Jak zabezpieczyć phpbb3 przez włamaniem?

[lukas24]

Jak zabezpieczyć takie forum, aby nie można było się tak łatwo wkraść?

[Mion]

Na ogólnych zasadach zabezpieczanie serwisów www.

[Gość]

Nie da się?

Wszystko leży po stronie twórców skryptu. Sam raczej nic nie możesz zrobić... no chyba, że przeanalizujesz cały skrypt i poprawisz błędy

[Mion]

aby nie można było się tak łatwo wkraść?

Czyli sugerujesz, że teraz można się "wkraść-włamać", tylko jeszcze pytanie gdzie ?

[pc3t]

Aktualizować jak najczęściej to chyba jedyne rozwiązanie.

Albo przepisać większą część kodu po swojemu, bo jedynym minusem tego forum to otwartość kodu - łatwiej znaleźć błąd i zanim poprawka wyjdzie, to kilka for może na tym stracić.

[riklaunim]

phpBB3 powinno być znacznie bezpieczniejsze od wersji v2. Trochę się postarali o zewnętrzne audyty bezpieczeństwa przed wydaniem nowej wersji. Podstawa to bieżące aktualizowanie wszystkiego co jest do aktualizacji, ze szczególnym uwzględnieniem dodatków (jako że dodatki osób trzecich nie są tak weryfikowane jak sam skrypt forum).

[danio_]

Żadne skrypty darmowe ogólnodostępne nie będą długo bezpieczne ponieważ każdy bez kupowania licencji może przejrzeć cały kod i znaleźć lukę. Dlatego moim zdaniem przy tworzeniu wartościowych for powinno się stosować komercyjne skrypty takie jak IPB czy vBulletin. Autorzy pobierają za licencje opłaty i większą uwagę skupiają na bezpieczeństwie niż twórcy phpbb udostępniający swoje dzieło za darmo. Jeśli chodzi o włamania na strony to 60 procent przypadków to błąd admina w sprawie zabezpieczenia serwera i instalacji skryptu.

Pozdrawiam

[Maximus Marius]

danio_ - Ale żeś wymyślił. Przecież nawet włamywacz może sobie kupić skrypt i przejrzeć kod i znaleźć lukę. Już pomijam ze wszystko można znaleźć za darmo. Z punktu widzenia użytkownika to drugorzędna sprawa czy wsparcie jest przez komercyjna organizacje czy tez przez społeczność. Liczy sie jakość usług. Róznica jest taka że jak zapłaciś to "możesz rządać" ,jak nie zapłacisz to "możesz liczyć" na pomoc. Wsparcie można czesto też kupić , popatrz sobie np. na https://ez.no , jaką chłopaki robią kasę na OS to głowa mała

Czesto jest tak że za bezpieczeństwo odpowiada kotś kto sie na tym kompletnie nie zna wiec i najlepszy skrypt nie pomoże

[danio_]

danio_ - Ale żeś wymyślił. Przecież nawet włamywacz może sobie kupić skrypt i przejrzeć kod i znaleźć lukę. Już pomijam ze wszystko można znaleźć za darmo. Z punktu widzenia użytkownika to drugorzędna sprawa czy wsparcie jest przez komercyjna organizacje czy tez przez społeczność. Liczy sie jakość usług. Róznica jest taka że jak zapłaciś to "możesz rządać" ,jak nie zapłacisz to "możesz liczyć" na pomoc. Wsparcie można czesto też kupić , popatrz sobie np. na https://ez.no , jaką chłopaki robią kasę na OS to głowa mała

Czesto jest tak że za bezpieczeństwo odpowiada kotś kto sie na tym kompletnie nie zna wiec i najlepszy skrypt nie pomoże

Po części masz racje. Ale nie porównujmy eZPublish z phpBB. Trochę przesadziłem ale chyba przyznasz mi racje że częstsze aktualizacje są skryptów komercyjnych. Wiem że są nulle i każdy może ściągnąć. Ale więcej sposobów jest na phpBB niż vBulletina czy IPB. Z tego co wiem jeśli chodzi o włamanie na vBulletin zawsze wina leżała po stronie admina lub serwera. W phpBB jest taki problem że większość dodatków obniża bezpieczeństwo forum. Przyznaje ci racje przesadziłem

[Grzegorz Getka]

Zrób update do 3.0.5, ja na 3.0.0 miałem często ataki botów, ostatnia wersja jest już ok.

[Dominik23]

Łatki, łatki, łatki.. i jeszcze raz łatki.

Wszystko leży po stronie twórców skryptu.

Bzdura sam też możesz udoskonalić zabezpieczenia dodając np. tego typu regułki

RewriteCond %{QUERY_STRING} (.*)=http(.*) [NC,OR]
RewriteCond %{QUERY_STRING} (.*)=ftp(.*) [NC,OR]
RewriteCond %{QUERY_STRING} (.*)urlx=(.*) [NC]
RewriteRule ^(.*) - [F]

RewriteCond %{QUERY_STRING} ^http   [OR]
RewriteCond %{QUERY_STRING} ^.+www\.  [OR]
RewriteCond %{QUERY_STRING} ^.+https  [OR]
RewriteCond %{QUERY_STRING} ^.+ftp
RewriteRule .* - [L,F]
RewriteCond %{HTTP_USER_AGENT} ^libwww [OR]
RewriteCond %{HTTP_USER_AGENT} ^Wget
RewriteRule .* - [F]

[Gość]

Czyli co, jak skrypt będzie miał lukę typu "sql injection" to taki htaccess załatwi sprawę? Bzdura...