Báo cáo đồ án bảo mật forum VBB

BÁO CÁO MÔN HỌC: SECURITY+ ĐỀ TÀI: SECURITY FORUM VBB LỜI MỞ ĐẦU Hiện Tin học Việt Nam phát triển mạnh mẽ , Các Website cá nhân, diễn đàn (forum) nhiều Tất nhiên từ sinh hacker anh chàng chập chững vào nghề mò mẫm tìm phiên lỗi ứng dụng Web shopping Online, loại forum viết ngôn ngữ PHP rong phải kể đến diện hai loại forum phổ biến nói toàn giới Invision Board Forum(IBF) Vbulletin Board (VBB) Với nội dung phong phú, nơi trao đổi học sinh trường phổ thông hay nhóm người, tổ chức hacker ,…Có forum chuyên hacking bảo mật, âm nhạc, giao lưu học hỏi, …nói chung đa dạng phong phú Nhưng bảo mật vấn đề bách website, để chống lại công , để yên tâm trước đe dọa mũ đen tin học Và đề án “Sercurity cho Forum VBB “ hi vọng góp phần cho công việc bảo mật Webmaster với ứng dụng VBB MỤC LỤC LỜI MỞ ĐẦU Chương 1: Khái quát Bảo Mật 1.Khái niệm bảo mật……………………………………………4 2.Khái niệm Forum…………………………………………… 3.Tại phải bảo mật Forum…………………………………… Chương 2: Các phương pháp bảo mật cho Forum VBB 1.Khái niệm Forum VBB……………………………………….6 2.Các phương pháp bảo mật cho Forum VBB…………………….7 2.1 Chống Hack Local………………………………………… 2.2 Đổi tên xóa file thư mục dung file rotbos.txt…………………8 2.3 Không nên truy cập phiên nhất………… 2.4 Không nên Hack nhiều MOD………………………… 2.5 Chống Flood cho diễn đàn………………………………… 2.6 Không nên sử dụng số từ ……………………………….9 2.7 Xóa Cooki-e lần trước logout………………………9 2.9 Đặt file index.html htpasswd………………………….9 2.10 Dùng kỹ thuật Local Attack VBB………………… 2.11 Dùng DnP Firewall…………………………………… 11 2.12 Remo Vesion From VBB………………………………… 13 2.13 Thường xuyên vào trang bảo mật……………………15 2.14 Thêm khóa bảo vệ cho thư mục file CHMOD… 15 2.15 Thêm khóa bảo vệ thư mục Admincp…………………… 15 2.16 Một số cách đơn giản khác……………………………… 15 Một số mô hình bảo mật cho VBB…………………………….17 4.Ứng dụng bảo mật Forum VBB……………………………23 KẾT LUẬN Chương 1: Khái quát bảo mật 1.Khái niệm bảo mật Bảo mật hạn chế khả lạm dụng tài nguyên tài sản Bảo mật trở nên đặc biệt phức tạp quản lý, vận hành hệ thống thông tin có sử dụng công cụ tin học, nơi xảy lan tràn nhanh chóng việc lạm dụng tài nguyên (các thông tin di chuyển vô hình mạng lưu trữ hữu hình vật liệu) lạm dụng tài sản (các máy tính, thiết bị mạng, thiết bị ngoại vi, phần mềm quan người sở hữu hệ thống) Hạn chế có ý triệt phá hết việc lạm dụng, cần sẵn sàng đề phòng khả xấu với phương cách thích hợp chuẩn bị xử lý cố có việc lạm dụng xảy An toàn hệ thống thông tin thực chất đảm bảo an ninh mức độ chấp nhận Muốn hệ thống thông tin an toàn trước hết phải có đảm bảo thông tin sở mạng truyền liệu thông suốt Sau chữ an toàn thưởng có chữ bảo mật để mở rộng khía cạnh đảm bảo bí mật nội dung thông tin.Như vậy, an toàn bảo mật hệ thống thông tin đảm bảo hoạt động lưu thông nội dung bí mật cho thành phần hệ thống mức độ chấp nhận Ý nghĩa việt bảo mật Ai có trang với toàn hàng độc, không muốn người khác chôm chỉa ko nói làm Nhưng trang thuộc dạng mã nguồn mở, ko có để che dấu lại phải tăng thêm tính bảo mật Khi bảo mật kém, hacker lấy pass admin, tự tạo nick admin (root kinh), ddos, phá hoại ngầm forum, cài virut, hack acc diễn đàn/ website khác, bị xóa tê liệt hoàn toàn forum Đôi khi, bạn host domain Bạn đừng nghĩ không gây thù oán với ko bị hack Có thể có hacker rảnh rỗi, có thằng spam, bị bạn ban hack (hoặc gọi người quen hack hộ) Có nhiều chứng minh cho việc bảo mật vô quan trọng 2.Khái niệm Forum Forum (Diễn đàn điện tử) Website nơi người trao đổi, thảo luận, bày bỏ ý kiến vấn đề quan tâm Các vấn đề thảo luận lưu giữ dạng trang tin Đây hình thức thảo luận không trực tiếp, bạn đưa thảo luận lên Forum có vài ngày, vài tuần, chí vài tháng sau có người trả lời vấn đề bạn 3.Tại phải bảo mật Forum? Ai có trang với toàn hàng độc, không muốn người khác chôm chỉa ko nói làm Nhưng trang thuộc dạng mã nguồn mở, ko có để che dấu lại phải tăng thêm tính bảo mật Khi bảo mật kém, hacker lấy pass admin, tự tạo nick admin (root kinh), ddos, phá hoại ngầm forum, cài virut, hack acc diễn đàn/ website khác, bị xóa tê liệt hoàn toàn forum Đôi khi, bạn host domain Bạn đừng nghĩ không gây thù oán với ko bị hack Có thể có hacker rảnh rỗi, có thằng spam, bị bạn ban hack (hoặc gọi người quen hack hộ) Có nhiều chứng minh cho việc bảo mật vô quan trọng.Để bảo mật trang forum mình, bạn có nhiều cách cách lại có ưu/ nhược riêng.Cũng sử dụng nhiều phương án bảo mật forum đôi khi, chúng gặp xung đột Chương 2: Các phương pháp bảo mật Forum VBB 1.Khái niệm Forum VBB VBB viết tắt từ VBulletin Board giải pháp dùng để xây dựng cộng đồng internet (forum).Ưu điểm giao diện đẹp, tính bảo mật cao, quản lý dễ dàng, nhiều chức vB viết PHP sử dụng sở liệu chủ yếu MySQL.Là mã nguồn có thu phí cung cấp Hãng : Jelsoft Enterprises Limited, Website :http://vBulletin.com giá khoảng 160 $ cho Owned License Nhưng Internet có nhiều phiên hack NULL dành cho khả mua quyền, HS,SV Việt Nam Về việc cài đặt diễn đàn bạn nên cài đặt mã nguồn mới, không nên dùng lại mã nguồn người khác Share với tiêu đề Share Vbb 3.64 Full Mod + Skin , với phiên vbb share kiểu rắc rối & phiền phức cho sử dụng vB a.Thông tin chung vBulletin phần mềm tạo diễn đàn phổ biến Internet phát triển cung cấp hãng vBulletin Solutions Ngày 29/08/2010, lỗ hổng phiên 3.8.4 3.8.5 phần mềm phát cho phép hacker tạo account có tên trùng với tên account có sẵn b Mô tả kỹ thuật Lỗ hổng phát nằm chức đăng kí thành viên diễn đàn Thông thường forum Vbb có chức kiểm tra không cho phép đăng kí thành viên có trùng tên Tuy nhiên, account đăng kí có tên tên account có trước (VD: admin) cộng thêm với kí tự: � (admin�), trình kiểm tra cho thấy account khác nhau, thao tác xử lý liệu trước lưu account vào database VBB xóa kí tự “�” làm cho account có tên trùng với account có Điều không gây nhầm lẫn mà nhập nhằng làm cho chức gửi private message hoạt động sai dẫn tới message gửi đến cho account cũ gửi tới cho account trùng tên đăng kí sau c Cập nhật vá Đánh giá lỗ hổng nghiệm trọng, Bkis khuyến cáo cá nhân, tổ chức sử dụng vBulletin phiên 3.8.4 3.8.5 nhanh chóng vá lỗ hổng theo hai phương pháp sau: Phương pháp 1: Đăng nhập vào admincp Chọn chức censorship Option Thêm &# vào phần Censored Words section Chọn Save Phương pháp2: Nâng cấp lên diễn đàn lên phiên (>3.8.5) Các phương pháp bảo mật cho Forum VBB 2.1 Chống Hack Local: Hack local ám ảnh diễn đàn, phương pháp hack dễ độ thành công cao Hacker công theo phương pháp cách nào? Đầu tiên họ làm để có hosting server với hosting bạn( mua thẻ tín dụng, hay mua tiền mặt) Sau upload lên host họ remview.php (script nhóm hacker Nga viết) Họ chạy script IE ví dụ: http://xxx.com/remview.php ; với tác dụng script , xem toàn user Server đó, chí xem nội dung file user Đối với forum IBF hacker xem nội dung file conf_global.php forum VBB xem nội dung file config.php thư mục Includes, file chưa thông tin sở liệu forum bạn Như họ biết thông số Cơ sở liệu forum (user DB,PassDB , Dbname) Qua hacker khai thác tài nguyên cách chạy forum chung Database với forum bạn, Drop (xóa) tất Dữ liệu forum bạn Để chống lại cách hack local bạn cần phải làm cho hacker xem nội dung file chứa thông tin sở liệu ChMod phương pháp tốt để chống ChMod thư mục file thư mục Forum ChMod thay đổi thuộc tính thư mục, file cho phép người khác xem , đọc, sửa chửa file bạn hay không Đầu tiên ChMod thư mục Public_html thành 710 711(nếu Server cho phép) Bạn Chmod tất thư mục thành 755, sau forum IBF Chmod file conf_global.php forum VBB chmod file config.php thành 644 Như hacker xem nội dung file quan trọng Thêm phương pháp bạn mã hóa (Zencode) nội dung hai file Phương pháp an toàn có hạn chế bạn quên thông tin sở liệu lấy lại , tham khảo Welcome to Zencode 2.2 Đổi tên , xóa thư mục, dùng file robots.txt: Các chương trình Scan Web xem cấu trúc website bạn, nhằm chống hạn chế bạn tham khảo cách sau: Đối với Forum VBB bạn tiến hành đổi tên thư mục AdminCP, ModCP file config.php Bạn tìm thay hai từ thành tên Sau đổi tên hai thư mục thành tên mà bạn đổi file config.php Xóa thư mục: Đối với hai loại forum bạn nên xóa thư mục install cài đặt xong Xóa file: Nếu bạn sử dụng forum IBF phiên 1.3 xóa file: ssi.php hacker chiếm đoạt quyền Admin thông qua file ssi.php Dùng file robots.txt: cách viết sử dụng file đăng nhiều số báo Echip, bạn xem lại Bạn mở thư mục includes mở tiếp file config.php Tìm đoạn sau: $config['Misc']['admincpdir'] = 'admincp'; $config['Misc']['modcpdir'] = 'modcp'; Thay admincp modcp tên mà bạn đổi cho thư mục Chú ý: Nên chèn ký tự dạng @,_,# vào tên thư mục đổi tên 2.3 Không nên cập nhật phiên nhất: Bởi nhà viết Source không nhận lỗi phiên nên bạn cần lưu ý, trình sử dụng nên chọn phiên bảo mật tốt, không bị lỗi để hacker khai thác Sau họ cập nhật cách sửa lỗi lúc bạn Upgrade lên chưa muộn 2.4 Không nên hack nhiều Mod: Đối với hai loại Forum phổ biến cập nhật thêm công dụng nhiều, trình phát sinh nhiều lỗi kĩ thuật (bug), bạn nên cập nhật Mod cần thiết cho forum 2.5 Chống flood cho diễn đàn : Ở hai loại forum có chế độ chống flood Bắt buộc phải xác nhận ảnh (gồm chuổi chữ, số đăng kí Định thời gian log out Vì bạn nên Enable chức Admin Control Panel 2.6 Không cho sử dụng số từ viết thành viên: Bạn nên bỏ chức sử dụng tag (thẻ html viết qua lấy thông tin thành viên khác.Loại bỏ số từ, kí tự: “,” , “;”, “//”, “/” 2.7 Xóa cooki-e lần logout: Mặc dù hai loại forum có chế độ tự động xóa cooki-e thành viên log out thường xuyên bị lỗi, sau logout tốt bạn nên vào Internet Option sau chọn Delete cooki-e 2.8 Gỡ bỏ chương trình Upload FTP: Một số chương trình lưu lại Username mật bạn nên sau hoàn thành Upload file cần thiết lên thư mục forum bạn nên gỡ bỏ chương trình này, vào Add/Remove Program để thực chức 2.9 Đặt file index.html file htpasswd thư mục dành riêng cho nhóm người đó: Đây phương pháp ngăn không cho người tự động khai thác tài nguyên cách vô tư , đồ “quý hiếm” dành cho nhóm người Diễn đàn Bạn tạo file index.html với nội dung để trống , sau upload lên thư mục cần bảo mật Thứ hai đặt file htpasswd với mật dành riêng cho nhóm người thư mục cần bảo mật 2.10 Dùng kỹ thuật Local Attack VBB Code: + Dựa vào config.php để lấy pass Dựa vào quyền ghi,sửa,xóa file host webmaster để ghi web rookit(Hoặc webshell) + Brute Force với diễn dàn không đặt chế dộ strike user + Sniffer password thông qua cấu hình lõng lẽo server + Cũng hacker vui tính có password webmaster từ trước Không loại trừ trường hợp dẫn đến kết cục tai hại bạn phải trả phí để Server Owner hồi phục lại liệu forum Với trường hợp chống nào? Rất nhiều lần anh em X hỏi Câu trả lời X làm ngược lại attacker Cũng giống câu đố Thường hầu hết webmaster sẻ cách làm ngược trình công đâu Kể bạn kẻ công X xin hỏi bạn làm việc phản lại kết bạn chưa Và sau phần cần đọc viết Thay đổi file cấu hình để tránh attacker đọc nội dung cấu hình(Username, Password & Database Name) * Đối với forum VBB đường dẫn file config thông thường: Code: + www://tênmiềncủabạn/đườngdẩnforum/includes/config.php /thưmụcforum/includes/config.php + A Các bước thay đổi file config Bước 1: tạo mội file nội dung giống file config.php đặt tên security.chuổi-ký-tự-ngẩu-nhiên.php Code: ví dụ: security.hello-hacker.php Bước 2: thêm cuối file config.php với nội dung: Code: unset($config); foreach (glob('thưmụcforum/includes/security.*.php') as $config_file) { include($config_file); } Sau thêm đoạn code vào cuối file bạn tự nhiên thay đổi nội dung file config.php nhằm đánh lừa attacker Thực file security.chuổi-ký-tự-ngẩu-nhiên.php file cấu hình diễn đàn bạn thay đổi chuổi ký tự giờ, ngày Tôi tin với tốc độ siêu chống mặt này, hacker sẻ khó lòng đoán path file cấu hình diễn đàn bạn B Thay đổi file config.php với Seevn Tookit * Tải file seevn4sevbb.php mục đính kèm Bước 1: upload file seevn4sevbb.php vào thư mục chứa forum Bước 2: chạy đường dẫn http://tênmiềncủabạn/đườngdẩnforum/seevn4sevbb.php http://yourweb.com/cpanel hay http://cpanel.yourweb.com Cũng vậy, folder admincp file config nên di chuyển đổi tên thay đặt mặc định Cũng tạo thêm spirit bảo vệ admincp tăng thêm bảng hỏi pass, bắt buộc link đến admincp từ IP bạn Sử dụng htpasswd htpasswd file dùng để sửa sever nên có công dụng việc bảo mật Sử dụng endcode unix password để mã hóa code Thêm đoạn spirit bảo mật (lên Google mà tìm ) Trích: Options +FollowSlinks RewriteEngine on RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?yourweb.com [NC] RewriteRule ^(.*).(php|html|asp|htm) antiddos.htm [NC] Sử dụng spirit bảo vệ Đây cách an toàn dễ gây chậm forum xung đột với nên tốt xài 1,2 thui Không nên cài nhiều.Firewall DNP: Nó firewall tương tác tốt với vbulletin File ddos_hunter.php (thợ săn ddos ) Trích: Sử dụng antidos: Tạo file antidos.htm đơn giản có câu lệnh gọi file antidos.js Và tạo file antidos.js: Trích: var currUrl = this.document.URL; var newUrl = currUrl.replace('#','?'); var re=/CODE/ var chk=re.test(currUrl); if (chk==1) { this.document.write("[Click vao day de xem noi dung]"); } else { this.document.write("[Click vao day de xem noi dung]"); } Một số mô hình bảo mật cho Forum VBB VD1: Tôi đưa giả thiết tài khoản Admin forum bạn bị chiếm lấy bất hợp pháp (thông qua đoán pass, cài troyzan, ăn cấp password cookie ) Vấn đề đặt phải có pass thứ để ngăn chặn bước chân kẻ muốn công forum bạn lại Thông thường số bạn dùng htaccess cung cấp cho bạn thêm cách làm nữa: Cách thiết lập: Bạn edit file global.php từ thư mục admincp diễn đàn (không phải global.php nằm bên index) -Bạn tìm [...]... window.setInterval("history.go(-1)", 5000); //history.go(-1); 2 4 Một số ứng dụng của bảo mật Forum VBB Hướng Dẫn Bảo Mật Forum vBulletin Trên Shared Hosting 4.1 Bảo mật cho admincp ! Các bạn sử dụng share host (hầu hết là cpanel ),thì đặt pass cho folder admincp Hình ảnh thu nhỏ Để xem hình lớn nhấn vào đây Nếu là cpanel ->... vào các Website Bảo mật để xem thêm thông tin và cách khắc phục các lỗi cho Diễn đàn của mình Trên Internet có nhiều forum chuyên về bảo mật cho lỗi của hai loại forum trên, đây là một số trang bạn có thể tham khảo: vBulletin® - Instant Community ; vBulletin.org Forum - The Official vBulletin Resource! ; Invision Power Services :: Community :: Board :: Home ; :: H V A O n l i n e :: 2.14 Bảo vệ thư mục... target='_self'>[Click vao day de xem noi dung]"); } 3 Một số mô hình bảo mật cho Forum VBB VD1: Tôi đưa ra một giả thiết rằng tài khoản Admin trên forum bạn bị ai đó chiếm lấy bất hợp pháp (thông qua đoán pass, cài troyzan, ăn cấp password cookie ) Vấn đề đặt ra ở đây là sẽ phải có một pass thứ 2 để ngăn chặn bước chân của kẻ muốn tấn công forum bạn lại chứ Thông thường thì một số bạn dùng htaccess tôi...* Nếu xảy ra lỗi vui lòng gửi đường dẫn forum của bạn trong bài trả lời bên dưới Sau khi cài đặt hoàn tất bạn có thể xóa file 2 Đặt pass thư mục Admincp để bảo mật Tạo 2 file htpasswd & htaccess trong thư mục http://tênmiềncủabạn/đườngdẩnforum/admincp Tạo file htpasswd với nội dung Code: tàikhoản:mậtkhẩu tàikhoản và mậtkhẩu ở đây là tài khoản mật khẩu sẻ truy vấn bạn nếu bạn vào thư mục admincp... cảm Bảo vệ các file/ folder nhạy cảm Những file sau vô cùng quan trọng và bạn nên dấu nó đi hoặc tăng cường các spirit để bảo mật: config.php admincp panel Cpanel là nơi quan trọng nhất nhưng bảo vệ nó thì mình ko làm gì dc nhiều bởi nó thuộc sever root, nhà cung cấp host sẽ lo vụ bảo mật cho nó Việc bạn cần làm là không để bị lộ ID và pass.Và di chuyển cpanel tới một nơi ko ai ngờ tới thay vì Trích: 2... di chuyển hoặc đổi tên thay vì đặt mặc định Cũng có thể tạo thêm các spirit bảo vệ admincp như tăng thêm 1 bảng hỏi pass, bắt buộc link đến admincp là từ IP của bạn Sử dụng htpasswd htpasswd là file dùng để sửa sever nên rất có công dụng trong việc bảo mật Sử dụng endcode unix password để mã hóa code Thêm các đoạn spirit bảo mật (lên Google mà tìm ) Trích: Options +FollowSlinks RewriteEngine on RewriteCond... CHMOD mặc định của thư mục là 755 và của 2 file là 644 2.15 Thêm khoá bảo vệ thư mục admincp Cpanel của host thường có chức năng đặt pass cho dir các bạn sử dụng để đặt pass cho dir admincp 2.16 Một số cách đơn giản khác Backup thường xuyên Backup mỗi ngày ít nhất 1 lần (nếu forum lớn) hoặc 1 tuần 1 lần (nếu forum nhỏ) và ít nhất 1 tháng backup toàn bộ file 1 lần Để làm được việc này một cách nhanh chóng,... mod quá nhiều Có một số mod làm giảm tính ăng bảo mật nên trước khi hack mod cần kiểm tra kỹ càng các mod đó Khi upload folder để hackmod, hãy Chmod nó thành 744 và các tệp thành 644 Tất cả folder đều có file index.htm Ngoại trừ folder root và admincp/ modcp Tất cả các folder đều cần file index.htm để tánh sự dòm ngó.Che dấu các file hoặc folder nhạy cảm Bảo vệ các file/ folder nhạy cảm Những file sau... skin và layout của trang Firewall nếu bạn biết về HTML từ trang dnp_fw_template.php nhưng bạn hãy tôn trọng quyền tác giả và không thay đổi thông tin Copyrights 2.12 Remove version from VBB (bỏ dòng version ở forum vbb) Đầu tiên bạn vào admin control panel Dưới Styles & Templates >Style Manager >Chọn skin mà bạn muốn sửa >Edit Templates > Edit Footer template Tìm: -... chắc chắn là bạn bật chế độ strike user Với chế độ này nếu user sai mật khẩu 5 lần trong thời gian 15 phút sẻ bị khóa 15 phút nếu bạn bỏ qua chế độ này, có thể một ngày nào đó bạn sẻ nhận vài ngàn request để crack mật khẩu của webmaster diễn đàn đó 4 Ẩn file chống virus và user cùng server view file Với linux CHMOD 0101 thư mục chứa forum của bạn Nếu CHMOD thành công, khi bạn vào thư mục thông qua CPanel ... quát Bảo Mật 1.Khái niệm bảo mật …………………………………………4 2.Khái niệm Forum ………………………………………… 3.Tại phải bảo mật Forum ………………………………… Chương 2: Các phương pháp bảo mật cho Forum VBB 1.Khái niệm Forum VBB …………………………………….6... án bảo mật forum đôi khi, chúng gặp xung đột Chương 2: Các phương pháp bảo mật Forum VBB 1.Khái niệm Forum VBB VBB viết tắt từ VBulletin Board giải pháp dùng để xây dựng cộng đồng internet (forum) .Ưu... height="21"> Một số ứng dụng bảo mật Forum VBB Hướng Dẫn Bảo Mật Forum vBulletin Trên Shared Hosting 4.1 Bảo mật cho admincp ! Các bạn sử dụng share host (hầu hết cpanel