Ochrana fóra - stop hackerom:
Aby sme pochopili čo je najdôležitejšie pre ochranu fóra, musíme si povedať, kto by mohol byť najpravdepodobnejším útočníkom na naše fórum:
- Bývalý admin
- Súčasný admin
- Bývalý moderátor
- Súčasný moderátor
- Bývalý užívateľ fóra
- Súčasný užívateľ
- Niekto zvonku
Administrátori majú najväčší prístup k fóru a preto sú aj najväčším rizikom zneužitia oprávnení. Pokiaľ je spolupráca administrátorov dobrá, niet sa čoho obávať, no problémy možno očakávať v momente, ak spolupráca začína zlyhávať. Nie je nič horšie pre fórum ako nelojálny admin.
Tip 1: Nikdy neposkytujte adminom údaje k databáze a ftp prístupu. Tip 2: Administrátorské práva dajte čo najmenšiemu počtu užívateľov fóra. Moderátori:
Moderátori majú vo verzii phpBB2 vcelku obmedzené právomoci, no aj napriek tomu, znepriatelený moderátor môže vo fóre narobiť riadnu paseku. Jedno z moderátorských oprávnení umožňuje mazať príspevky či celé témy a ich záchrana bez obnovy databázy nie je možná. Ak niektoré fórum moderujú viacerí moderátori, dopátrať sa k zisteniu, kto narobil škody je náročné. Systém phpBB3 umožňuje sledovať záznam (log) moderátorských činností, takže tu je omnoho ľahšie zistiť, kto vykonal aký moderátorský úkon.
Tip 3: Moderátorovi určite konkrétne fórum (sekciu), za ktoré je zodpovedný, vyhnite sa skupinovej zodpovednosti. Registrovaní užívatelia:
Táto skupina ľudí je pre fórum najmenej nebezpečná, pretože ich oprávnenia pre zásah do systému fóra sú takmer nulové. Aj napriek tomu Vám môže registrovaný užívateľ znepríjemniť život tým, ak z fóra povymazáva svoje príspevky. Ak je fórum zamerané na kontinuálnu diskusiu, vymazanie veľkého počtu príspevkov môže takúto diskusiu zneprehľadniť alebo ochromiť.
Tip 4: Nainštalujte si MOD na obmedzenie úprav registrovanými užívateľmi po určitom časovom limite (pre phpBB2) alebo si tento limit nastavte v administrácii fóra (pre phpBB3). Tip 5: V prípade phpBB3 fóra obmedzte autorovi možnosť zmazať ním založenú tému. Tip 6: Pre prístup do databázy fóra a k ftp zvolte odlišné heslá, voľte kombináciu malých, veľkých písmen, čísiel, prípadne špeciálnych znakov.Neregistrovaní užívatelia:
Táto skupina ľudí je rizikom pre fórum v prípade, že ste počas inštalácie fóra nastavili chmod zložkám na hodnotu 777 a chmod súborom na hodnotu 666, čím umožňujete vzdialený prístup k súborom a zložkam. Toto môže byť následne zneužité rôznymi skriptami, napríklad pre zistenie prístupových údajov k fóru. Prejdite si súbory a zložky na serveri a zmeňte ich nasledovne:
zložky = chmod 755 (okrem cache, images/avatars a images/avatars/tmp tie musia mať 777)
súbory = chmod 644
Tip 7: Súboru config.php je nutné nastaviť chmod 666 len počas inštalácie fóra, po úspešnom ukončení inštalácie fóra zmeňte chmod na hodnotu 644 Obnova hacknutého fóra
Odhalenie škodnej:
Ak zistíte, že Vám niekto hackol fórum a robí Vám škody, bude dobré, ak sa dozviete kto tak môže robiť. V prípade, že Vám škodu nerobí jeden z administrátorov, prípadne moderátorov, môže to byť užívateľ, ktorý mohol zneužiť Vaše konto alebo konto iných administrátorov a nastavil si administrátorské práva. Najjednoduchším spôsobom, ako zistíte, kto má administrátorské oprávnenia, je kontrola oprávnení v databáze. Tabuľka users obsahuje položku user_level s hodnotami 0 (registrovaný), 1 (admin), 2 (moderátor). Vojdite do databázy (použite phpMyAdmin), zvoľte tabuľku users a kliknite na záložku Prechádzať (Browse), čím sa vám zobrazí celá tabuľka users so všetkými položkami v záhlaví. Nájdite si stĺpec s názvom user_level, v ktorom hľadajte hodnotu 1.
Tip 8: Dvakrát kliknite na položku user_level, čím zoradíte hodnoty od 2 do 0. Tým ľahko nájdete užívateľov s hodnotou 1.
- user_level.jpg (3.48 KiB) Zobrazeno 9077 x
- zmena_user_level.jpg (2.16 KiB) Zobrazeno 9075 x
1. Zmeň si meno a heslo pre prístup do databázy (DB), zmeň údaje v config.php, aby obsahovali nové údaje
2. Zmeň si meno a heslo pre prístup k FTP
3. Zmeň zložkám chmod na 755 (okrem cache, images/avatars a images/avatars/tmp tie musia mať 777)
4. Zmeň chmod súborom na 644
5. Udržuj fórum aktuálne (sleduj oznamy o nových vydaniach verzií fóra)
6. Zmeň svoje heslo a upozorni ostatných administrátorov na nutnosť zmeny svojho prístupového hesla
Tip 9: Databázu a súbory fóra pravidelne zálohujte, ak máte možnosť, využite pri tom cron.V tomto článku som sa snažil predostrieť základné princípy ochrany fóra, ktoré zväčša nevyžadujú inštaláciu MODov na to určených. Budem rád, ak pridáte svoje postrehy či nápady a ospravedlňujem sa, ak som na niečo zabudol.
