<![CDATA[مرجع پارسی MyBB - امنیت]]> https://community.mybbiran.com/ Sun, 26 Jul 2026 20:43:42 +0000 MyBB <![CDATA[سوال در مورد جلوگیری ازنفوذ بوسیله آی پی]]> https://community.mybbiran.com/thread-21791.html Thu, 25 Jun 2020 05:43:02 +0430 B.moradi]]> https://community.mybbiran.com/thread-21791.html سلام مودمم از طریق آی پیم هک شده و تونستند وارد گوشی تلفنم بشن سوالم اینه که آیا میتونن دسترسی کامل به گوشیم(دوربین و...)بگیرن با توجه به اینکه من هیچ فایلی دریافت نکردم و لینکی رو باز نکردم و اینکه طرف اصلا مبتدی نیست و کاربلده و مهم‌ترین سوالم اینه که چطور جلوی اینکارو بگیرم 
۱.قبل اینکه نفوذ و هک کنن از طریق آی پی چیکار کنم؟؟
۲.الان که نفوذ کردن از طریق آی پی باید چیکار کنم؟؟
دوستان ممنون میشم راهنمایی کنید]]> سلام مودمم از طریق آی پیم هک شده و تونستند وارد گوشی تلفنم بشن سوالم اینه که آیا میتونن دسترسی کامل به گوشیم(دوربین و...)بگیرن با توجه به اینکه من هیچ فایلی دریافت نکردم و لینکی رو باز نکردم و اینکه طرف اصلا مبتدی نیست و کاربلده و مهم‌ترین سوالم اینه که چطور جلوی اینکارو بگیرم 
۱.قبل اینکه نفوذ و هک کنن از طریق آی پی چیکار کنم؟؟
۲.الان که نفوذ کردن از طریق آی پی باید چیکار کنم؟؟
دوستان ممنون میشم راهنمایی کنید]]> <![CDATA[جلوگیری از ثبت نام ربات ها در انجمن]]> https://community.mybbiran.com/thread-20003.html Sat, 17 Dec 2016 20:11:16 +0330 mosisms]]> https://community.mybbiran.com/thread-20003.html دوستان چجوری میتونیم  جلوی ثبت نام بات ها رو بگیرم ؟
ممنون]]> دوستان چجوری میتونیم  جلوی ثبت نام بات ها رو بگیرم ؟
ممنون]]> <![CDATA[تغییر نام Admin CP (مسیر کنترل پنل مدیر کل)]]> https://community.mybbiran.com/thread-18465.html Tue, 06 Oct 2015 18:19:30 +0330 HOssE!N-B]]> https://community.mybbiran.com/thread-18465.html برای افزایش امنیت پیشنهاد می شود نام کنترل پنل ادمین را عوض کنید.

نکته: این آموزش توسط  Pars برای 1.6 تهیه و توسط HOssE!N-B  برای 1.8 به روز رسانی شد. 

برای این کار باید
1- فایل inc/config.php را باز کرده و کد زیر را پیدا کنید:

کد php:
$config['admin_dir'] = 'admin'; 

در اینجا admin را تغییر بدید، نامی که انتخاب می کنید نام کنترل پنل مدیر کل است.

2- به کنترل پنل هاستینگ بروید و در دایرکتوری که انجمن را نصب کردید پوشه admin را پیدا کرده و rename کنید، اینجا همان نامی که در قسمت 1 وارد کردید را وارد کنید.

[تصویر: photos.png] نمونه:


.png   screenshot_20151021_181607.png (اندازه: 45.55 KB / تعداد دفعات دریافت: 14)

نکته: در تصویر بالا نام پوشه ی ادمین با توجه به آموزش بالا به HOssE!N-B تغییر کرده است.

موفق باشید.
]]> برای افزایش امنیت پیشنهاد می شود نام کنترل پنل ادمین را عوض کنید.

نکته: این آموزش توسط  Pars برای 1.6 تهیه و توسط HOssE!N-B  برای 1.8 به روز رسانی شد. 

برای این کار باید
1- فایل inc/config.php را باز کرده و کد زیر را پیدا کنید:

کد php:
$config['admin_dir'] = 'admin'; 

در اینجا admin را تغییر بدید، نامی که انتخاب می کنید نام کنترل پنل مدیر کل است.

2- به کنترل پنل هاستینگ بروید و در دایرکتوری که انجمن را نصب کردید پوشه admin را پیدا کرده و rename کنید، اینجا همان نامی که در قسمت 1 وارد کردید را وارد کنید.

[تصویر: photos.png] نمونه:


.png   screenshot_20151021_181607.png (اندازه: 45.55 KB / تعداد دفعات دریافت: 14)

نکته: در تصویر بالا نام پوشه ی ادمین با توجه به آموزش بالا به HOssE!N-B تغییر کرده است.

موفق باشید.
]]> <![CDATA[آموزش حفاظت از پوشه ادمین]]> https://community.mybbiran.com/thread-18117.html Sun, 28 Jun 2015 01:47:18 +0430 saeed_same]]> https://community.mybbiran.com/thread-18117.html در این آموزش بهتون نشون میدم که چطور از پوشه ادمین مراقبت کنید تا از حملات سالم بمونین

ابتدا یک پوشه در روت انجمن میسازین به هر اسم مثلا abc

بعد فایل index.php رو در اون بسازین با این محتویات

کد:
<?php
$yourdomian_cookie_code="1234567890";
setcookie("yourdomian",$yourdomain_cookie_code,0,"/");
header("Location: /admin/index.php");
?>


و بعد کدهای زیر رو در .htaccess کپی کنید



کد:
RewriteCond %{REQUEST_URI} ^/admin
RewriteCond %{HTTP_COOKIE} !yourdomian=1234567890
RewriteRule .* - [L,F]


اعداد 1234567890 را با اعداد دلخواه خود جایگزین نمایید

بجای yourdomian دامنه خود را قرار دهید ( بدین صورت yourdomiandotcom )

نتیجه : اگه کسی سعی کنه تا به پنل ادمین بصورت http://domain/admin دسترسی پیدا کنه ارور 403 نمایش داده میشه و فقط میتونین از طریق http://domain/abc به پنل ادمین دست پیدا کنید

موفق باشید

منبع : http://community.mybb.com/thread-169717.html

ترجمه : انجمن پارسیان دانلود]]> در این آموزش بهتون نشون میدم که چطور از پوشه ادمین مراقبت کنید تا از حملات سالم بمونین

ابتدا یک پوشه در روت انجمن میسازین به هر اسم مثلا abc

بعد فایل index.php رو در اون بسازین با این محتویات

کد:
<?php
$yourdomian_cookie_code="1234567890";
setcookie("yourdomian",$yourdomain_cookie_code,0,"/");
header("Location: /admin/index.php");
?>


و بعد کدهای زیر رو در .htaccess کپی کنید



کد:
RewriteCond %{REQUEST_URI} ^/admin
RewriteCond %{HTTP_COOKIE} !yourdomian=1234567890
RewriteRule .* - [L,F]


اعداد 1234567890 را با اعداد دلخواه خود جایگزین نمایید

بجای yourdomian دامنه خود را قرار دهید ( بدین صورت yourdomiandotcom )

نتیجه : اگه کسی سعی کنه تا به پنل ادمین بصورت http://domain/admin دسترسی پیدا کنه ارور 403 نمایش داده میشه و فقط میتونین از طریق http://domain/abc به پنل ادمین دست پیدا کنید

موفق باشید

منبع : http://community.mybb.com/thread-169717.html

ترجمه : انجمن پارسیان دانلود]]> <![CDATA[باگ در قسمت Ajax Chat]]> https://community.mybbiran.com/thread-17744.html Tue, 17 Mar 2015 11:02:57 +0330 ebrahim_vaker]]> https://community.mybbiran.com/thread-17744.html بنام برنامه نویس عالم
سلام به همه
بی مقدمه بریم سر اصل مطلب Shy 
title  MyBB Ajax Chat
Risk  Security Risk High

Vendor http://mods.mybb.com/download/ajax-chat

demo : Big Grin


کد php:
http://lalalanduk.gaming.multiplay.co.uk/forum/chat_frame.php?rs=%3Cmarquee%3EHacked%20By%20EbRaHiM-VaKeR%20was%20here%20:D%3C/marquee%3E 


کد php:
https://www.bios-mods.com/forum/chat_frame.php?rs=<marquee>Hacked By EbRaHiM-VaKeR was here :D</marquee> 




کد php:
http://www.clemsonscc.org/chat_frame.php?rs=%3Cmarquee%3EHacked%20By%20EbRaHiM-VaKeR%20was%20here%20:D%3C/marquee%3E 
خوشبختانه سایتهای ایرانی داری این نوع اسیب پذیری نبودند Big Grin 

موفق باشید
]]> بنام برنامه نویس عالم
سلام به همه
بی مقدمه بریم سر اصل مطلب Shy 
title  MyBB Ajax Chat
Risk  Security Risk High

Vendor http://mods.mybb.com/download/ajax-chat

demo : Big Grin


کد php:
http://lalalanduk.gaming.multiplay.co.uk/forum/chat_frame.php?rs=%3Cmarquee%3EHacked%20By%20EbRaHiM-VaKeR%20was%20here%20:D%3C/marquee%3E 


کد php:
https://www.bios-mods.com/forum/chat_frame.php?rs=<marquee>Hacked By EbRaHiM-VaKeR was here :D</marquee> 




کد php:
http://www.clemsonscc.org/chat_frame.php?rs=%3Cmarquee%3EHacked%20By%20EbRaHiM-VaKeR%20was%20here%20:D%3C/marquee%3E 
خوشبختانه سایتهای ایرانی داری این نوع اسیب پذیری نبودند Big Grin 

موفق باشید
]]> <![CDATA[بسیار مهم > باگ در قسمت tags]]> https://community.mybbiran.com/thread-17732.html Sun, 15 Mar 2015 01:34:10 +0330 ebrahim_vaker]]> https://community.mybbiran.com/thread-17732.html
بازم اومدم با یه باگ جدید در مای بی بی در قسمت tags.php

توضیحات:
باگ در قسمت tags.php هست

نوع باگ:xss

میزان خطرناک: زیاد

[تصویر: photos.png] نمونه:

http://patoghmanoto.ir/tags.php?tag="><script>alert(/by vaker/)</script>

http://red-fun.ir/tags.php?tag=%3Cmarque...marquee%3E

سایتهای مهم ایرانی و خارجی وجود دارن کـــه این بــــــاگ رو دارن

مدیران راه فیکس کردن رو بزارید

تشکر نشانه رضایت شماست

یاعلی......]]>
بازم اومدم با یه باگ جدید در مای بی بی در قسمت tags.php

توضیحات:
باگ در قسمت tags.php هست

نوع باگ:xss

میزان خطرناک: زیاد

[تصویر: photos.png] نمونه:

http://patoghmanoto.ir/tags.php?tag="><script>alert(/by vaker/)</script>

http://red-fun.ir/tags.php?tag=%3Cmarque...marquee%3E

سایتهای مهم ایرانی و خارجی وجود دارن کـــه این بــــــاگ رو دارن

مدیران راه فیکس کردن رو بزارید

تشکر نشانه رضایت شماست

یاعلی......]]> <![CDATA[بسیار مهم> ChangUonDyu Chatbox Plugin XSS<]]> https://community.mybbiran.com/thread-17725.html Fri, 13 Mar 2015 19:02:13 +0330 ebrahim_vaker]]> https://community.mybbiran.com/thread-17725.html

ديگه از عنوان معلومه ميخوام چي بگم بنده چندروز پيش داشتم چندتا تارگت رو تست ميزدم انجمن ماي بي بي بودند Huh


باگ XSS هس در قسمت چت باکس ماي بي بي و اسم پلاگين هم ChangUonDyu


که ميشه با هايجکت کوکي ها يوزر و پسورد رو خوند و ديفيس(هک) کرد که تيم امنيتي مسيح تيم هم اين باگ رو داشت که بنده براي خودم يه يوزر مخفي ساختم و.....  Big Grin

======================================

اگه به آدرس زير بريد Big Grin و اين سايت رو هک کردم که خودشون گفتن که سايتشون هک شده بود

کد php:
http://forum.tahaquran.ir/chatbox/archive.php?page=13 


نمونه اي از آسيب پذيري:

کد php:
http://forum.tahaquran.ir/chatbox/archive.php?page=%3Cmarquee%3EHacked%20By%20EbRaHiM-VaKeR%3C/marquee%3E 

کد php:
http://mihan-forum.ir/chatbox/archive.php?page=%3Cmarquee%3EHacked%20By%20EbRaHiM-VaKeR%3C/marquee%3E 



متاسفانه بنده راه پچ اين باگ رو بلد نيستم واگر نه راه پيشگيري رو ميزاشتم


لطفا مديرها پيگيري کنن و راه پچ اين باگ رو بگن


باتشکر Heart]]>

ديگه از عنوان معلومه ميخوام چي بگم بنده چندروز پيش داشتم چندتا تارگت رو تست ميزدم انجمن ماي بي بي بودند Huh


باگ XSS هس در قسمت چت باکس ماي بي بي و اسم پلاگين هم ChangUonDyu


که ميشه با هايجکت کوکي ها يوزر و پسورد رو خوند و ديفيس(هک) کرد که تيم امنيتي مسيح تيم هم اين باگ رو داشت که بنده براي خودم يه يوزر مخفي ساختم و.....  Big Grin

======================================

اگه به آدرس زير بريد Big Grin و اين سايت رو هک کردم که خودشون گفتن که سايتشون هک شده بود

کد php:
http://forum.tahaquran.ir/chatbox/archive.php?page=13 


نمونه اي از آسيب پذيري:

کد php:
http://forum.tahaquran.ir/chatbox/archive.php?page=%3Cmarquee%3EHacked%20By%20EbRaHiM-VaKeR%3C/marquee%3E 

کد php:
http://mihan-forum.ir/chatbox/archive.php?page=%3Cmarquee%3EHacked%20By%20EbRaHiM-VaKeR%3C/marquee%3E 



متاسفانه بنده راه پچ اين باگ رو بلد نيستم واگر نه راه پيشگيري رو ميزاشتم


لطفا مديرها پيگيري کنن و راه پچ اين باگ رو بگن


باتشکر Heart]]> <![CDATA[.:: نُکاتِ کِلیدی و آموزشی بالا بُردنِ اَمنیتِ اَنجُمن ::.]]> https://community.mybbiran.com/thread-17722.html Thu, 12 Mar 2015 16:50:44 +0330 HOssE!N-B]]> https://community.mybbiran.com/thread-17722.html با آموزش بالابردن امنیت انجمن در خدمتتون هستم ...
اَمنیَّت حالت فراغت نسبی از تهدید یا حمله و یا آمادگی برای رویارویی با هر تهدید و حمله را گویند. امنیت از ضروری ترین نیازهای یک وب سایت یا انجمن است.
این آموزش در هشت مرحله + نکات کلیدی امنیتی را به صورت گام به گام و آموزش هایی در خصوص بالابردن امنیت در اختیار شما عزیزان قرار میدهد . 

خب بریم سراغ آموزش  Wink

مرحله ی اول :

 1 : در ابتدا انتخاب یک هاست مناسب در امر امنیت خبلی مهم است .
1.1 انتخاب هاستینگ 
انتخاب هاست مناسب یکی از  مهم ترین نکات امنیتی است که وبمستر ها باید مد نظر داشته باشند .
چند نمونه از هاستینگ های معتبر :

کد php:
http://farswebhost.com
http://parsmizban.com
http://ashiyanehost.com
http://hostdl.com
http://parsmizban.com
http://www.netafraz.com 
توجه کنید هدف ما از نام بردن چند هاستینگ بالا تبلیغ نیست بلکه شما میتوانید به اختیار از هر هاستینگی استفاده کنین ! 
توجه:  پس بیاد داشته باشید اولین قدم برای امنیت یک سایت یا انجمن انتخاب یک هاست امن است .

مرحله ی دوم :

تغییر نام پنل مدیریت 
2 : با استفاده از آموزش زیر از دسترسی افراد غیر مجاز به پنل مدیریت جلوگیری کنید .
(برای افزایش امنیت پیشنهاد میشود)

تغییر نام Admin CP (مسیر کنترل پنل مدیر کل)

2.1:تغییر نام فایل config.php 
(جهت افزایش امنیت توصیه میشود)
تغییر نام فایل config.php 

نکته 2.0: با استفاده از این دو روش ممکن است شما پلاگینی نصب کرده باشید که در فایل های پیشفرض (پلاگین) اسم پوشه admin  در آن ذکر شده باشد و باید تغییرات را ست کنید تا مشکلی پیش نیاد . همچنین در خصوص فایل config.php این امر صدق میکند . 

مرحلهي سوم :
3.0 : اگر فکر میکنید استفاده از روش های بالا مناسب نیستند ما یک روش دیگر برای محدود سازی پنل مدیر کل به شما پیشنهاد میکنیم . 

با استفاده از این روش میتوانید پنل مدیریت خود را فقط برای آی پی مورد نظر نمایش بدین !
وارد پنل هاست خود شوید (دایرکت ادمین ، سی پنل ) و پوشه ی admin  خود را بیابید .

حال آنرا باز کنید و یک فایل به نام  htaccess. بسازید سپس کد های زیر را درون آن قرار دهید . 
کد php:
<files index.php>
deny from all
allow from 198.168.1.1
</files> 
حال به جای اعداد 198.168.1.1 که آدرس آی پی میباشد آی پی خود یا شخصی که میخواهید پنل مدیر کل فقط برای آن نمایش داده شود را وارد کنید . 

3.1 : روش بدست آوردن آی پی ip: 
در سیستم [ ویندوز 7 ] خود مسیر زیر را دنبال کنید :
استارت >> کنترل پنل >> Network and sharing >> سپس change adapter settings >> و Connection >> مورد نظر را باز کنید . سپس Details را زده تا آی پی خود را ببینید . 
اگر آی پی شما یک رنج متغییر است بهتر است به صورت زیر وارد شود 
کد php:
deny from all
allow from 10.30.* 

10.30 رنج آی پی شما است آنرا با توجه به رنج آی پی خو تغییر دهید . 
3.2:  وارد کردن چند آی پی ip

برای مثال شما 3 مدیر در انجمن دارید که حتما باید به پنل مدیریت دسترسی داشته باشند پس باید سه نوع آی پی وارد کنید .

کد php:
deny from all
allow from 1.1.1.1
allow from 2.2.2.2
allow from 3.3.3.3 


کد:
allow from 1.1.1.1
allow from 2.2.2.2
allow from 3.3.3.3
سه آی پی مورد نظر را وارد کنید 
طبق این روش میتوانید محدودیت های آی پی را تغییر دهید .

نکتهی 3 : پیشنهاد میشه نام پنل ادمین رو تغییر و فاک پیج (در ادامه توضیح داده شده ) بسازید سپس آی پی را هم محدود کنید .  Wink
 مرحله چهارم : 
4: ساخت  فیک پیج (Fake Admin CP) برای انجمن  
اگر نام پنل ادمین خود را تغییر داده اید و میخواهید یک صفحه ی جعلی برای فریب افراد غیر مجاز (هکر ها ) بسازید ما آموزش زیر را به شما پیشنهاد میکنیم .:: با استفاده از این پلاگین هر شخصی که بخواهد به طور غیر مجاز به پنل مدیریت دسترسی پیدا کند را شناسایی و آی پی و گذرواژه ای که برای نفوذ به پنل وارد کرده است را برای شما ایمیل میکند .:: ! 

[font=PTahoma, Tahoma, Verdana, Arial, sans-serif]آموزش ساخت فیک پیج (Fake Admin CP)[/font]

4.1 : انتخاب یک گذرواژه برای پوشه های انجمن 
4.1 : گذاشتن گذرواژه بر روی پوشه ی admin یا پوشه ای که شما با هر نامی جهت جلوگیری از دسترسی افراد بیگانه ایجاد کرده اید 
برای این کار به پنل هاست خود مراجعه کنید سپس فایل منیجر را باز کرده و پوشه ی مورد نظر را انتخاب و بر روی  protect کلیک کنید تا صفحه مورد نظر برای شما ظاهر شود . 

مرحله اول : 
[تصویر: attachment.php?aid=9028]


مرحله دوم : 
[تصویر: attachment.php?aid=9027]


نکته 4.0 : جهت امنیت بیشتر گذرواژهي خود را ترکیبی از اعداد و حروف لاتین انتخاب کنید . و از انتخاب گذرواژه های ساده و رایج بپرهیزید . 

نکته 4.1: با استفاده از آموزش بالا میتوانید بر روی پوشه های دیگر انجمن خود گذرواژه بگذارید . 

مرحله پنجم : 


5: خب ابتدا تایپیک زیر که برای خیلی وقت پیش هم هست رو با دقت مطالعه کنید و پلاگین های آسیپ پذیر را شناسایی و غیر فعال کنید . 

لیست پلاگین های آسیب پذیر

توصیه ما به شما :

پلاگین هایی که در لیست بالا آمده است را غیر فعال و از هاست خود حذف نمایید و یا آخرین نسخه (نسخه برطرف شده مشکلات) آنرا نصب کنید . 


نکته5: احتمال زیاد تا الان باید نسخه ی جدید این پلاگین ها عرضه شده باشه . 
نکته5.1: به لیست بالا اکتفا نکنید و خودتان دست به کار شوید و تمام پلاگین های خود را چک کنید . 

مرحله ششم: 
به طور  منظم از دیتابیس انجمن خود بک آپ تهیه کنید . 


 آموزش بک آپ گیری از دیتابیس

6.1: بهینه سازی دیتابیس : 
با استفاده از این آموزش میتوانید دیتابیس انجمن خود را به صورت اتوماتیک ( طبق زمانی که شما مایل هستید ) بهینه سازی کنید . 
آموزش بهینه سازی خودکار دیتابیس


 6.2: چند روش جلوگیری از اسپمر ها !
دوستان در  تایپیک زیرچندروش ساده اما کاربردی را برای مقابله با اسپمر ها ذکر میکنیم .  

 چند روش جلوگیری از اسپمر ها !


مای بی بی به طور پیشفرض تنظیماتی دارد که تاحدودی با اسپمر ها مقابله کرده ما به چند روش پیشفرض و چند پلاگین کاربردی اشاره میکنیم . 

 6.3 : شناسایی کاربران دارای چند حساب کاربری

با استفاده از این پلاگین میتوانید کاربرانی که با استفاده از یک آی پی چند حساب کاربری ساخته اند را بیابید 

 شناسایی کاربران دارای چند حساب کاربری
6.4 : ثبت آی پی ip کاربران میهمان هنگام ارسال پست یا پاسخ جدید
آموزش ثبت آی پی ip کاربران میهمان هنگام ارسال پست + هنگام ارسال پست کد امنیتی هم داره که برای جلوگیری از اسپم و تخلف به کار گرفته شده
 [همانند ویکی پدیا]

ثبت آی پی ip کاربران میهمان هنگام ارسال پست یا پاسخ جدید



مرحلهی هفتم :

7.0:  از اونجایی که جدیدا مشاهده کردم فایلsearch.php مای بی بی یکم مشکل داشت (ظاهرا برطرف شده) اما پیشنهاد ما به شما این است که جستجوی انجمنتون رو با گوگل تنظیم کنید ( آموزش آن در انجمن موجود است )


7.2: هسته ی مای بی بی از امنیت بالایی برخوردار است
 هر پلاگینی دوست دارید یا خوشتان اومد دلیل بر این نیست که بی خطر باشه ! تا جایی که ممکنه از پلاگین ، قالب ، کد اضافی  روی انجمن استفاده نکنید. از سایت های نامعتبر پلاگین یا فایلی دانلود نکنید ! حتما از مرجع پارسی مای بی بی ایران فایل های پارسی شده پلاگین ها را دانلود کنید و قبل از آپلود اون خودتون هم تست کنید فایل ویروسی نباشه ! (اکثر انجمن هایی که دیفیس میشن به خاطر وجود باگ تو پلاگیناشون یا ... کد هایی هست که استفاده میکنن ! ) 

7.3: ویروس زدایی کامپیوتر شخصی 

یک روش‌ رایج برای هکران انتشار ویروس و تروجان در سطح اینترنت است . معمولاً این نرم‌افزارهای مخرب بدون اطلاع مدیران انجمن ها یا وب سایت ها که در حال استفاده از کامپیوتر ، موبایل و یا کافی نت آلوده می‌باشند تمامی رمز عبورها را مخفیانه برای هکر ارسال می کنند و هکر ها به راحتی از اینکه  رمز های مورد استفاده لو رفته سایت یا انجمنتون رو  را هک می‌کنند.
از اینکه سیستمتون امن و ویروسی نیست مطمئن شید !  از یک ضد ویروس قوی و اورجینال استفاده کنید!  


7.4: نصب پلاگین ، قالب ، ... کرک شده (قفل شکسته)

یک روش رایج و شایع اینه که افرادی پلاگین ها یا نرم افزار ها یا ... را کرک میکنن بعد داخل اون یک سری تروجان هایی به کار میبرن سپس به صورت رایگان در اینترنت پخشش میکنن و چون رایگانه اکثرا ازش  استفاده میکنن و بعد از نصب این گونه موارد انجمن یا سایت شما عملا دو دستی تقدیم هکر شده و در یک وقت مناسب به سایت نفوذ میکنه ! 

مرحله ی هشتم : 
8.0: برای جلوگیری از سوء استفاده های احتمالی میزان دفعاتی که کاربر رمز خود را اشتباه وارد می کند را محدود کنید . (از پنل مدیریت مای بی بی )


8.1: برای مطمئن شدن از عضویت کاربران که  یک ربات نیستند نوع فعال سازی عضویت ها را حتماً از طریق ایمیل قرار دهید. 



و در نهایت نکات کلیدی : 
  • حتماٌ بعد ازآپلود فایل های فشرده zip درهاست و پس از اکسترکت کردن آن نسخه ی فشرده ی آنرا حذف کنید.  
  •  هیچ گاه و هیچگاه پسورد های خود را به شکل اعداد ، شماره تلفن ، asdfg انتخاب نکنید. 
  • از پسورد هایی که شامل اعداد و حروف لاتین (ترکیب) هستند استفاده کنید . [تصویر: photos.png] نمونه: 17# @ %!N-B?
  •  فریب مهندسی اجتماعی را نخورید .
  •  به طور منظم از داده های خود پشتیبان گیری نمایید
  • استفاده از کد امنیتی هنگام ورود به پنل مدیریت 
  •  همیشه نسخهی انجمن ساز خود را بروز رسانی کنید (از آخرین نسخه استفاده کنید )
  • به هر کس اعتماد و دسترسی پنل مدیریت رو ندهید . 
  • برای جلوگیری از نفوذ و افزایش امنیت پیشنهاد میکنم فرمت پیوست php رو حذف کنید 
  • غیر فعال بودن html در پست ها
  • سطح دسترسی فایل های دیتابیس config را تنظیم و کم کنید (حدل امکان) 
  • رمزگذاری فایل ها و پوشه های انجمن 
  • غیرفعال کردن ارسال پست توسط مهمان
  • خاموش کردن ورژن سایت
  • موفق باشید
  • حق انتشار برای مای بی بی ایران محفوظ می باشد

نکته: این تایپیک به علت کمبود وقت بنده آپدیت [به روز] نخواد شد  Heart

© mybbiran




و همیشه به یاد داشته باشید : 
امنیت 100% در دنیای مجازی وجود ندارد 

موفق باشید  Cool

.jpg   2.jpg (اندازه: 46.06 KB / تعداد دفعات دریافت: 116)

.jpg   1.jpg (اندازه: 81.02 KB / تعداد دفعات دریافت: 119) ]]> با آموزش بالابردن امنیت انجمن در خدمتتون هستم ...
اَمنیَّت حالت فراغت نسبی از تهدید یا حمله و یا آمادگی برای رویارویی با هر تهدید و حمله را گویند. امنیت از ضروری ترین نیازهای یک وب سایت یا انجمن است.
این آموزش در هشت مرحله + نکات کلیدی امنیتی را به صورت گام به گام و آموزش هایی در خصوص بالابردن امنیت در اختیار شما عزیزان قرار میدهد . 

خب بریم سراغ آموزش  Wink

مرحله ی اول :

 1 : در ابتدا انتخاب یک هاست مناسب در امر امنیت خبلی مهم است .
1.1 انتخاب هاستینگ 
انتخاب هاست مناسب یکی از  مهم ترین نکات امنیتی است که وبمستر ها باید مد نظر داشته باشند .
چند نمونه از هاستینگ های معتبر :

کد php:
http://farswebhost.com
http://parsmizban.com
http://ashiyanehost.com
http://hostdl.com
http://parsmizban.com
http://www.netafraz.com 
توجه کنید هدف ما از نام بردن چند هاستینگ بالا تبلیغ نیست بلکه شما میتوانید به اختیار از هر هاستینگی استفاده کنین ! 
توجه:  پس بیاد داشته باشید اولین قدم برای امنیت یک سایت یا انجمن انتخاب یک هاست امن است .

مرحله ی دوم :

تغییر نام پنل مدیریت 
2 : با استفاده از آموزش زیر از دسترسی افراد غیر مجاز به پنل مدیریت جلوگیری کنید .
(برای افزایش امنیت پیشنهاد میشود)

تغییر نام Admin CP (مسیر کنترل پنل مدیر کل)

2.1:تغییر نام فایل config.php 
(جهت افزایش امنیت توصیه میشود)
تغییر نام فایل config.php 

نکته 2.0: با استفاده از این دو روش ممکن است شما پلاگینی نصب کرده باشید که در فایل های پیشفرض (پلاگین) اسم پوشه admin  در آن ذکر شده باشد و باید تغییرات را ست کنید تا مشکلی پیش نیاد . همچنین در خصوص فایل config.php این امر صدق میکند . 

مرحلهي سوم :
3.0 : اگر فکر میکنید استفاده از روش های بالا مناسب نیستند ما یک روش دیگر برای محدود سازی پنل مدیر کل به شما پیشنهاد میکنیم . 

با استفاده از این روش میتوانید پنل مدیریت خود را فقط برای آی پی مورد نظر نمایش بدین !
وارد پنل هاست خود شوید (دایرکت ادمین ، سی پنل ) و پوشه ی admin  خود را بیابید .

حال آنرا باز کنید و یک فایل به نام  htaccess. بسازید سپس کد های زیر را درون آن قرار دهید . 
کد php:
<files index.php>
deny from all
allow from 198.168.1.1
</files> 
حال به جای اعداد 198.168.1.1 که آدرس آی پی میباشد آی پی خود یا شخصی که میخواهید پنل مدیر کل فقط برای آن نمایش داده شود را وارد کنید . 

3.1 : روش بدست آوردن آی پی ip: 
در سیستم [ ویندوز 7 ] خود مسیر زیر را دنبال کنید :
استارت >> کنترل پنل >> Network and sharing >> سپس change adapter settings >> و Connection >> مورد نظر را باز کنید . سپس Details را زده تا آی پی خود را ببینید . 
اگر آی پی شما یک رنج متغییر است بهتر است به صورت زیر وارد شود 
کد php:
deny from all
allow from 10.30.* 

10.30 رنج آی پی شما است آنرا با توجه به رنج آی پی خو تغییر دهید . 
3.2:  وارد کردن چند آی پی ip

برای مثال شما 3 مدیر در انجمن دارید که حتما باید به پنل مدیریت دسترسی داشته باشند پس باید سه نوع آی پی وارد کنید .

کد php:
deny from all
allow from 1.1.1.1
allow from 2.2.2.2
allow from 3.3.3.3 


کد:
allow from 1.1.1.1
allow from 2.2.2.2
allow from 3.3.3.3
سه آی پی مورد نظر را وارد کنید 
طبق این روش میتوانید محدودیت های آی پی را تغییر دهید .

نکتهی 3 : پیشنهاد میشه نام پنل ادمین رو تغییر و فاک پیج (در ادامه توضیح داده شده ) بسازید سپس آی پی را هم محدود کنید .  Wink
 مرحله چهارم : 
4: ساخت  فیک پیج (Fake Admin CP) برای انجمن  
اگر نام پنل ادمین خود را تغییر داده اید و میخواهید یک صفحه ی جعلی برای فریب افراد غیر مجاز (هکر ها ) بسازید ما آموزش زیر را به شما پیشنهاد میکنیم .:: با استفاده از این پلاگین هر شخصی که بخواهد به طور غیر مجاز به پنل مدیریت دسترسی پیدا کند را شناسایی و آی پی و گذرواژه ای که برای نفوذ به پنل وارد کرده است را برای شما ایمیل میکند .:: ! 

[font=PTahoma, Tahoma, Verdana, Arial, sans-serif]آموزش ساخت فیک پیج (Fake Admin CP)[/font]

4.1 : انتخاب یک گذرواژه برای پوشه های انجمن 
4.1 : گذاشتن گذرواژه بر روی پوشه ی admin یا پوشه ای که شما با هر نامی جهت جلوگیری از دسترسی افراد بیگانه ایجاد کرده اید 
برای این کار به پنل هاست خود مراجعه کنید سپس فایل منیجر را باز کرده و پوشه ی مورد نظر را انتخاب و بر روی  protect کلیک کنید تا صفحه مورد نظر برای شما ظاهر شود . 

مرحله اول : 
[تصویر: attachment.php?aid=9028]


مرحله دوم : 
[تصویر: attachment.php?aid=9027]


نکته 4.0 : جهت امنیت بیشتر گذرواژهي خود را ترکیبی از اعداد و حروف لاتین انتخاب کنید . و از انتخاب گذرواژه های ساده و رایج بپرهیزید . 

نکته 4.1: با استفاده از آموزش بالا میتوانید بر روی پوشه های دیگر انجمن خود گذرواژه بگذارید . 

مرحله پنجم : 


5: خب ابتدا تایپیک زیر که برای خیلی وقت پیش هم هست رو با دقت مطالعه کنید و پلاگین های آسیپ پذیر را شناسایی و غیر فعال کنید . 

لیست پلاگین های آسیب پذیر

توصیه ما به شما :

پلاگین هایی که در لیست بالا آمده است را غیر فعال و از هاست خود حذف نمایید و یا آخرین نسخه (نسخه برطرف شده مشکلات) آنرا نصب کنید . 


نکته5: احتمال زیاد تا الان باید نسخه ی جدید این پلاگین ها عرضه شده باشه . 
نکته5.1: به لیست بالا اکتفا نکنید و خودتان دست به کار شوید و تمام پلاگین های خود را چک کنید . 

مرحله ششم: 
به طور  منظم از دیتابیس انجمن خود بک آپ تهیه کنید . 


 آموزش بک آپ گیری از دیتابیس

6.1: بهینه سازی دیتابیس : 
با استفاده از این آموزش میتوانید دیتابیس انجمن خود را به صورت اتوماتیک ( طبق زمانی که شما مایل هستید ) بهینه سازی کنید . 
آموزش بهینه سازی خودکار دیتابیس


 6.2: چند روش جلوگیری از اسپمر ها !
دوستان در  تایپیک زیرچندروش ساده اما کاربردی را برای مقابله با اسپمر ها ذکر میکنیم .  

 چند روش جلوگیری از اسپمر ها !


مای بی بی به طور پیشفرض تنظیماتی دارد که تاحدودی با اسپمر ها مقابله کرده ما به چند روش پیشفرض و چند پلاگین کاربردی اشاره میکنیم . 

 6.3 : شناسایی کاربران دارای چند حساب کاربری

با استفاده از این پلاگین میتوانید کاربرانی که با استفاده از یک آی پی چند حساب کاربری ساخته اند را بیابید 

 شناسایی کاربران دارای چند حساب کاربری
6.4 : ثبت آی پی ip کاربران میهمان هنگام ارسال پست یا پاسخ جدید
آموزش ثبت آی پی ip کاربران میهمان هنگام ارسال پست + هنگام ارسال پست کد امنیتی هم داره که برای جلوگیری از اسپم و تخلف به کار گرفته شده
 [همانند ویکی پدیا]

ثبت آی پی ip کاربران میهمان هنگام ارسال پست یا پاسخ جدید



مرحلهی هفتم :

7.0:  از اونجایی که جدیدا مشاهده کردم فایلsearch.php مای بی بی یکم مشکل داشت (ظاهرا برطرف شده) اما پیشنهاد ما به شما این است که جستجوی انجمنتون رو با گوگل تنظیم کنید ( آموزش آن در انجمن موجود است )


7.2: هسته ی مای بی بی از امنیت بالایی برخوردار است
 هر پلاگینی دوست دارید یا خوشتان اومد دلیل بر این نیست که بی خطر باشه ! تا جایی که ممکنه از پلاگین ، قالب ، کد اضافی  روی انجمن استفاده نکنید. از سایت های نامعتبر پلاگین یا فایلی دانلود نکنید ! حتما از مرجع پارسی مای بی بی ایران فایل های پارسی شده پلاگین ها را دانلود کنید و قبل از آپلود اون خودتون هم تست کنید فایل ویروسی نباشه ! (اکثر انجمن هایی که دیفیس میشن به خاطر وجود باگ تو پلاگیناشون یا ... کد هایی هست که استفاده میکنن ! ) 

7.3: ویروس زدایی کامپیوتر شخصی 

یک روش‌ رایج برای هکران انتشار ویروس و تروجان در سطح اینترنت است . معمولاً این نرم‌افزارهای مخرب بدون اطلاع مدیران انجمن ها یا وب سایت ها که در حال استفاده از کامپیوتر ، موبایل و یا کافی نت آلوده می‌باشند تمامی رمز عبورها را مخفیانه برای هکر ارسال می کنند و هکر ها به راحتی از اینکه  رمز های مورد استفاده لو رفته سایت یا انجمنتون رو  را هک می‌کنند.
از اینکه سیستمتون امن و ویروسی نیست مطمئن شید !  از یک ضد ویروس قوی و اورجینال استفاده کنید!  


7.4: نصب پلاگین ، قالب ، ... کرک شده (قفل شکسته)

یک روش رایج و شایع اینه که افرادی پلاگین ها یا نرم افزار ها یا ... را کرک میکنن بعد داخل اون یک سری تروجان هایی به کار میبرن سپس به صورت رایگان در اینترنت پخشش میکنن و چون رایگانه اکثرا ازش  استفاده میکنن و بعد از نصب این گونه موارد انجمن یا سایت شما عملا دو دستی تقدیم هکر شده و در یک وقت مناسب به سایت نفوذ میکنه ! 

مرحله ی هشتم : 
8.0: برای جلوگیری از سوء استفاده های احتمالی میزان دفعاتی که کاربر رمز خود را اشتباه وارد می کند را محدود کنید . (از پنل مدیریت مای بی بی )


8.1: برای مطمئن شدن از عضویت کاربران که  یک ربات نیستند نوع فعال سازی عضویت ها را حتماً از طریق ایمیل قرار دهید. 



و در نهایت نکات کلیدی : 
  • حتماٌ بعد ازآپلود فایل های فشرده zip درهاست و پس از اکسترکت کردن آن نسخه ی فشرده ی آنرا حذف کنید.  
  •  هیچ گاه و هیچگاه پسورد های خود را به شکل اعداد ، شماره تلفن ، asdfg انتخاب نکنید. 
  • از پسورد هایی که شامل اعداد و حروف لاتین (ترکیب) هستند استفاده کنید . [تصویر: photos.png] نمونه: 17# @ %!N-B?
  •  فریب مهندسی اجتماعی را نخورید .
  •  به طور منظم از داده های خود پشتیبان گیری نمایید
  • استفاده از کد امنیتی هنگام ورود به پنل مدیریت 
  •  همیشه نسخهی انجمن ساز خود را بروز رسانی کنید (از آخرین نسخه استفاده کنید )
  • به هر کس اعتماد و دسترسی پنل مدیریت رو ندهید . 
  • برای جلوگیری از نفوذ و افزایش امنیت پیشنهاد میکنم فرمت پیوست php رو حذف کنید 
  • غیر فعال بودن html در پست ها
  • سطح دسترسی فایل های دیتابیس config را تنظیم و کم کنید (حدل امکان) 
  • رمزگذاری فایل ها و پوشه های انجمن 
  • غیرفعال کردن ارسال پست توسط مهمان
  • خاموش کردن ورژن سایت
  • موفق باشید
  • حق انتشار برای مای بی بی ایران محفوظ می باشد

نکته: این تایپیک به علت کمبود وقت بنده آپدیت [به روز] نخواد شد  Heart

© mybbiran




و همیشه به یاد داشته باشید : 
امنیت 100% در دنیای مجازی وجود ندارد 

موفق باشید  Cool

.jpg   2.jpg (اندازه: 46.06 KB / تعداد دفعات دریافت: 116)

.jpg   1.jpg (اندازه: 81.02 KB / تعداد دفعات دریافت: 119) ]]> <![CDATA[مشکل امنیتی پر رواج در سایت ها !]]> https://community.mybbiran.com/thread-16990.html Sat, 27 Sep 2014 16:16:16 +0330 evil1378]]> https://community.mybbiran.com/thread-16990.html
متاسفانه من در سایت های مختلف مشکلات امنیتی ( Bug ) های زیادی رو مشاهده کردم که بعضی از اون ها متعلق به مای بی بی بود . ( البته با کمک دوستان ! )

پیشنهاد میشه حتما به امنیت سایتتان بیشتر اهمیت دهید .

برای امنیت می تونید :

از پسور های شامل عدد ، حروف بزرگ ، حروف کوچک و کاراکتر های خاص ( مانند: ◙ ) استفاده کنید .
پسورد کوتاه نگذارید .
آدرس پنل مدیریت ( بطور پیشفرض admin هست ) تغییر دهید .
اگه حساس هستید از سی پنلتون هم تو ادرس پنل مدیریت رمز بگذارید و ...

این مطلب رو به افتخار mybbiran  اختصاصی نوشتم !

Heart mybbiran  Heart
]]>
متاسفانه من در سایت های مختلف مشکلات امنیتی ( Bug ) های زیادی رو مشاهده کردم که بعضی از اون ها متعلق به مای بی بی بود . ( البته با کمک دوستان ! )

پیشنهاد میشه حتما به امنیت سایتتان بیشتر اهمیت دهید .

برای امنیت می تونید :

از پسور های شامل عدد ، حروف بزرگ ، حروف کوچک و کاراکتر های خاص ( مانند: ◙ ) استفاده کنید .
پسورد کوتاه نگذارید .
آدرس پنل مدیریت ( بطور پیشفرض admin هست ) تغییر دهید .
اگه حساس هستید از سی پنلتون هم تو ادرس پنل مدیریت رمز بگذارید و ...

این مطلب رو به افتخار mybbiran  اختصاصی نوشتم !

Heart mybbiran  Heart
]]> <![CDATA[.:::: تاپیک آموزش امنیت و راههای مقابله با هک :::.]]> https://community.mybbiran.com/thread-19123.html Fri, 07 Jun 2013 16:55:46 +0430 MR.XpR]]> https://community.mybbiran.com/thread-19123.html
با عرض سلام خدمت کاربران محترم مای بی بی ایران .

این تاپیک در جهت آموزش راههای افزایش امنیت و جلوگیری از نفوذ به انجمن های عزیزان زده شده است . و سعی میکنم آموزش های تصویری قرار بدهم .

لطفا اسپم ندید و در صورت سوال از پیام خصوصی استفاده کنید .

در ابتدا از دوستان میخام ابزار Acunetix Web Vulnerability Scanner رو از لینک زیر دریافت کنند و انجمن های خودشون رو یک اسکن بزنند تا چک بشه ببینیم چه پورت هایی باز دارند و چه مشکلات امنیتی البته این ابزار پابلیک هست و اگر آسیب پذیری ها 0day باشد نتیجه ای حاصل نمیشود ، ولی باز هم کمک میکند .

دانلود اسکنر

ادامه دارد ...
با توجه به آموزشی که دوست عزیزمون PArs برای افزایش امنیت MyBB گذاشته اند باید عرض کنم این آموزش 2 مشکل دارد .

تغییر نام AdminCp و Config.php

http://community.mybbiran.com/thread-61.html
http://community.mybbiran.com/thread-62.html

اولین مشکل اشاره به ایجاد مشکل و اختلال در بعضی از پلاگین ها میباشد که با آدرس و نام پیشفرض تعریف شده ، و اینو عرض کنم اگر قرار به خواندن فایل کانفیگ باشد میتوان از دایرکتوری هدف مورد نظر یک کپی گرفت که در نهایت فایل کانفیگ هم شناسایی میشود . (از طریق سرور)

دومین مشکل شناسایی صفحه ادمین تغییر داده شده از طریق اسکنر ها میباشد ، ابزارهایی مثل اسکنر های آسیب پذیری ، اسکنر های صفحات لاگین که از folderCrawling استفاده میکنند میتوانند فولدر های داخل روت سایت هدف را شناسایی و نشان بدهند که حتی اگر اسم ادمین را تغییر داده باشیم باز هم صفحه پیدا میشود .

اما راه جلوگیری چیست ؟

برای کانفیگ نیازی به تغییر نام نیست ، چون امنیتیش کمتر و خسارتش بیشتر میباشد . به جای این کار با چندین کد و سطح دسترسی میتوان امنیت را بهبود بخشید .

برای شناسایی نشدن و نمایش داده نشدن صفحه لاگین هم میتونید از ترفند زیر استفاده کنید .

فرض میکنیم آدرس صفحه لاگین سایت شما این میباشد :

کد:
Site.com/admin

حال ما میخواهیم کاری کنیم که این صفحه تنها برای یکنفر (خودمان که ادمین هستیم) نمایش پیدا کند و نه برای هیچکس دیگری .

از طریق کنترل پنل هاست (دایرکت ادمین ، سی پنل ، کولکسو و ...) به مسیر مورد نظر میرویم :

کد:
site.com/admin

داخل پوشه ادمین یک فایل با نام .htaccess ایجاد مینماییم . و کد زیر را درون آن کپی مینماییم :


کد:
<files index.php>
order allow,deny
allow from 198.168.1.1
</files>

بجای Ip 198.168.1.1 ای پی خودتان را قرار دهید ، برای پیدا کردن IP خودتان میتوانید از لینک های زیر استفاده کنید .

iranserver.com/ip
iranhack.org/ip
و ....

در نهایت ذخیره نمایید ، حال تنها شما به صفحه لاگین وبسایت خود دسترسی دارید و کس دیگری نمیتواند به آن وارد شود .

در صورتی که در دفعات بعدی IP شما تغییر کرد به مراجعه به پوشه Admin و ویرایش فایل htaccess ایپی جدید خود را جایگزین نمایید .

برای فایل کانفیگ هم بهتر است سطح دسترسی را به 644 تغییر دهید . اگر حتی هکر با سیمیلینک بتواند سرور شما را مورد نفوذ قرار دهد و فایل کانفیگ شما را به دست بیاورد در لحظه ای که میخواهد لاگین کند صفحه ای مشاهده نمیکند .

که اگر کرنل های سرور بروز باشد و یک سری مسائل امنیتی که در ادامه پست ها آموزش خواهیم داد رعایت شود سرور هم از لحاظ امنیت 99 % خواهد بود .

این نکته را متذکر میشوم که شما باید بروز باشید تا اگر 0day از سیستم مای بی بی بیاید سریعا پچ نمایید زیرا 0day اگر آسیب پذیری Remote باشد خطر ساز میباشد .

ادامه دارد ....

تشکر نشانه رضایت شماست ...
همیشه نفوذ از ترفند های خیلی حرفه ای و سخت انجام نمیشود و گاهی اوقات خیلی راحت تر این حرف هاست ....

قرار دادن فایل zip بر روی سرور های خودتان یک بی احتیاطی بزرگ میباشد چرا که اگر فایل کانفیگ در بسته مورد نظر باشد میتواند به دیتابیس بصورت ریموت متصل شد و ...

بارها توی بیشتر تست های نفوذ پذیری که داشتم با چنین اشتباهاتی مواجه شدم .

یکی دیگر از اشتباهات عزیزان قرار دادن پسورد های خیلی ساده میباشد .

کنترل پنل شما به همراه صفحه لاگین نرم افزار تحت وب مکانهایی هستند که هدف خوبی برای هکر ها میباشند حال اگز سیستم و سرور از لحاظ امنیت در مرتبه بالایی بود یک تست Brute Force توسط نفوذ گر چیزی را از او کم نمیکند Big Grin

و شاید با پسورد هایی از قبیل اعداد حروف متوالی و .... برخورد کند که در نهایت پسورد سیستم را شناسایی میکند.

بعضی از افراد پسورد سایت های خود را 123456 و یا شماره تلفن و یا asdfg و.... قرار میدهند که این خود یک اشتباه بزرگ میباشد .

بد ندونستم این نکات رو هم اشاره کنم . به پسورد لیستی که براتون اتچ کردن یه نگاهی بندازید بد نیست !

سعی کنید در هنگام ایجاد پسورد از کلماتی مثل حروف کوچک و بزرگ و # @ % & * ( ? و... استفاده نمایید .

همچنین توی بحث امنیت به هیچکس اعتماد نکنید جز شرکت های امنیتی برای کانفیگ ، یکی از روش های نفوذ که خیلی هم جواب میده Social Engineering یا همون مهندسی اجتماعی میباشد .
خود من که در زمینه امنیت و نفوذ فعالیت دارم یکبار و فقط یکبار توسط یکی از دوستانم فریب خوردم و وبسایتم دیفیس شد و تنها همان ضربه کافی بود تا دیگر به کسی اعتماد نکنم ، با وجود اینکه امنیت سرور و سایت بالا بود و فرد به نظر (دوست ما) نتوانسته بود نفوذ کند از طریق خنده دوستی و بحث اعتماد به رفاقت جلو آمد و از انجایی که بنده خیلی رفیق باز بودم ، یوزر و پسورد را در اختیار دوستم گذاشتم و ایشون هم صفحه اصلی رو تغییر داد الان هم شدن هکر Tongue اسمشم نمیگم چون هنوز یه جو مرام دارم Big Grin

بگذریم این اعمال کار های بچه گانه ای است که متاسفانه این روزها گریبان گیر فضای سایبری ایران شده و رنج سنی 11 تا 21 سال معمولا علاقه شدیدی به دیفیس کردند دارند پس اگر شخصی برای افزایش امنیت به شما پیشنهاد داد قبول نکنید . در پایان این بحث به مقاله زیر توجه کنید :

----


Social Engineering

خیلی ها وقتی اسم عبارت «مهندسی اجتماعی» را می شنوند فکر می کنند که با یک جور رشته تخصصی کامپیوتری روبرو هستند. اما برعکس، مهندسی اجتماعی یک روش برای دسترسی به اطلاعات است که در آن از مهارت های فنی و مهندسی استفاده نمی شود. بلکه از مهارت های اجتماعی بهره برداری می شود.



بگذارید ماجرا را با یک مثال شرح دهیم. شما در دفتر کارتان در اداره نشسته اید و مشغول کار هستید. تلفن زنگ می زند. گوشی را برمی دارید. من پشت تلفن هستم و خودم را محمدی مسوول شبکه سازمان معرفی می کنم. به شما می گویم که ما در حال انجام تغییراتی روی سیستم مدیریت نامه های اداری هستیم و از شما می خواهم که هم اکنون رمز عبور حساب کاربری تان را به e54eFg5 تغییر دهید.



شما هم این کار را انجام می دهید. تمام شد. حالا شما رمز عبورتان را دو دستی تقدیم من کرده اید! من مسوول شبکه شما نبوده ام و فقط وانمود به این کار می کردم. شما خیلی راحت به من اعتماد کردید و من با استفاده با این روش که نام آن را «مهندسی اجتماعی» گذاشته اند رمز عبورتان را به سرقت بردم.



مهم است که با انواع روش های مهندسی اجتماعی آشنا شوید. روش های دیگری که ممکن است به کار برده شود از این قبیل است:



- ایمیل هایی که به شما ارسال می شود و از شما درخواست ارسال رمز عبور یا تغییر رمز عبور را به دلایل مختلف می کند.



- تلفن هایی که گفته میشود ما از مراکز بازبینی یا تحقیقاتی هستیم و برای تحقیقاتمان به رمز عبور شما یا نام کاربری تان نیاز داریم.



- افرادی که وانمود می کنند پزشک هستند و سعی می کنند به پرونده های پزشکی افراد دسترسی پیدا کنند و رمزهای عبور پرونده های دیجیتالی را درخواست می کنند.



- افراد تعمیرکار سخت افزار کامپیوتر که ادعا می کنند هارد دیسک کامپیوتر آسیب دیده است و اطلاعات آن قابل بازیابی نیست و برای بازیابی آطلاعات رمز عبور را در خواست می کنند و یا می خواهند هارد دیسک کامپیوتر را باز کرده و برای تعمیر ببرند. این افراد بعدا اطلاعات را به شرکت های رقیب و یا کشورهای خارجی می فروشند.



حملات مهندسی اجتماعی خطرناک ترین نوع حملات هستند و جلوگیری از آنها یکی از سخت ترین کارها است چرا که این حملات فنی نیستند. فرد حمله کننده معمولا در سازمان ها و شرکت ها به دنبال کسانی می گردد که کمترین اطلاعات امنیتی را در این زمینه دارد و به راحتی می توان از وی اطلاعات گرفت. بهترین روش مقابله با آنها آموزش به کاربران و آگاهی دادن نسبت به وجود این گونه حملات و انواع آنها است.



پس همیشه مراقب مهندسی اجتماعی باشید.


ادامه دارد ...]]>
با عرض سلام خدمت کاربران محترم مای بی بی ایران .

این تاپیک در جهت آموزش راههای افزایش امنیت و جلوگیری از نفوذ به انجمن های عزیزان زده شده است . و سعی میکنم آموزش های تصویری قرار بدهم .

لطفا اسپم ندید و در صورت سوال از پیام خصوصی استفاده کنید .

در ابتدا از دوستان میخام ابزار Acunetix Web Vulnerability Scanner رو از لینک زیر دریافت کنند و انجمن های خودشون رو یک اسکن بزنند تا چک بشه ببینیم چه پورت هایی باز دارند و چه مشکلات امنیتی البته این ابزار پابلیک هست و اگر آسیب پذیری ها 0day باشد نتیجه ای حاصل نمیشود ، ولی باز هم کمک میکند .

دانلود اسکنر

ادامه دارد ...
با توجه به آموزشی که دوست عزیزمون PArs برای افزایش امنیت MyBB گذاشته اند باید عرض کنم این آموزش 2 مشکل دارد .

تغییر نام AdminCp و Config.php

http://community.mybbiran.com/thread-61.html
http://community.mybbiran.com/thread-62.html

اولین مشکل اشاره به ایجاد مشکل و اختلال در بعضی از پلاگین ها میباشد که با آدرس و نام پیشفرض تعریف شده ، و اینو عرض کنم اگر قرار به خواندن فایل کانفیگ باشد میتوان از دایرکتوری هدف مورد نظر یک کپی گرفت که در نهایت فایل کانفیگ هم شناسایی میشود . (از طریق سرور)

دومین مشکل شناسایی صفحه ادمین تغییر داده شده از طریق اسکنر ها میباشد ، ابزارهایی مثل اسکنر های آسیب پذیری ، اسکنر های صفحات لاگین که از folderCrawling استفاده میکنند میتوانند فولدر های داخل روت سایت هدف را شناسایی و نشان بدهند که حتی اگر اسم ادمین را تغییر داده باشیم باز هم صفحه پیدا میشود .

اما راه جلوگیری چیست ؟

برای کانفیگ نیازی به تغییر نام نیست ، چون امنیتیش کمتر و خسارتش بیشتر میباشد . به جای این کار با چندین کد و سطح دسترسی میتوان امنیت را بهبود بخشید .

برای شناسایی نشدن و نمایش داده نشدن صفحه لاگین هم میتونید از ترفند زیر استفاده کنید .

فرض میکنیم آدرس صفحه لاگین سایت شما این میباشد :

کد:
Site.com/admin

حال ما میخواهیم کاری کنیم که این صفحه تنها برای یکنفر (خودمان که ادمین هستیم) نمایش پیدا کند و نه برای هیچکس دیگری .

از طریق کنترل پنل هاست (دایرکت ادمین ، سی پنل ، کولکسو و ...) به مسیر مورد نظر میرویم :

کد:
site.com/admin

داخل پوشه ادمین یک فایل با نام .htaccess ایجاد مینماییم . و کد زیر را درون آن کپی مینماییم :


کد:
<files index.php>
order allow,deny
allow from 198.168.1.1
</files>

بجای Ip 198.168.1.1 ای پی خودتان را قرار دهید ، برای پیدا کردن IP خودتان میتوانید از لینک های زیر استفاده کنید .

iranserver.com/ip
iranhack.org/ip
و ....

در نهایت ذخیره نمایید ، حال تنها شما به صفحه لاگین وبسایت خود دسترسی دارید و کس دیگری نمیتواند به آن وارد شود .

در صورتی که در دفعات بعدی IP شما تغییر کرد به مراجعه به پوشه Admin و ویرایش فایل htaccess ایپی جدید خود را جایگزین نمایید .

برای فایل کانفیگ هم بهتر است سطح دسترسی را به 644 تغییر دهید . اگر حتی هکر با سیمیلینک بتواند سرور شما را مورد نفوذ قرار دهد و فایل کانفیگ شما را به دست بیاورد در لحظه ای که میخواهد لاگین کند صفحه ای مشاهده نمیکند .

که اگر کرنل های سرور بروز باشد و یک سری مسائل امنیتی که در ادامه پست ها آموزش خواهیم داد رعایت شود سرور هم از لحاظ امنیت 99 % خواهد بود .

این نکته را متذکر میشوم که شما باید بروز باشید تا اگر 0day از سیستم مای بی بی بیاید سریعا پچ نمایید زیرا 0day اگر آسیب پذیری Remote باشد خطر ساز میباشد .

ادامه دارد ....

تشکر نشانه رضایت شماست ...
همیشه نفوذ از ترفند های خیلی حرفه ای و سخت انجام نمیشود و گاهی اوقات خیلی راحت تر این حرف هاست ....

قرار دادن فایل zip بر روی سرور های خودتان یک بی احتیاطی بزرگ میباشد چرا که اگر فایل کانفیگ در بسته مورد نظر باشد میتواند به دیتابیس بصورت ریموت متصل شد و ...

بارها توی بیشتر تست های نفوذ پذیری که داشتم با چنین اشتباهاتی مواجه شدم .

یکی دیگر از اشتباهات عزیزان قرار دادن پسورد های خیلی ساده میباشد .

کنترل پنل شما به همراه صفحه لاگین نرم افزار تحت وب مکانهایی هستند که هدف خوبی برای هکر ها میباشند حال اگز سیستم و سرور از لحاظ امنیت در مرتبه بالایی بود یک تست Brute Force توسط نفوذ گر چیزی را از او کم نمیکند Big Grin

و شاید با پسورد هایی از قبیل اعداد حروف متوالی و .... برخورد کند که در نهایت پسورد سیستم را شناسایی میکند.

بعضی از افراد پسورد سایت های خود را 123456 و یا شماره تلفن و یا asdfg و.... قرار میدهند که این خود یک اشتباه بزرگ میباشد .

بد ندونستم این نکات رو هم اشاره کنم . به پسورد لیستی که براتون اتچ کردن یه نگاهی بندازید بد نیست !

سعی کنید در هنگام ایجاد پسورد از کلماتی مثل حروف کوچک و بزرگ و # @ % & * ( ? و... استفاده نمایید .

همچنین توی بحث امنیت به هیچکس اعتماد نکنید جز شرکت های امنیتی برای کانفیگ ، یکی از روش های نفوذ که خیلی هم جواب میده Social Engineering یا همون مهندسی اجتماعی میباشد .
خود من که در زمینه امنیت و نفوذ فعالیت دارم یکبار و فقط یکبار توسط یکی از دوستانم فریب خوردم و وبسایتم دیفیس شد و تنها همان ضربه کافی بود تا دیگر به کسی اعتماد نکنم ، با وجود اینکه امنیت سرور و سایت بالا بود و فرد به نظر (دوست ما) نتوانسته بود نفوذ کند از طریق خنده دوستی و بحث اعتماد به رفاقت جلو آمد و از انجایی که بنده خیلی رفیق باز بودم ، یوزر و پسورد را در اختیار دوستم گذاشتم و ایشون هم صفحه اصلی رو تغییر داد الان هم شدن هکر Tongue اسمشم نمیگم چون هنوز یه جو مرام دارم Big Grin

بگذریم این اعمال کار های بچه گانه ای است که متاسفانه این روزها گریبان گیر فضای سایبری ایران شده و رنج سنی 11 تا 21 سال معمولا علاقه شدیدی به دیفیس کردند دارند پس اگر شخصی برای افزایش امنیت به شما پیشنهاد داد قبول نکنید . در پایان این بحث به مقاله زیر توجه کنید :

----


Social Engineering

خیلی ها وقتی اسم عبارت «مهندسی اجتماعی» را می شنوند فکر می کنند که با یک جور رشته تخصصی کامپیوتری روبرو هستند. اما برعکس، مهندسی اجتماعی یک روش برای دسترسی به اطلاعات است که در آن از مهارت های فنی و مهندسی استفاده نمی شود. بلکه از مهارت های اجتماعی بهره برداری می شود.



بگذارید ماجرا را با یک مثال شرح دهیم. شما در دفتر کارتان در اداره نشسته اید و مشغول کار هستید. تلفن زنگ می زند. گوشی را برمی دارید. من پشت تلفن هستم و خودم را محمدی مسوول شبکه سازمان معرفی می کنم. به شما می گویم که ما در حال انجام تغییراتی روی سیستم مدیریت نامه های اداری هستیم و از شما می خواهم که هم اکنون رمز عبور حساب کاربری تان را به e54eFg5 تغییر دهید.



شما هم این کار را انجام می دهید. تمام شد. حالا شما رمز عبورتان را دو دستی تقدیم من کرده اید! من مسوول شبکه شما نبوده ام و فقط وانمود به این کار می کردم. شما خیلی راحت به من اعتماد کردید و من با استفاده با این روش که نام آن را «مهندسی اجتماعی» گذاشته اند رمز عبورتان را به سرقت بردم.



مهم است که با انواع روش های مهندسی اجتماعی آشنا شوید. روش های دیگری که ممکن است به کار برده شود از این قبیل است:



- ایمیل هایی که به شما ارسال می شود و از شما درخواست ارسال رمز عبور یا تغییر رمز عبور را به دلایل مختلف می کند.



- تلفن هایی که گفته میشود ما از مراکز بازبینی یا تحقیقاتی هستیم و برای تحقیقاتمان به رمز عبور شما یا نام کاربری تان نیاز داریم.



- افرادی که وانمود می کنند پزشک هستند و سعی می کنند به پرونده های پزشکی افراد دسترسی پیدا کنند و رمزهای عبور پرونده های دیجیتالی را درخواست می کنند.



- افراد تعمیرکار سخت افزار کامپیوتر که ادعا می کنند هارد دیسک کامپیوتر آسیب دیده است و اطلاعات آن قابل بازیابی نیست و برای بازیابی آطلاعات رمز عبور را در خواست می کنند و یا می خواهند هارد دیسک کامپیوتر را باز کرده و برای تعمیر ببرند. این افراد بعدا اطلاعات را به شرکت های رقیب و یا کشورهای خارجی می فروشند.



حملات مهندسی اجتماعی خطرناک ترین نوع حملات هستند و جلوگیری از آنها یکی از سخت ترین کارها است چرا که این حملات فنی نیستند. فرد حمله کننده معمولا در سازمان ها و شرکت ها به دنبال کسانی می گردد که کمترین اطلاعات امنیتی را در این زمینه دارد و به راحتی می توان از وی اطلاعات گرفت. بهترین روش مقابله با آنها آموزش به کاربران و آگاهی دادن نسبت به وجود این گونه حملات و انواع آنها است.



پس همیشه مراقب مهندسی اجتماعی باشید.


ادامه دارد ...]]> <![CDATA[آموزش ساخت فیک پیج (Fake Admin CP)]]> https://community.mybbiran.com/thread-13563.html Mon, 01 Apr 2013 16:58:48 +0430 HOssE!N-B]]> https://community.mybbiran.com/thread-13563.html دوستان عزیز آموزش ساخت فاک پیج رو براتون میذارم امیدوارم به کارتون بیاد Smile

نکته : این صفحه یک صفحه جعلی ورود به پنل مدیر کل است  (تفاوت ؟ این یک صفحه تقلبی جهت فریب هکر ها و مهاجمین میباشد )
هنگامی که شخصی بخواهد به پنل شما دسترسی پیدا کند با این صفحه روبه رو خواهد شد  و اگر نام کاربری و رمز ورود مدیر کل را هم داشته باشد نمیتواند وارد پنل مدیر کل شود و با خطای اشتباه بودن نام کاربری یا یوزر میشود .

[تصویر: photos.png] نمونه:
[تصویر: attachment.php?aid=4649]

[تصویر: attachment.php?aid=6320]

آموزش ساخت فاک پیج :

1=> ابتدا نام /directory/admin رو تغییر میدیم  طبق آموزش زیر

تغییر نام Admin CP (مسیر کنترل پنل مدیر کل)

2=> سپس پلاگین زیر را دانلود کنید و در هاست خود در جایی که مای بی بی را نصب کرده اید آپلود نمایید .

پلاگین امنیتیAdmin CP Honeypot

3=>سپس پلاگین را از پنل مدیر کل فعال کنید و تنظیماتش را تغییر دهید . (تنظیماتش پیشفرض است و شما باید آدرس ایمیل خود رو بهش بدین تا هنگام حمله به صفحه ادمین شما  آدرس ip  مهاجم رو ارسال کنه)


توجه :

این افزونه  و آموزش 100 %  امنیت پنل شما را تامین نمیکنند .
فقط یکی از چندین راه های امنیتی به منظور افزایش سطح امنیتی انجمن شما میباشد .

موفق باشید . Wink]]> دوستان عزیز آموزش ساخت فاک پیج رو براتون میذارم امیدوارم به کارتون بیاد Smile

نکته : این صفحه یک صفحه جعلی ورود به پنل مدیر کل است  (تفاوت ؟ این یک صفحه تقلبی جهت فریب هکر ها و مهاجمین میباشد )
هنگامی که شخصی بخواهد به پنل شما دسترسی پیدا کند با این صفحه روبه رو خواهد شد  و اگر نام کاربری و رمز ورود مدیر کل را هم داشته باشد نمیتواند وارد پنل مدیر کل شود و با خطای اشتباه بودن نام کاربری یا یوزر میشود .

[تصویر: photos.png] نمونه:
[تصویر: attachment.php?aid=4649]

[تصویر: attachment.php?aid=6320]

آموزش ساخت فاک پیج :

1=> ابتدا نام /directory/admin رو تغییر میدیم  طبق آموزش زیر

تغییر نام Admin CP (مسیر کنترل پنل مدیر کل)

2=> سپس پلاگین زیر را دانلود کنید و در هاست خود در جایی که مای بی بی را نصب کرده اید آپلود نمایید .

پلاگین امنیتیAdmin CP Honeypot

3=>سپس پلاگین را از پنل مدیر کل فعال کنید و تنظیماتش را تغییر دهید . (تنظیماتش پیشفرض است و شما باید آدرس ایمیل خود رو بهش بدین تا هنگام حمله به صفحه ادمین شما  آدرس ip  مهاجم رو ارسال کنه)


توجه :

این افزونه  و آموزش 100 %  امنیت پنل شما را تامین نمیکنند .
فقط یکی از چندین راه های امنیتی به منظور افزایش سطح امنیتی انجمن شما میباشد .

موفق باشید . Wink]]> <![CDATA[تغییر نام فایل config.php]]> https://community.mybbiran.com/thread-62.html Mon, 03 Aug 2009 12:32:11 +0430 Pars]]> https://community.mybbiran.com/thread-62.html
در کنترل پنل هاس، به مسیری که مای بی بی را نصب کرده اید بروید:
1- فایل inc/init.php را برای ویرایش باز کرده و کد زیر را پیدا کنید:
کد php:
if(!file_exists(MYBB_ROOT."inc/config.php")) 
نام config.php را تغییر دهید.
در ادامه در همان فایل کد زیر را پیدا کنید:
کد php:
require_once MYBB_ROOT."inc/config.php"; 
در اینجا هم config.php را تغییر دهید.

2- در پوشه inc ، فایل config.php را پیدا کرده و rename کنید.

توجه: هر سه نامی که تغییر می کند باید یکسان باشد.]]>
در کنترل پنل هاس، به مسیری که مای بی بی را نصب کرده اید بروید:
1- فایل inc/init.php را برای ویرایش باز کرده و کد زیر را پیدا کنید:
کد php:
if(!file_exists(MYBB_ROOT."inc/config.php")) 
نام config.php را تغییر دهید.
در ادامه در همان فایل کد زیر را پیدا کنید:
کد php:
require_once MYBB_ROOT."inc/config.php"; 
در اینجا هم config.php را تغییر دهید.

2- در پوشه inc ، فایل config.php را پیدا کرده و rename کنید.

توجه: هر سه نامی که تغییر می کند باید یکسان باشد.]]>