FAQ Защищаем форум vbulletin

Несколько советов, которые помогут защитить ваш форум на движке vbulletin от нападок хакеров.

0) Отключаем php директиву register_globals

В файле php.ini нужно найти строчку register_globals и привести её к виду:
Посмотреть включена ли данная директива у вас на форуме, можно так: Админка -> Обслуживание - > Показать информацию о PHP

О директиве register_globals: PHP: Использование глобальных переменных (Register_Globals) - Manual

1) Апдейтимся в самый конец своей линейки(3.5.х,3.6.х,3.7.х,3.8.х или ставим новую версию 4.х.х)

Описание: Если у вас установлен форум версии 3.x.x, то обновляемся на самую последнюю версию 3.8.7 PL3 (либо до 3.8.4 PL2), если у вас версия 4.x.x, то обновляемся до самой последней версии для 4-ки. (4.1.12 или 4.2.0)

Почему ?: Каждая последующая версия исправляет ошибки и закрывает "дырки" (уязвимости) предшествующей.

2) Переименовываем админку и модерку

Описание: Переименовываем админку, но в конфигурации ни в коем случае не пишем путь к нашей переименованной админке. Также переименовываем модерку, но её уже можно прописать в конфигурации (хотя тоже нежелательно), так как она менее уязвима.

Почему ?: Если переименовать админку и не указать путь в конфигурации, то будет гораздо сложнее её найти и следовательно применить XSS или еще что похуже. Есть минусы: — редактирование профиля и добавление модераторов перестанут работать без ручной правки ссылок.

3) Ставим .htaccess на админку:

Описание:
a) если ip статичен, то

b) Также ставим дополнительный пароль:

Идём по ссылке: _http://vbsupport.org/htaccess.php, заполняем поля и дописываем по инструкции в наш файл .htaccess.

Почему?: Дополнительное паролирование админки никогда не помешает.

3.1)
Переименованную папку админа и модерки, не нужно вносить в файл robots.txt - иначе нет смысла её переименования...
Нужно создать в папке админки и модерки файл .htaccess (в случае если ваш сервер Apache) с таким содержимым:
На файл поставить потом права CHMOD 444

Зачем? Чтобы поисковые боты не индексировали папки админки и модерки

4) Удаляем файлы и папки:

Описание:
a) Удаляем файлы:
/validator.php (если имеется)
/checksum.md5 (если имеется)
b) Удаляем папки:
/install/

Почему ?: Небезопасные файлы от нулёных версий могут дать возможность просматривать список файлов, а также папка install очень вредная.

5) Перемещаем вложения и аватары

Описание:
Идем в админку, далее:
a) Вложения -> Метод хранения вложений
Вложения должны храниться в базе данных

b) Аватары -> Тип хранения изображений пользователя
Аватары должны храниться в базе данных

Почему ?: Линейка 3.5, если мне не изменяет память, давала прямые ссылки на картинки — что при неправильной конфигурации хостинга, давало шанс залить шелл.

НО. Этот совет использовать нежелательно. Его можно использовать применительно только если к аватарам, но вложения хранить в базе не рекомендую, только потому, что сервер с вашим форумом просто ляжет, так как запросов в базу будет много.

6) Выставляем права на папки

Описание: Если выполнен пункт 5, то теперь смело ставим права на папки custom_* 644, так как они нам теперь не нужны(или можете их удалить). Дальше, если Вы устанавливали vBulletin по инструкции, у вас все папке в / (корне) должны иметь права 644. Проверьте это, если не так, то выставите права 644.

Почему ?: Затрудняем хакеру заливку шелла.

7) Нигде, никогда, никому не включаем опцию 'Разрешить html'.

Описание: Без комментариев. Зачем кому-то HTML?
Почему ?: Возможность XSS атак при включенной функции.

8) Ставим .htaccess на папку includes

Описание: Ставим .htaccess на папку includes следующего содержания:

Почему?:

• если туда каким-либо образом зальют шелл, то не смогут зайти на него.
• если вас будут ддосить, то возможен такой вариант, когда интерпретатор php отваливается и остается только апач — и апача разрешает уже читать файлы php — следовательно можно будет прочитать все файлы из папки /includes/ — тот же config.php, что не очень хорошо.

9) Вставьте в директорию с файлами, на которых стоят атрибуты 0777 такой .htaccess:

Почему?: Скрипты с указанными расширениями более невозможно использовать в пределах директории с таким htaccess.

10) Отредактируйте config.php, впишите id администраторов в поле undeletable user(неудаляемые/неизменяемые пользователи).

Описание: /includes/config.php. Просто вписать id администраторов, после того когда внесли все необходимые изменения в профиль.

Почему ?: Незачем лишний раз кому-то менять профили администраторов, даже им самим. Понадобится — удалят ID из файла, поменяют, вернут обратно. Безопасность — превыше всего!

11) После удаления модов/хаков не забывайте удалять файлы, которые Вы закачали вместе с ними.

Описание: Без комментариев
Почему ?: А зачем вам на сервере лишние файлы? Незачем…

12) Никогда не сохраняйте бэкапы в пределах доступности веб-сервера.

Описание: Без комментариев
Почему ?: Они будут доступны для скачивания любому, кто узнает имя бэкапа. Конечно, можно htaccess прикрутить, но все равно, безопасности ради, выносите бекапы за пределы доступности веб-сервера.

13) Установить плагин «Инспектор файлов».

Цитата:

Лазая по своим старым скриптам, напоролся на этот продукт — Инспектор файлов. Это несколько модулей для vBulletin, при помощи которых можно сохранять в базе данных список существующих файлов и время от времени проверять, не изменились ли какие из них (для каждого файла сохраняется размер, владелец и права доступа) — встроенная cron-задача уведомит администратора по почте о найденных несоответствиях. Можно сохранять в БД несколько различных копий (ревизий) списков файлов для сравнения (автоматическая проверка с уведомлением на email сверяется только с последней ревизией). Внешний вид и доступные настройки можно посмотреть на скриншотах.

INSTALL: Для установки необходимо залить два PHP-файла из архива на сервер и импортировать продукт из файла «product-gfi.xml».

UPDATE: Обновление версий не предусмотрено, так что для установки новой рекомендуется сперва удалить предыдущую версию.

З.Ы. Продукт успешно работал на всех версиях от 3.6.8 до 3.8.1 включительно. Правда ссылка в выпадающее меню в панели навигации добавлялась в разные места, но это уже мелочи.

Скачать

Почему ?: Незаменимая вещь в поиске шеллов на сайте, но ставить её необходимо заранее.

14) Защищаем форум от брута аккаунтов.

Для этого устанавливаем хак Advanced Login System, который после ввода данных аккаунта, перенаправляет на страницу ввода капчи. Что значительно усложняет подбор паролей.

Итог:

Доступ к админке получить довольно сложно — следовательно залить шелл через админку тоже. Можно залить шелл через уязвимости vB, но если лить в /includes (там есть для некоторых хаков файлы, которые требуют 777), то у нас на папке includes стоит deny from all — шелл попросту не будет доступен извне!

На остальные папки можно ставить права 644, если проделали все пункты — тогда достаточно сложно будет залить, особенно при правильной настройке chroot. И наконец, мы добавили защиту от самих админов, которые лазают где не попадя, тем самым сажая себя на XSS'ки и трояны.

Vector, что-то не получается поставить .htaccess на амдинку.
Всё делаю по этой инструкции http://vbsupport.org/forum/showpost....79&postcount=2, но пишет

Sampler,не знаю, чем помочь, если все по инструкции.

Только начинаю разбираться в форуме, поэтому не совсем понятна выложенная информация по защите
Следующие вопросы:
1. После переименовывания админки Есть минусы: — редактирование профиля и добавление модераторов перестанут работать без ручной правки ссылок.
- Это, что каждый регистрирующийся человек не сможет потом менять свой профиль, пока я или админ не изменят его вручную?
- При добавлении модераторов, а также изменении профилей где нужно вручную править ссылки?

2. Ставим .htacces.
а) Куда конкретно вставляется вышенаписанный php код?
b) Также ставим дополнительный пароль:

Идём по ссылке: _http://vbsupport.org/htaccess.php, заполняем поля и дописываем по инструкции в наш файл .htaccess.

Пройдя по ссылке, введя пароли, нам предлагается выбрать один из двух кодов платформ Windows , Linux и вставить в наш файл htpasswd. Еще ниже дается выбор : только пароль или пароль и текст файла .htaccess

Так вот где находится файл .htpasswd и куда там именно вставлять код? И какую галочку выбрать олько пароль или пароль и текст файла .htaccess
и почему?

3. Ставим .htaccess на папку includes
Также вопрос куда вводить код

4. Вставьте в директорию с файлами, на которых стоят атрибуты 0777 такой .htaccess

Такой же вопрос

Пользователей ни как не затронет переименование админки и модерки, профили они сами смогут редактировать, как и обычно.
А вот Вы Администратор, у которого есть возможность править профили пользователей (см скрин ниже)

будете испытывать небольшие не удобства - в том случае, если название переименнованной админки (модерки) не будет указано в файле config.php (для пущей надежности).
То есть ссылка - Редактировать профиль пользователя - не будет работать, пользователя придется искать через Админку и там уже править его профиль - впрочем лучше так, чем в один прекраснвый день вас кто-нибудь взломает..., впрочем изменненные названия админки можно вписать в файл config.php, тогда все ссылки будут работать.


Создаете пустой текстовый файлик htaccess.txt, открывате его текстовым редактором (notepad или удобнее notepad++) и вставляете в него вышеуказанный код.
Для случая - Ставим .htaccess на папку includes
Копируете данный файлик уже с одержащим нужный код, в папку includes вашего форума и переименовываете его в .htaccess (точка впереди)
Всё.

Для случая Вставьте в директорию с файлами, на которых стоят атрибуты 0777 такой .htaccess:
те же самые действия, только другое содержание файла .htaccess
Права 777 устнавливаются на папки в которые необходимо разрешить перезапись, то есть например, если ваши фотографии из Альбомов, будут храниться в файловой системе, а не в базе данных, то на папку alboms, устанавливаются права 777, и для безопасности в эту папку копируется файл .htaccess (код указан в FAQ)
так же возможные папки с правами 777 - там где хранятся Аватары, вложения, юзербары и т.д. (если они не хранятся в базе данных)


Логин (имя) VectorJGTs853
Пароль 123456789
Путь до файла паролей введите пока что, например такой /.htpasswd (то есть название папки, в которой будет лежать ваш файл .htpasswd с паролями)

Выбираете Пароль и текст файла .htaccess
Код
копируем в файл .htaccess, который находится (или создайте этот файл) в папке admincp (или в вашей переименнованной админке)

Папка .htpasswd должна находиться выше, по дереву каталогов, чем ваш форум.

Например, возможный вариант:

Ваш форум находится по адресу

/home/pcvector.ru/public_html/forum

то есть админка будет вот по такому адресу находиться и в ней лежать файлик .htaccess

/home/pcvector.ru/public_html/forum/admincp/.htaccess

Папка .htpasswd должна лежать выше, например так:

/home/.htpasswd/

А внутрь её, копируете файлик .htpasswd (который создате по типу создания .htaccess), только внутри него будет лишь одна строчка.

метод криптования crypt(); для Apache на LINUX - вот такой зашифрованный код, мы выбрали Apache на Linux - потому что почти все сервера построены именно на Linux:
Таким образом файлик будет лежать по пути:
/home/.htpasswd/.htpasswd

И именно этот путь, мы и должны прописать в файле .htaccess, который находится в папке admincp (или нашей переименнованной админки), т.е. :

Так файл .htpasswd тоже самому создать и вложить в любое место выше форума? Он может хоть как называться? например drm.htpasswd?

Т.е. именно папку надо создавать чтоли? или файл?

и папку и файл - они оба имеют одно и тоже название .htpasswd

Еще на всякий уточню.
И папка и файл в ней ОБЯЗАТЕЛЬНО должны идентично называться к примеру drm.htpasswd? Или возможен вариант что папка называется дословно: .htpasswd , а файл в ней например drm.htpasswd? Ведь .htpasswd это разрешение и файл без названия с одним разрешением не создать.

Это будет создаваться в операционной системе Linux (сайты хостятся обычно на серверах с linux)
поэтому там все создатся и будет работать

Я сейчас все делаю и проверяю на локалке Денвера, поэтому у меня на виндовсе хр невозможно создать файл без названия с одним разрешением. Вы так и не ответили на 1ю часть прошлого вопроса