[شرح] : سد و ترقيع جميع الثغرات و حماية المنتدى

31 - 03 - 2010, 17:16 السندبآد متواجد حاليآ بالمنتدى

السندبآد

مشرف
ركن نادي Google

بيانات موقعي

اسم الموقع: مدونة جوجل العرب

اصدار المنتدى: مدونات

سد و ترقيع جميع الثغرات و حماية المنتدى | احمي منتداك من الاختراق

السلام عليكم و رحمة الله و بركاته

اليوم سنقوم بعمل ترقيعات بسيطه لبرنامج الـ vBulletin و طبعاً ليست مثل الترقيعات التي كنا نسمع عنها قديماً مثل ثغره بالمتواجدون الأن و ثغره بالتقويم و ثغره بالأسئله الشائعه لا لا إحتمال هذا كان يوجد في النسخ القديمه لكن النسخ الجديده اكثر حمايه و امان من النسخ القديمه ( لذلك ننصح بالترقيه المستمر إلي آخر إصدار حتى نتفادي أي اخطاء برمجيه او ثغرات في الإصدارات القديمه )

سنقوم في هذا الدرس بعمل ترقيعات لثغرات خفيفه مثل ثغره التحويل ( و التي يمكن سدها عن طريق الكلمات الممنوعه ) و لكن سنقوم سدها عن طريق التعديل على الملفات حتى لا نسبب بعض المشاكل في المنتدى بسبب منع كلمات يمكن ان تكون ضرورية لصاحب المنتدى

يلا مش هكتر عليكم في الكلام و هنبدأ بالشرح بإذن الله حتى لا يحدث اي ملل خصوصاً انه الدرس هيكون اليوم كله تعديلات على ملفات و اضافات فسوف يكون الدرس شرح كتابي ..

* ثغرة التحويل :-

نقوم بفتح الملف newthread.php بأي محرر نصي و ليكن الـ Notepad .

نقوم بالبحث عن الكود التالي

رمز PHP:


			
$newpost['title'] =& $vbulletin->GPC['subject'];

نقوم بإستبداله بالكود التالي

رمز PHP:


			
//------------ Protect-Sites.CoM ---------------

        $bandWordsR=strtolower(& $vbulletin->GPC['subject']);

        if(!(eregi('content',$bandWordsR)

        or  eregi('refresh',$bandWordsR)

        or eregi('equiv',$bandWordsR)

        or eregi('<meta>',$bandWordsR)

        or eregi('meta',$bandWordsR)))

        {

        $newpost['title'] =& $vbulletin->GPC['subject'];

        }

        else

        {

        $newpost['title'] =htmlspecialchars_uni(& $vbulletin->GPC['subject']);

        }

        if( eregi('script',$bandWordsR)

        and eregi('window',$bandWordsR)

        and eregi('javascript',$bandWordsR)

        and eregi('location',$bandWordsR))

        $newpost['title'] ='';

 

 

//------------ Protect-Sites.CoM ---------------

لو قمنا بالتدقيق بالكود نلاحظ انه يوجد به الكلمات التي نقوم بمنعها و للمعلوميه هذه الكلمات الممنوعه تكون ممنوعه في محتوى الموضوع او عنوان الموضوع أي لا تؤثر على شئ ثاني في المنتدى

-- إنتهينا من سد ثغرة التحويل عن طريق الكود الذي يتم وضعه بالمواضيع

ثغرة التحويل بهاك الإهداءات :-

كل ما عليك هو تركيب الإصدار الجديد منه و هو الإصدار الخامس .. حيث عند تركيبك للإصدار الجديد لن تحتاج الي التعديل على ملفات و سد اي ثغرات حيث تم سد الغرات بالإصدار الجديد و خالي من اي مشاكل .

بعد ذلك نقوم إضافة هاك منع استغلال ثغرة التحويل في الاحصائيات + آخر عشر مواضيع والهاك موجود بالمرفقات بإسم product-protect_from_xss

ملاحظات مهمه :-
- تأكد من انه تم تعطيل لغه الـ HTML من جميع اقسام المنتدى .
- تأكد من ان الهاكات التي تقوم برفعها خاليه من الثغرات و ايضاً عليك الترقيه المستمره لأي هاكات يتم صدور اصدار جديد منها حتى تتفادي اي ثغرات موجوده بالإصدارات القديمه .

** إنتهينا من سد ثغرات التحويل و ترقيعها **

الأن نأتي إلي سد الثغرات التي تتعلق بالإستايل و إختراق الإستايل .

سنقوم الأن بترقيع ثغرة spacer_open و spacer_close .. تابع معي ،

نقوم بفتح الملف global.php الموجود داخل مجلد المنتدى الرئيسي بأي محرر نصي و ليكن Notepad

نقوم بالبحث عن

رمز PHP:


			
fetch_template('spacer_open')

نقوم بتغير spacer_open إلي أي أسم نريده .

مثال قمت بتغيره إلي magic_open فأصبح الكود على الشكل التالي

رمز PHP:


			
fetch_template('magic_open')

ثم نقوم بالبحث عن

رمز PHP:


			
fetch_template('spacer_close')

و نقوم بتغير spacer_close إلي اي اسم أخر و لكن ليس نفس الإسم الذي قمنا بتغيره في الخطوه السابقه

مثال قمت بتغيره إلي magic_close فأصبح الكود على الشكل التالي

رمز PHP:


			
fetch_template('magic_close')

قم بحفظ الملف بعد ذلك

الأن نقوم بالذهاب الي لوحة التحكم admincp و من ثم نقوم بإختيار خيارات الإستايلات و القوالب > التحكم بالإستايلات

ثم نقوم بالضغط على إضافة قالب جديد

نضع مكان إسم القالب أول اسم قمنا بتغيره ( أنا قمت بتغيره إلي magic_open )

ثم نضع الكود التالي في محتوى القالب

رمز PHP:


			
<!-- open content container -->

<if condition="$show['old_explorer']">

    <table cellpadding="0" cellspacing="0" border="0" width="$stylevar[outertablewidth]" align="center"><tr><td class="page" style="padding:0px $stylevar[spacersize]px 0px $stylevar[spacersize]px">

<else />

<div align="center">

    <div class="page" style="width:$stylevar[outerdivwidth]; text-align:$stylevar[left]">

        <div style="padding:0px $stylevar[spacersize]px 0px $stylevar[spacersize]px">

</if>

ثم اضغط حفظ

ثم نقوم بإضافة قالب جديد مره أخرى

نضع مكان إسم القالب أول اسم قمنا بتغيره ( مثلاً انا قمت بتغيره إلي magic_close )

ثم نضع الكود التالي في محتوى القالب

رمز PHP:


			
<if condition="$show['old_explorer']">

 </td></tr></table>

<else />










  </div>

 </div>

</div>

</if>

<!-- / close content container -->

ثم اضغط حفظ

نقوم بطبيق هذا على جميع الإستايلات التي تستخدمها ..

الأن باقي عليك رفع هاك تعطيل تلغيم الإستايل و هو موجود بالمرفقات .

** إنتهينا من حماية الإستايل **

- ثغرة فلود التسجيل :-

يتم حل هذه الثغره عن طريق تفعيل صورة التحقق في التسجيل و تكون عن طريق التالي

خيارات المنتدى > خيارات تسجيل الأعضاء > التحقق من الصورة ( إختر نعم )

**إنتهينا من ثغرة فلود التسجيل **

انتهى وبالتوفيق

الملفات المرفقة

	product-protect_from_xss.zip (843 بايت, عدد مرات المشاهدة 625 مرة)
	تعطيل إستغلال تلغيم الستايل.zip (593 بايت, عدد مرات المشاهدة 674 مرة)

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

حمل ون, أبو سيف, mianold و 2 آخرون معجبون بهذا.

توقيع السندبآد

مدونة جوجل العرب

اعتذر عن قلة تواجدي في المعهد بسبب الخدمه العسكريه علي حدود مصر الغاليه في سينا فانا حاليا في الجيش ضابط علي حدود سينا دعواتكم

رقم المشاركة : [ 2 ]

31 - 03 - 2010, 17:20 دلع قايز غير متواجد حاليآ بالمنتدى

دلع قايز .:: عضو متألق ::.	: رائئع ماشاءالله ,, كفيت و وفيت :$ ~ : يعطيك العافيه يالغلا ~ دلع قايز أضفني كصديق مشاركة هذا الرد في Digg Del.icio.us Technorati Twitter
دلع قايز .:: عضو متألق ::.	توقيع دلع قايز " ( سبحان الله وبحمده . . سبحان الله العظيم ) .. > ♥

رقم المشاركة : [ 3 ]

31 - 03 - 2010, 23:46 دمعة عمر غير متواجد حاليآ بالمنتدى

دمعة عمر

:: عضو نشيط ::

بيانات موقعي

اسم الموقع: شات دمعة عمر

اصدار المنتدى: 3.8.7

الف شكر لك
تم العمل

www.d-3amr.com/vb

دمعة عمر

أضفني كصديق

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

توقيع دمعة عمر

شبكة دمعة عمر النسائية
اول موقع رومانسي على الانترنت

الموقع - www.d-3amr.com
المنتديات - www.d-3amr.com/vb
المدونة- www.d-3amr.com/blog
مكتبة الالعاب - www.d-3amr.com/games
ترجمة النصوص- www.d-3amr.com/tarjm
دليل المواقع- www.d-3amr.com/links

WwW.D-3AMR.CoM
سبحان الله وبحمده ... سبحان الله العظيم

رقم المشاركة : [ 4 ]

01 - 04 - 2010, 00:01 ولد حرب غير متواجد حاليآ بالمنتدى

ولد حرب

:: عضو نشيط ::

بيانات موقعي

اسم الموقع: حرب حرابة الدول

اصدار المنتدى: 3.8.7

الله يـعـطـيـك الـعـافيـــــــــــة
بيض الله وجهك

ولد حرب

أضفني كصديق

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

رقم المشاركة : [ 5 ]

01 - 04 - 2010, 00:10 R a K a n متواجد حاليآ بالمنتدى

R a K a n

:: مشرف ::
:: ركن مشاكل وحلول المنتديات ::

بيانات موقعي

اصدار المنتدى: لا أملك منتدى

يعطيك العافيه اخوي السندباد

شرح لا بأس به ولكن ليست الحمايه الكافيه

واذا مافي حمايه بالسيرفر لاتتعب نفسك وتسوي حمايه للمنتدى

R a K a n

أضفني كصديق

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

توقيع R a K a n

باك ..رجعنا بعد الإختبارات .. لك وحشه ياقسمي العزيز

[شرح] بالصور لتنفيذ أمر على قاعدة البيانات

السرعة بالرد = السرعه بالحل

رقم المشاركة : [ 6 ]

01 - 04 - 2010, 00:32 شات غير متواجد حاليآ بالمنتدى

شات

:: عضو نشيط ::

بيانات موقعي

اصدار المنتدى: Facebook

كفيت و وفيت

تسلم خيووو

شات

أضفني كصديق

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

توقيع شات

أَلَمْ يَأْنِ لِلَّذِينَ آمَنُوا أَن تَخْشَعَ قُلُوبُهُمْ لِذِكْرِ اللَّهِ

رقم المشاركة : [ 7 ]

01 - 04 - 2010, 01:33 فنتاستك غير متواجد حاليآ بالمنتدى

فنتاستك

:: عضو نشيط ::

بيانات موقعي

اسم الموقع: موقعي

اصدار المنتدى: لا أملك منتدى

شكرا لك

================
هل ممكن اعرف اين هذه الثغره
مني . او ملفات المنتدى
او السيرفر

اختراق المنتدى برفع استايل على لوحة التحكم باتش وتغيير قالب الفروم هوم لجميع الاستايل
وحذف مواضيع المنتدىرقم واحد واثنين

علماً ان المنتدى محمي بنفس طريقتك رابط لوحة التحكم متغير وغير مسجل في الكونقفير
يعني رابط خاص

وين المشكله هل هي بالسيرفر

فنتاستك

أضفني كصديق

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

توقيع فنتاستك

حين اموت..!
لن تكتب صحف الصباح نعى!
ولن تفتقدنى الفراغات المعلقه...
سيتبادل من كانو اصدقائى
موتى عبرsms
ويحتل رجل اخر
مكانى في الحياه
لن تبكى عليا سوى
امى..!
انتهت الحكايه
....

رقم المشاركة : [ 8 ]

01 - 04 - 2010, 02:14 حمل ون غير متواجد حاليآ بالمنتدى

حمل ون

:: عضو نشيط ::

بيانات موقعي

اصدار المنتدى: 3.8.4

يعطيك العافيه شرح واضح ومميز تستاهل ++

حمل ون

أضفني كصديق

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

رقم المشاركة : [ 9 ]

01 - 04 - 2010, 03:01 شعار الحرية غير متواجد حاليآ بالمنتدى

شعار الحرية

:: عضو نشيط ::

بيانات موقعي

اصدار المنتدى: 3.8.4

شكرا جزيلا

شعار الحرية

أضفني كصديق

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

اللوٍرٍد ميدوٍ معجب بهذا.

رقم المشاركة : [ 10 ]

01 - 04 - 2010, 19:08 السندبآد متواجد حاليآ بالمنتدى

السندبآد

مشرف
ركن نادي Google

بيانات موقعي

اسم الموقع: مدونة جوجل العرب

اصدار المنتدى: مدونات

شكرا على مروركم

واكيد حماية السيرفر جزء اساسي لحماية المنتدى وسلامته

وبالتوفيق لكم

السندبآد

أضفني كصديق

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

توقيع السندبآد

مدونة جوجل العرب

اعتذر عن قلة تواجدي في المعهد بسبب الخدمه العسكريه علي حدود مصر الغاليه في سينا فانا حاليا في الجيش ضابط علي حدود سينا دعواتكم

رقم المشاركة : [ 11 ]

07 - 06 - 2010, 05:40 محمد عياد غير متواجد حاليآ بالمنتدى

محمد عياد

:: عضو نشيط ::

بيانات موقعي

اسم الموقع: مدرستي دوت كوم

اصدار المنتدى: منتج اخر

خالص الشكر والتقدير على هذا المجهود الكبير

محمد عياد

أضفني كصديق

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

توقيع محمد عياد

████████████████
مدرستي دوت كوم
████████████████

رقم المشاركة : [ 12 ]

07 - 06 - 2010, 05:53 عجزت آفهمك غير متواجد حاليآ بالمنتدى

عجزت آفهمك

:: عضو نشيط ::

بيانات موقعي

اسم الموقع: منتدى عجزت آفهمك

اصدار المنتدى: 3.8.4

يعطيك العافيه اخوي

عجزت آفهمك

أضفني كصديق

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

توقيع عجزت آفهمك

admin

hkm911.com

0533665886

رقم المشاركة : [ 13 ]

07 - 06 - 2010, 06:02 sIsQo غير متواجد حاليآ بالمنتدى

sIsQo

.:: عضو متألق ::.

بيانات موقعي

اصدار المنتدى: 3.8.5

مبدع يا بطل

تحياتي

sIsQo

أضفني كصديق

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

توقيع sIsQo

برب

رقم المشاركة : [ 14 ]

07 - 06 - 2010, 08:20 سلاف غير متواجد حاليآ بالمنتدى

سلاف

:: عضو نشيط ::

بيانات موقعي

اصدار المنتدى: صفحتي

هل فعلا الاهداءات تم سد ثغراته

يعني هل اركبه بامان او لا

سلاف

أضفني كصديق

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

رقم المشاركة : [ 15 ]

07 - 06 - 2010, 08:35 h-qlbi.com غير متواجد حاليآ بالمنتدى

h-qlbi.com

:: عضو نشيط ::

بيانات موقعي

اسم الموقع: شبكة

اصدار المنتدى: 3.8.7

مشكور ويعطيك الف عافية لكن التعديل في الاهدائات القديم

h-qlbi.com

أضفني كصديق

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

توقيع h-qlbi.com

أدوات الموضوع
عرض صفحة طباعة الموضوع ارسال الصفحة الى صديق
طرق العرض
العرض العادي الانتقال الى العرض المتطور الانتقال الى العرض الشجري

سد و ترقيع جميع الثغرات و حماية المنتدى | احمي منتداك من الاختراق

السلام عليكم و رحمة الله و بركاته اليوم سنقوم بعمل ترقيعات بسيطه لبرنامج الـ vBulletin و طبعاً ليست مثل الترقيعات التي كنا نسمع عنها قديماً