a Kiddis como a Haxor, a menos que este último tenga el objetivo específico de hackearte. Aunque cambiar el nombre de los campos de la tabla proporciona una protección casi impenetrable contra la inyección SQL, porque no habrá ningún tipo delante del hacksor.

Bueno, comencemos a dar pequeños consejos sobre cómo optimizar y promocionar sitios (foros) en phpBB. En este caso, realizaremos un pequeño truco que ayudará a deshacernos de un enlace externo como "Desarrollado por phpBB © ...". En esta publicación veremos dos formas en las que puedes hacer esto: una técnica para phpBB 3.x.x.

Eliminación de un enlace externo Desarrollado por phpBB © 2000, 2002, 2005, 2007 phpBB Group y soporte ruso de phpBB

La primera forma de eliminar un enlace externo que dice Desarrollado por phpBB © 2000, 2002, 2005, 2007 phpBB Group. Entonces, la forma más sencilla es eliminar usando el panel de administración. Vamos al panel administrativo, vamos al elemento del menú “Estilos”, a la izquierda vemos el panel donde se encuentra el bloque en el menú, nos interesa el bloque “Componentes de estilo”, y en él “Plantillas”. Según el estándar, en la ventana propuesta veremos lo siguiente: prosilver y subsilver2, aunque podrían haber otros si los instalas. En general, ese no es el punto. Del conjunto propuesto, seleccione el predeterminado. Haga clic en el botón "editar" al lado de la plantilla. A continuación, aparece una ventana que le pide que "Seleccione un archivo de plantilla". A continuación, seleccione "Archivo de plantilla" - "overall_footer.html". El editor HTML aparece a continuación. Encontramos el siguiente código: “Desarrollado por phpBB 2000, 2002, 2005, 2007 phpBB Group” y simplemente lo eliminamos, aunque puedes configurar tu propio enlace y título. "
(TRANSLATION_INFO) " (que se encuentra a continuación, también se puede eliminar): este código es responsable de la localización, por ejemplo, un enlace externo con la inscripción "Soporte phpBB ruso".

La segunda forma de eliminar un enlace externo que dice Desarrollado por phpBB © 2000, 2002, 2005, 2007 phpBB Group. Este método es similar, pero nos conectamos al sitio vía ftp de Pratacol. Vaya a la siguiente ruta estilos/template_name/template/overall_footer.html. Y editamos el mismo código que editamos arriba. Si cambia el código, no olvide configurar la codificación UTF; de esta manera, pueden aparecer "galletas" (cuadrados y otros símbolos incomprensibles) en lugar de las anclas.