chống hack diễn đàn

Deathknight · 7 Tháng chín 2003

Tôi nghĩ bài này rất cần thiết cho các Admin và Webmaster,nên sưu tầm về đây bây giờ ta bắt đầu nhé .

Xin lưu ý là file conf_global.php là file rất quan trọng đối với việc thực hiện Hack IBF

- CHMOD file conf_global.php thành "004" (có một số host ko hỗ trợ kiểu này)
- CHMOD thư mục chứa IBF thành "701"
- Tuyệt đối ko đặt user & pass database trùng với user & pass FTP

Đầu tiên tôi sẽ hướng dẫn cách đơn giản để dấu chuỗi index.php trên thanh trình duyệt.
- Các bạn dùng chức năng Search của Explorer để tìm toàn bộ trong thư mục của IBF chuỗi sau : index., sau đó bạn mở file đó ra và xóa index. đi.
- Mở file conf_global.php ra, và tìm đoạn này :

$INFO['php_ext'] = 'php';

- Bạn đổi thành :
$INFO['php_ext'] = '';

Từ giờ trở đi, IBF của bạn sẽ không còn index.php trên thanh address nữa.

Chú ý: Nếu bạn làm như vậy thì việc thử nghiệm trên localhost sẽ khó khăn với các form. Nhưng khi up lên web thì vẫn okie như thường

Ngoài ra bạn có thể đổi tên file index.php thành index.php3 hoặc index.php4 để phòng tránh hacker view index.php.

Bạn có thể đổi tên index.php thành index.php3 hoặc index.php4 hoặc bất kỳ bằng cách :
Ví dụ chúng ta đã dấu index.php trên thanh Address và bây giờ muốn đổi tên file index.php thành file khác.
Chẳng hạn như vidu.php đi nhé.
- Chúng ta tạo file .htaccess với nội dung như sau

DirectoryIndex vidu.php index.php index.php3 index.html
Bạn nào làm Forum IBF phải cấu hình Apache Server chắc biết câu lệnh này

- Sau đó up lên thư mục chứa IBF. Thế là xong.

Tiếp theo đây:

Đổi tên thư mục : ( Cái này các bạn nên làm cẩn thận và Backup lại truớc khi sửa )
- Các bạn dùng Explorer tìm tất cả file có đoạn : sources/. (Tôi dùng Dreamweaver)
- Vào từng file, dùng chức năng Find and Replace (Mọi trình soạn thảo text đều hỗ trợ chức năng này).
- Bạn thay thế sources/ thành newfolder/ chẳng hạn (bạn có thể thay newfolder thành bất cứ tên gì bạn thích).
- Khi xong tất cả mọi file. Bạn thoát ra, và đổi tên thư mục sources thành tên mới của bạn.
Thế là xong.
Bạn có thể ap dụng tương tự cho thư mục Skin.

*Đổi tên file admin.php
- Bạn dùng Explorer tìm file có chứa : admin.
- Thay thế bằng tên file admin mới, ví dụ : newadmin.php (Nếu bạn chưa dấu file index thì khi đổi chỉ cần nhập newadmin. là được, mình chỉ thế này để các bạn theo dõi từ đầu và làm theo cho dễ).
Đến đây bạn đã hoàn thành rồi đấy.

xin nhắc các bạn thêm điều này.
Nếu các bạn chưa nắm vững cách hoạt động của các file này thì delete ngay đi nhé :
ssi.php
show.php
phpinfo.php

Giấu file conf_global.php :
ở đây tôi xin hướng dẫn đổi conf_global.php thành abc.php

vào :
source/admin/admin_functions.php
tìm tất cả những từ conf_global.php thay bằng abc.php

Tìm trong 3 file : admin.php , index.php , ssi.php tất cả những từ conf_global.php thay bằng abc.php

Sau đó đổi file conf_global.php thành abc.php

Bây giờ ta tiếp tục với Session ID :
+Bước 1:
Mở file ad_settings. php
Tìm code sau:

case 'dourl':
$this->save_config( array ( 'number_format', 'html_dir','safe_mode_skins', 'board_name','board_url','home_name','home_url', 'disable_gzip',
'html_url','upload_url', 'upload_dir', 'print_headers', 'header_redirect', 'debug_level', 'sql_debug' ) );
break;

thay bằng :

case 'dourl':
$this->save_config( array ( 'number_format', 'html_dir','safe_mode_skins', 'board_name','board_url','home_name','home_url', 'disable_gzip',
'html_url','upload_url', 'upload_dir', 'print_headers', 'session_hide', 'header_redirect', 'debug_level', 'sql_debug' ) );
break;

tìm tiếp :

$ADMIN->html .= $SKIN->add_td_row( array( "Print HTTP headers? (Some NT installs require this off)" ,
$SKIN->form_yes_no( "print_headers", $INFO['print_headers'] )
) );
$ADMIN->html .= $SKIN->add_td_row( array( "Hide Session ID? (Removes Session ID from the URL)" ,
$SKIN->form_yes_no( "session_hide", $INFO['session_hide'] )
) );

bước2 mở index.php
tìm :

if ($ibforums->member['id'] and ( $std->my_getcookie('hide_sess') ) )
{
$ibforums->session_id = "";
}

thêm vào trước :

if ($INFO['session_hide'])
{
$ibforums->session_id = "";
}

+Bước 3:
Mở file conf_global. php
Thêm vào bất cứ đâu dòng code sau :
$INFO['session_hide'] = '1';
(deathknight sưu tầm)