Vbulletin Güvenlik Önlemleri

13 Aralık 2015

Vbulletin Güvenlik Önlemleri

1 : vBulletin kurulum bittikten sonra " install " klasörünü tamamen FTP den silin.

2 : Config Editleyerek Kendinizi güvenliğe alın ..

FTP den config.php yi indirin ve notepad yardımı ile açın.

Burada kullanıcı id numaranızı yazın.

PHP- Kodu:
$config['SpecialUsers']['undeletableusers'] = ' id numaranı yaz ';
Eğer bunu yapariseniz şifreniz çalındıgında kullanıcı adınız bile değişmez

3 : Admin & Moderatör panellerini saklayın.

FTP den " admincp " " modcp " isimlerini değiştirin.

www.siteadi.com/forum/adminpanelim
www.siteadi.com/forum/modpanelim

Gibi değiştirin..

Değişiklikleri yaptık config.php yi notepad yardımı ile açıyoruz.

PHP- Kodu:
$config['Misc']['admincpdir'] = 'admincp';
$config['Misc']['modcpdir'] = 'modcp';
Bunun yerine şöyle yazıyoruz.,

PHP- Kodu:
$config['Misc']['admincpdir'] = 'adminpanelim';
$config['Misc']['modcpdir'] = 'modpanelim';
Buda tamamdır. Devam edelim.

4 : Şimdi panellere şifre koyucaz. Panelleri sakladık. neden şifre koyucaz ? diyelimki admin şifreniz çalındı napıcaksınız ? adam şifrenizi çaldı giricek admin paneline index atıcak dimi kanında var çünküü..
Cpanelden şifre koyucazki içimiz rahat etsin çünkü onu bulamaz.

Cpanele giriyoruz.

www.siteadi.com/cpanel
böyle olur genelde..

Cpanelde " Password Protect Directories " bunu bulun. klasör resmi var üzerinde kilit resmi var. buna tıklayınz.

Şifrelemek istediğimiz klasörün yazısına tıklıyoruz.

FTP de adını değiştirdiğiniz : adminpanelim klasörünü görün ve onun üzerine tıklayınz.

Password protect this directory: Bu seçeneği onaylayın
Name the protected directory : bu panele giriş de, panel girişinde karşınıza çıkacak olan not kendiniz yazıcaksınız. onuda yazdıkdan sonra save (kaydet) diyin.

Create User: bu kısma geliyoruz.
Username: herhangi bi isim yazın
Password: şifrenizi girin(admin şifresinden apayrı bi şifre girinz)
Password (Again): şifreyi tekrarlayın..

yeni user yani yeni kullanıcı oluştur diyin. ve admin paneliniz şifrelenmiş olucak...

5 : Admin panelinden pdf eklentisini kaldır..

Adminc => Eklentileriniz => Eklenti Yönetimi

bu kısımdan pdf yi kaldırınız hatta bana kalırsa hepsini kaldırın

0 güvenlik diye birşey yoktur. Biz burada daha güvenlisini yapmaya çalışıyoruz.

Bir kaç genel bilgi..

1: Forumunuzu daima en yüksek sürümlere upgrade edin.

2: Tools.php dosyasının (vB3) websitenizde bulunmadığından emin olun. Bu dosya kesinlikle upload edilmemelidir. İşi bittikten sonra silinmelidir.

3: phpMyAdmin kullanıyorsanız, giriş kısmının şifrelendiğinden emin olun. Aksi taktirde herkes ulaşabilir.

4: Herhangi bir saldırıdan sonra tüm cpanel, FTP ve admin şifrelerinizi değiştirin.

5: Admin ve mod şifrelerinin en az 9-10 karakter olmasına, bu karakterlerin sayı ve harflerden oluşmasına dikkat edin. Şifreleriniz MD5 şeklinde şifrelendiği için hem harf hemde rakamla oluşan 10 karakterli bir şifrenin çözülmesi imkasız bile olabilir.

6: FORUMUNUZDA ASLA HTML KULLANIMINA İZİN VERMEYİN.

7: Sitenizi sağlam hostlara kurun. Forumunuz ne kadar güvenli olursa olsun hostunuz saldırı yediği zaman sizde etkileneceksiniz.

8: Sık sık DATABASE yedeği alın. Bazı Hosting firmaları her gün yedek alım işlemlerini gerçekleştirmektedir. Ben ayda 3-4 kez yedek alıyorum. Böylece saldırı yiyip, tablolara ve foruma herhangi bir zarar gelirse 1-2 günlik zararlıkları atlatıyorum.

Plugin eklenti fln yüklemeyin diyorlar bence yanlış

Eklentilerde sadece php dosyası olan eklentilere dikkat ediniz.
Bazıları o php dosyalarına değişik kodlar ekleyebilir bilginize. sağlam yerlerden alır iseniz sorun yok.

Sıfır bi vBulletin hacklemek oldukça zordur. Ama serverınızda açık var ise istediği kadar zor olsun Serverınıza dikkat edin.

Alıntı

Paylaş
- Share this post on
- Digg
- Del.icio.us
- Technorati
- Twitter

Jön TüRk bunu beğendi.

Üyelik tarihi

22 Şubat 2015

Bulunduğu yer

<?php include("config.php"); ?>

Mesajlar

5.501

Seslenildi

2935 Mesaj

Etiketlendi

293 Konu

Cevap: Vbulletin Güvenlik Önlemleri

13 Aralık 2015

Makale, genel olarak doğru ve yüzeysel bilgiler içerse de bazı yanlış bilgiler de içeriyor. Örneğin vBulletin eklentilerinin güvenliğiyle ilgili bölüm eksik ve hatalı bilgilerden oluşuyor. Yalnızca .php uzantılı eklentiler değil, özellikle .js uzantılı JavaScript kodları daha tehlikeli olabilir.

Bu konuda her zaman uyguladığım ve önerdiğim önlem şudur ki, vBulletin yazılımının resmî ürün forumu olan vBulletin.org adresinden eklentileri indirin. Bunun için lisanslı kullanıcı olmanız ve İngilizce bilmeniz gerekmektedir. Resmî ürün forumu vBulletin.org'a da lisansınızı tanımlamalısınız. Aksi takdirde eklentileri indiremezsiniz. Bu kaynak üzerinde bulunan eklentiler güvenlidir, %99 açık barındırmaz.

Kötü niyetli vBulletin destek sitelerinin bazıları veya siyah şapkalı (black hat) hackerlar, vBulletin'i lisanssız kullanan veya yukarıdaki bilgiye sahip olmayan zümreyi sömürmeyi düşünerek bazı eklentiler üzerinde "shell" açıkları bırakarak ve kaynak kodlamasını bozarak çeşitli platformlar üzerinden download ettiriyor. Exploit'lere davetiye çıkaran, bu amaçla vulnerable hâle sokulmuş eklentilere rastlamak da mümkün. Lisanssız vBulletin kullanıcıları da bu eklentilere hemen atlıyor. Özellikle biz Türkler arasında "Türkçeye çevrilmiş x eklentisi" veya "Türkçeleştirilmiş y plugini" olarak adlandırılan paylaşımlar oldukça ilgi görüyor, hackerlar da eklentileri Türkçeye çevirerek sistemlerinize kurmanızı sağlıyor ve amaçlarına ulaşmış oluyor. Hacklenen sitelerin çoğu açığı kaynak kodları değiştirilmiş, içerisine zararlı kodlar eklenerek açık yaratılmış eklenti yazılımları yüzünden hack'e maruz kalıyor.

Eklentiler kadar kurulan vBulletin dosyaları da önemlidir ve resmî sitesinden, lisanslı kullanıcılarca indirildiği ölçüde güvenilirdir. Yine kötü niyetli kişiler, cracklenmiş vBulletin'lerin içeriğini değiştirerek arka kapı açıkları bırakıyor ve kendilerine, istediklerinde rahatlıkla veritabanına erişip zarar verebilecek bir imkân tanıyor.

vBulletin güvenliği önemlidir. Özellikle her yerde bulunan kopyala-yapıştır makalelerden ziyade, eklenti ve kurulum dosyalarının "orijinal" olması en temel güvenlik aracıdır. Diğer önlemler de önemli olsa bile konuda kısaca değinildiği için bahsetmiyorum. Zaman bulabilirsem vBulletin güvenliğini daha geniş bir makalede ele alabilirim.

Küçük ama önemli bir not: Makalede kurulumdan sonra tools.php'nin FTP dizini üzerindeki install klasöründe bulunmamasına dikkat etmeniz gerektiği söylenmiş. Bu doğrudur, ancak buna ek olarak upgrade.php ve upgrade ile başlayan diğer dosyalar da güvenlik zaafiyeti oluşturabilir. Bazı kaynaklar install klasörünün adını değiştirmeyi önerse de bu klasörü tamamen silmek en güvenlisidir.