Важно: Защита ваших ресурсов (форумы, трекеры и др.). Читать всем владельцам сайтов

[Baphometh]

В последнее время участились случаи взломы домолинковских частных ресурсов, особенно трекеров. Все считали, что это от дырявости движка PhpBB+torrentpier
Отчасти да...
НО, дырка находится в самом Apache!!!
причина: Apache обрабатывает то расширение, которое идёт первым, другими словами: файл с именем
php.php.php.torrent
будет выполняться на сервере как php файл , но форум его пропустит, то есть его можно залить как вложение в /files/


Этим механизмом и ломались абсолютно все взломанные трекеры в домолинке!!!!!!

Данная уязвимость найдена мною в пакетах:
App Server , Top Server , Apache Swissknife ... и наверное она есть и в Denwer'e

баг есть и в апаче версии 2.2.4

2.2.6 - не проверял

НО! есть пакет, аналог LAMP под Linux, но предназначенный для пользователей Windows
называется WAMP (Windows Apache Mysql PHP)
который стабильно обновляется, прекрасно собран, очень надёжен.

скачать самую свежую версию можно здесь:
http://www.wampserver.com/ (ссылка внешняя)


Вдобавок ко всему этому, нужно положить специальные .htaccess файлы в папки , куда ведётся загрузка файлов.
Структура .htaccess будет описана позже...
Смысл заключается в запрещении исполнения php , phtml и других файлов в этих папках, что предотвращает заливку шеллов и взлом ваших ресурсов.


ВНИМАНИЕ: если у Вас стоит один из вышеперечисленных дырявых пакетов, то немедленно перенестите ваш сайт на WAMPSERVER
если вашего пакета нет в списке, и вы точно не знаете есть ли там баг, то таже перенесите сайт на WAMPSERVER


вот тут лежит Wampserver нахаляву для домолинка. трафик бесплатный
http://vrncoder.ru/forum/files/1_250.gif - на xorvrn вирус качайте пакет с внешки

А ТАКЖЕ:
В папки , в которые ведётся загрузка файлов нужно положить файл с именем .htaccess

напр. для torrentpier это папки /files , /images/avatars/
содержимое файла .htaccess
я его тут не привожу, форум коверкает текст, и могут быть ошибки, качайте вложение.

Модераторам просьба сделать тему важной.

[IncognitO]

Хуле не 72ым кеглем нарисовал? И цвет можно было кислотный.

[Baphometh]

чтоб подчеркнуть важность сообщения

[GoR2]

дырка находится в самом Apache!!!

Сам ты дырка! Это очень полезная возможность mod_mime

http://gor.homelinux.net/manual/mod/mod_mime.html

[Part!zan]

Не прошло и года...

[ру]

15ти летние мальчики нашли скрипты шелла на ачате?)))))

[Коварный план]

php.php.php.torrent
будет выполняться на сервере как php файл

Почти в каждом мануале по установке есть предупреждение.

нужно положить специальные .htaccess файлы в папки

Класть надо в httpd.conf

ВНИМАНИЕ: если у Вас стоит один из вышеперечисленных дырявых пакетов

ВНИМАНИЕ: если у Вас кривые руки, срочно прочтите инструкцию по применению.

[Baphometh]

Коварный план,
ру,

я описал методы защиты так, как я это реализовывал, это проверено мною, и это дало положительный результат.
если есть какие-то другие методы, то пишите их также здесь..

[HucK]

бугога, теперь milw0rm.com нам не нужен, у нас есть Baphometh xDDD

[Rаvel]

да и вобще ставить сайт на денвер это круто))

[Baphometh]

я тут залил этот пакет на xorvrn
http://vrncoder.ru/forum/files/1_250.gif
а один из скачавших прислал скриншот о том что там вирус, у меня каспер, я когда заливал было всё нормально, значит на xorvrn вирус, качайте с внешки с официального сайта.

а не из вирусной говнолокалки

[Rаvel]

Сообщение от Baphometh

значит на xorvrn вирус

дальше веслее))

[Коварный план]

я тут залил этот пакет

В чем сложность скачать всё по отдельности с оф. ресурсов? Разве потратить два-три дня на мунуалы много, при том, что это максимум 1% от времени существования вашего сайта-творения?

[HucK]

Сообщение от Baphometh

я тут залил этот пакет на xorvrn
http://vrncoder.ru/forum/files/1_250.gif
а один из скачавших прислал скриншот о том что там вирус, у меня каспер, я когда заливал было всё нормально, значит на xorvrn вирус, качайте с внешки с официального сайта.

а не из вирусной говнолокалки

Аффтар жги исчо

[Baphometh]

хз.. я касперским проверил, вроде всё чисто..

а насчёт собрать отдельно, то это ваще отлично! просто мне данный пакет понравился, и работал он хорошо..

[mikе]

Сообщение от Baphometh

причина: Apache обрабатывает то расширение, которое идёт первым, другими словами: файл с именем
php.php.php.torrent
будет выполняться на сервере как php файл

а передавать файл не напрямую, а скриптом, религия запрещает, видимо.

[Baphometh]

Сообщение от mikе

а передавать файл не напрямую, а скриптом, религия запрещает, видимо.

это сделано, но phpbb3
а обычная сборка torrentpier +phpbb 2.0.17 , которую ставят 90% медведов, это не позволяет

но её можно защитить htaccess'ом

[IncognitO]

90% медведов

Я таки удивлен, как вы с таким распухшим ЧСВ еще не лопнули.

[Baphometh]

Сообщение от IncognitO

Я таки удивлен, как вы с таким распухшим ЧСВ еще не лопнули.

я тут один из лучших специалистов по компьютерной безопасности и администрированию, поэтому имею право так писать и создавать такие темы.
то что здесь описано реально помогло многим, например проекту ALL-VRN, и некоторым другим трекерам.

зачем всё это?
да чтобы любой мог сделать трекер и не бояться за защиту.


это не всё.. если вдобавок заблочить админку на вход только с локальных айпи (127.0.0.1 и т п)
то заливка шеллов и взлом будет исключён вообще!


и в домолинке будет куча трекеров , пусть и нестабильных, пусть и с медведами админами)))

а я ушёл в ГТ ))

[IncognitO]

я тут один из лучших специалистов по компьютерной безопасности и администрированию

Ояeбу, продолжайте же, прошу вас, у меня как раз последний сезон смехопанорамы вчера досмотрен.

[Коварный план]

Солидарен с IncognitO )

[Pengvin]

Сообщение от Baphometh

зачем всё это?
да чтобы любой мог сделать трекер и не бояться за защиту.
...
то заливка шеллов и взлом будет исключён вообще!

ну это вобще не правильная позиция. Надо донести до других обратную мысль: создавая сайт ты создаешь потенциальную дырку, рассадник троянцев и источник баз для спамеров. Взлом исключить вобще невозможно. Если медвед не в состоянии обеспечить должную безопасность, лучше вобще не браться. Как говорица бери ношу по себе чтоб не падать при ходьбе.

[NetStalker]

Сообщение от Baphometh

я тут один из лучших специалистов по компьютерной безопасности и администрированию, поэтому имею право так писать и создавать такие темы.

[Baphometh]

не переношу медведов типа IncognitO

[IncognitO]

Ололо, лучший специалист по компьютерной безопасности, IT professional, Гуру, Учитель, открывший Страшную Тайну мод_майма и обосравшийся, увидев параноидальные вопли эвристика, не переносит медведов.

[Baphometh]

[Коварный план]

Baphometh, а ты уверен, что ты один из лучших специалистов, а не тедди-бир плюшевый медведь?

[Baphometh]

http://shockintown.com/imgs/SiT.swf

[DeBak]

Сообщение от Baphometh

я тут один из лучших специалистов по компьютерной безопасности и администрированию, поэтому имею право так писать и создавать такие темы.

Щас уссусь, жду новых постов ^^
Ты аxуенен!
ИнкогнитО, кстати, поумнее тебя будет.

[Baphometh]

Сообщение от DeBak

Щас уссусь, жду новых постов ^^
Ты аxуенен!
ИнкогнитО, кстати, поумнее тебя будет.

о... прибежало затычко в каждой теме!!!! а где реклама portal-on Tvoy Mir ????
исправь пост, добавь рекламу, ты не похож на себя.