[ثغره] جميع الثغرات التي تم اكتشافها الى تاريخ الموضوع

30 - 04 - 2005, 17:34 Allulu غير متواجد حاليآ بالمنتدى

Allulu

.:: عضو متألق ::.

بيانات موقعي

اسم الموقع: مدرسة اللولو جرافكس التعليمية

اصدار المنتدى: 3.8.4

[ثغره] جميع الثغرات التي تم اكتشافها الى تاريخ الموضوع

بسم الله الرحمن الرحيم

أهلا و سهلا بكم إخواني الأحباء أعضاء المنتدى

تفضلوا الثغرات متسلسلة:

1- ثغرات في المجلدات admincp و includes و modcp و install و طريقة ترقيعها

طريقة حماية هذه المجلدات سهلة جدا اضغط هنا و ستجد رابط الموضوع عن كيفية حماية أي مجلد في منتداك و قم بحماية تلك المجلدات أهم شيء أي احميها باسم مستخدم و كلمة مرور و مجلد install الأفضل أن تحذفه بالكامل و عند التطوير تضع مجلد النسخة الجديدة و تسوي install عادي و هذا يرجع لك المهم إما حماية مجلد install أو حذفه و مجلدي admincp و modcp إذا كان يمكن للهاكر تعدي الحماية و اختراقهم فيمكنك بدلا من أن تحميهم أن تغير اسمهم إلى أي اسم مثل ABDFVadmincp حتى لا يعرف المخترق امتداد المجلد و لكن عند تغيير اسم المجلد يجب أن تذهب لملف config.php الموجود داخل ملجد include و تغيير اسمهم منه أيضا و الطريقة كالتالي:

افتح ملف config.php و ابحث عن الكود :

رمز PHP:


			
$admincpdir = 'admincp';

و غير اسم admincp إلى الاسم الذي اخترته من قبل للمجلد

و ابحث عن الكود التالي أيضا :

رمز PHP:


			
$modcpdir = 'modcp';

و غير اسم modcp إلى الاسم الذي اخترته من قبل للمجلد

2- ثغرة ملف last10.php آخر عشرة مواضيع و طريقة ترقيعها

غالبا ما يكون اسم الملف على حسب الاستايل اللي تنزله مثلا اسم ملف آخر عشرة مواضيع last10islamic.php أو last10.php أو ttlast.php و هذه الملفات يمكن أن تلاقي الثغرة موجودة فيها أو ما تلاقيها و يجب عليه إذا كنت محمل أي ملف منهم أن تبحث فيهم عن الكلمتان الآتيتين و حذفهما تماما : افتح ملف آخر عشرة مواضيع و ابحث عن الكود :

رمز PHP:


			
$fsel

إذا وجدتها في أي ملف لآخر عشرة مواضيع قم بحذفها نهائيا و احفظ العمل و ارفع الملف

و أيضا ابحث عن الكود :

رمز PHP:


			
$ftitle

إذا وجدتها في أي ملف لآخر عشرة مواضيع قم بحذفها نهائيا و احفظ العمل و ارفع الملف

3- ثغرة ملف private.php الرسائل الخاصة و طريقة ترقيعها

افتح ملف private.php الموجود في مجلد منتداك الرئيسي vb و ابحث عن الكود :

رمز PHP:


			
$pm['title'] = trim($pm['title']);

و استبدله بالكود التالي :

رمز PHP:


			
$pm['title'] = trim(xss_clean($pm['title']));

4- ثغرة ملف faq.php الأسئلة الشائعة و طريقة ترقيعها

افتح ملف faq.php و ابحث عن الكود :

رمز PHP:


			
// initialize some template bits 

$faqbits = ''; 

$faqlinks = '';

و أضف بعده الكود التالي :

رمز PHP:


			
$navbits[''] =$vbphrase['faq'];

5- ثغرة ملف editpost.php تعديل المشاركة و طريقة ترقيعها

افتح ملف editpost.php و ابحث عن الكود :

رمز PHP:


			
$edit['title'] = trim($_POST['title']);

و استبدله بالكود التالي :

رمز PHP:


			
$edit['title'] = trim(xss_clean($_POST['title']));

و في نفس الملف أيضا في أول الملف قم بوضع الكود التالي بعد الكلمة <?php :

رمز PHP:


			
$title = addslashes($title); 

if (strstr($title,"script") != NULL){ 

echo "Dont Play With Me Ok Man<br>vBulletin<br>note: use scr!pt"; 

exit; 

}

و احفظ الملف و ارفعه

6- ثغرة ملف authorize.php للبيع و الشراء و طريقة ترقيعها

هذا الملف هو ملف بيع و شراء مثل paypal و الطريقة طبعا هي حذفه نهائيا و لا توجد طريقة غيرها للآن و طبعا قم بحذفه لأنه لا يفيدك و هو موجود داخل مجلد subscriptions الموجود داخل مجلد منتداك الرئيسي و لكن إذا كنت ممن يودون استخدامه فتفضل الحل : افتح الملف و ابحث عن الكود :

رمز PHP:


			
$userid = $DB_site->query_first("SELECT userid, languageid, styleid FROM " . TABLE_PREFIX . "user WHERE userid = " . $item_number[1]);

و استبدله بالكود التالي :

رمز PHP:


			
$userid = $DB_site->query_first("SELECT userid, languageid, styleid FROM " . 

TABLE_PREFIX . "user WHERE userid = " .intval( $item_number[1]));

7- ثغرة ملف memberlist.php قائمة الأعضاء و طريقة ترقيعها

من لوحة تحكم منتداك قم بإغلاقها كالتالي:
أ- اذهب إلى لوحة تحكم منتداك
ب- من خيارات المنتدى اذهب للخيار (قوائم الأعضاء و مشاهدة الهوية) و قم بالضغط على الخيار ( لا ) في أول الصفحة و احفظ العمل
نصيحتي هي أنك تحذف الكود من داخل الملف و تضع كود ملف index.php و هذا الأفضل بحيث أنه عندما يقوم أي واحد بالدخول للتقويم فينتقل تلقائيا للصفحة الرئيسية

8- ثغرة ملف calendar.php التقويم و طريقة ترقيعها

الطريقة الوحيدة هي أن تحذف الكود بكامله من داخل ملف calendar.php و تقوم بوضع كود ملف index.php الصفحة الرئيسية بداخله بحيث أنه عندما يقوم أي واحد بالدخول للتقويم فينتقل تلقائيا للصفحة الرئيسية

9- ثغرة ملف functions_search.php محرك البحث و طريقة ترقيعها

أدخل إلى المجلد includes الموجود في مجلد منتداك الرئيسي و غالبا ما يكون vb أي vb/includes و استبدل ملف functions_search.php الموجود في المرفق بالملف القديم

10- ثغرة كود الفلاش [FLASH] و طريقة ترقيعها

ثغرة كود الــ bb الفلاش و طريقة حذفها و إغلاقها هي أنك تذهب إلى لوحة التحكم و إلى ضبط أكواد الـ bb و حذف كود الفلاش بكامله

11- ثغرة ملف uploader.php مركز تحميل الملفات و طريقة ترقيعها

افتح ملف uploader.php و ابحث عن الكود :

رمز PHP:


			
$type = explode("." ,$file_name);

و استبدله بالكود التالي :

رمز PHP:


			
$type = explode("." ,$file_name,2);

و احفظ العمل و ارفع الملف مرة أخرى

12- ثغرة ملف init.php و طريقة ترقيعها

اذهب إلى مجلد includes الموجود في مجلد منتدا الرئيسي و ستجد ملف init.php استبدله بالملف الموجود بالمرفق و انتهى الأمر

13- ثغرة ملف online.php المتواجدون الآن و طريقة ترقيعها

اذهب إلى لوحة تحكم منتداك و من ثم إلى المجموعات ثم ضبط إعدادات مجموعة الأعضاء و من ثم اذهب إلى أي مجموعة مثلا مجموعة الأعضاء و انزل تحت تحت تحت و سوف تجلد الخيار (صلاحيات المتواجدون الآن) ضع كل خياراته لا و خاصة الأولى أهم شيء أي أنه بجانب الجملة يستطيع رؤية المتواجدون الآن اختر ( لا ) و احفظ العمل و طبق هذه الطريقة على كافة المجموعات و غير لازم أن تطبقها على مجموعة المشرف العام

أرجو أن أكون قد وضعت كامل الثغرات و شكرا للجميع و أرجو عند النقل أن تكتبوا منقوووول و الله إني تعبت على الجمع و البحث عن الثغرات حتى أسهل على الجميع كيفية إغلاق جميع الثغرات

و شكرا للجميع و السلام عليكم و رحمة الله و بركاته

الملفات المرفقة

init + functions_search.zip (13.9 كيلوبايت, عدد مرات المشاهدة 967 مرة)

- مشاركة هذا الرد في
- Digg
- Del.icio.us
- Technorati
- Twitter

توقيع Allulu

>> استخدم خاصية البحث في المعهد بشكل موسع <<

WwW.Allulu.Org

WwW.Allulu.Net

>>> شبكة اللولو جرافكس للبيع .. تابعنا <<<

أعذروني على انقطاعي المفاجئ لفترة طويلة عن المعهد
لم و لن أنسى أحلى ذكريات في المعهد .. ذكريات قد نقشت على جدار الزمن و مازالت لليوم .. لن انساها أبداً .. شكراً ترايدنت

التعديل الأخير كان بواسطة Allulu; 30 - 04 - 2005 الساعة 18:49

أدوات الموضوع
عرض صفحة طباعة الموضوع ارسال الصفحة الى صديق
طرق العرض
العرض العادي الانتقال الى العرض المتطور الانتقال الى العرض الشجري

[ثغره] جميع الثغرات التي تم اكتشافها الى تاريخ الموضوع

بسم الله الرحمن الرحيم أهلا و سهلا بكم إخواني الأحباء أعضاء المنتدى تفضلوا الثغرات متسلسلة: 1- ثغرات في المجلدات admincp و includes و modcp و