( Вход | Регистрация | Поиск )
Защищаем admin.php, Форумы
Стандартный · [ Линейный ]
Дата обновления: 29.09.2005 - 20:37, перейти к новому сообщению
Получить хэш-пароль админа, порой не составляет никакого труда, пару часов\дней расшифровки, и долгожданный доступ в админку отрыт. Как следствие пустая база и дефейс форума.
Вот чтобы избежать дефейса и потерю базы, надо сделать несколько нехитрых вещей!
1) Создать в корне вашего форума (если вдруг ещё нету) файл .htaccess и .authusers
2) Отрыть .htaccess и добавить в него следующие:
AuthType Basic
AuthUserFile /usr/local/полный путь на сервере/.authusers
AuthName "Authorization required"
Require valid-user
order deny,allow
deny from all
allow from xx.xx.xx.x – ваш ip (если он постоянный)
Текст красным удалить
Теперь подробней, что всё это значит!
- Мы защищаем все файлы admin.php на сервере паролем и доступом с определённого айпи…
Текст зелёным – означает что доступ к файлу админ.пхп будет защищён паролем, который лежит на сервере в файле .authusers
Текст синим – означает, что доступ получат только люди с определённым ip адресом
Всё вместе = двойная защита, но так же можно оставить и что-то одно… к примеру если у Вас диал-ап, то фишка с айпи сразу отпадает…
3) Открываем .authusers и добавляем в него юзвереи и пароли в MD5 (Unix), т.е пароль надо в начале конвертировать из обычного в md5(unix)
Пример:
и т.д
Программа для составления\брута MD5 и пр.
http://www.insidepro....sswordspro.zip
--------------------
Вот чтобы избежать дефейса и потерю базы, надо сделать несколько нехитрых вещей!
1) Создать в корне вашего форума (если вдруг ещё нету) файл .htaccess и .authusers
2) Отрыть .htaccess и добавить в него следующие:
QUOTE
AuthType Basic
AuthUserFile /usr/local/полный путь на сервере/.authusers
AuthName "Authorization required"
Require valid-user
order deny,allow
deny from all
allow from xx.xx.xx.x – ваш ip (если он постоянный)
Текст красным удалить
Теперь подробней, что всё это значит!
Текст зелёным – означает что доступ к файлу админ.пхп будет защищён паролем, который лежит на сервере в файле .authusers
Текст синим – означает, что доступ получат только люди с определённым ip адресом
Всё вместе = двойная защита, но так же можно оставить и что-то одно… к примеру если у Вас диал-ап, то фишка с айпи сразу отпадает…
3) Открываем .authusers и добавляем в него юзвереи и пароли в MD5 (Unix), т.е пароль надо в начале конвертировать из обычного в md5(unix)
Пример:
QUOTE
PRYANIK:пароль_в_MD5
farg:пароль_в_MD5
farg:пароль_в_MD5
и т.д
Программа для составления\брута MD5 и пр.
http://www.insidepro....sswordspro.zip
--------------------
Не работает ссылка? Пишите в теме, обновим :)! Link not working? Let us know in the comments, we'll fix it!
Трудно найти слова, когда действительно есть что сказать. Э.М. Ремарк
Ответов(1 - 9)
QUOTE
Отрыть .htaccess и добавить в него следующие:
QUOTE
AuthType Basic
AuthUserFile /usr/local/полный путь на сервере/.authusers
путь к файлу htaccass?
QUOTE
Текст синим – означает, что доступ получат только люди с определённым ip адресом
Всё вместе = двойная защита, но так же можно оставить и что-то одно… к примеру если у Вас диал-ап, то фишка с айпи сразу отпадает…
3) Открываем .authusers и добавляем в него юзвереи и пароли в MD5 (Unix), т.е пароль надо в начале конвертировать из обычного в md5(unix)
Пример:
QUOTE
PRYANIK:пароль_в_MD5
farg:пароль_в_MD5
farg:пароль_в_MD5
и т.д
Про МD5 не понятно ни черта, но про айпи обьясни почему?
И еще туда всех юзеров пихать надо? А с появлением новых - их тоже добавлять?
QUOTE(Сделано в СССР @ 29.09.2005 - 0:52)
Нет, путь к файлу .authusersQUOTE(Сделано в СССР @ 29.09.2005 - 0:52)
Про МD5 не понятно ни черта
Надо пароль из обычного, к примеру 12345 перевести в MD5(Unix) $1$12345678$M1o7XeamKvTv64m7bK9e30QUOTE(Сделано в СССР @ 29.09.2005 - 0:52)
Что с айпи непонятно? Там через пробел надо написать айпи, которым доступ будет открыт...QUOTE(Сделано в СССР @ 29.09.2005 - 0:52)
Можно сделать один пароль, с логином к примеру ROOT и дать его всем админам...--------------------
Не работает ссылка? Пишите в теме, обновим :)! Link not working? Let us know in the comments, we'll fix it!
Трудно найти слова, когда действительно есть что сказать. Э.М. Ремарк
QUOTE(PRYANIK @ 29.09.2005 - 0:01)
QUOTE(Сделано в СССР @ 29.09.2005 - 0:52)
Нет, путь к файлу .authusersНу да к нему, эт я лопухнулся... хотя путь все равно один будет если они в корне оба лежат...
QUOTE(Сделано в СССР @ 29.09.2005 - 0:52)
Про МD5 не понятно ни черта
Надо пароль из обычного, к примеру 12345 перевести в MD5(Unix) $1$12345678$M1o7XeamKvTv64m7bK9e30Эт я к тому что не знаю как это делается - мне эта инфа бесполезная, т.к. с УНИКСОМ не знаком
QUOTE(Сделано в СССР @ 29.09.2005 - 0:52)
Что с айпи непонятно? Там через пробел надо написать айпи, которым доступ будет открыт...Про IP почему с диалапом не проканает - что я не смогу в этом случае?
По диалапу тебе присваивается все время разный айпи, но с одной маской! Например 195.143.70.ххх
Там где ххх все время разное значение!
To PRYANIK а как быть если я все время с разных компов?
И есть ли другой способ защититься от вытаскивания хэш?
Там где ххх все время разное значение!
To PRYANIK а как быть если я все время с разных компов?
И есть ли другой способ защититься от вытаскивания хэш?
QUOTE
Надо пароль из обычного, к примеру 12345 перевести в MD5(Unix)
Как раз админ тебе нужную утилиту выписал в первом посте! Ещё можно воспользоваться стандартной тулзой из комплекта Apache (версия для Windows).
QUOTE
По диалапу тебе присваивается все время разный айпи, но с одной маской! Например 195.143.70.ххх
Тоже не проблема. IP адрес можно прописать так: 195.143.70 без последних трёх знаков и точки. Конечно не 100% защита, но очень эффективна.
QUOTE(Victim @ 29.09.2005 - 5:44)
Тогда убрать отсев по айпи...QUOTE(Victim @ 29.09.2005 - 5:44)
Нет, мы не защищаемся от вытаскивания хэшей – это не реально! А вот не пустить «крыс» в саму админку, реально, способ выше…Добавлено:
QUOTE(BEST @ 29.09.2005 - 12:43)
Если винда, то к примеру так:AuthUserFile C:\AppServ\www\.authusers
--------------------
Не работает ссылка? Пишите в теме, обновим :)! Link not working? Let us know in the comments, we'll fix it!
Трудно найти слова, когда действительно есть что сказать. Э.М. Ремарк
QUOTE
Если винда, то к примеру так: AuthUserFile C:\AppServ\www\.authusers
Сделаю маленькую поправку. Не забываем что Apache пришёл к нам из *nix'а, следовательно слеши надо повернуть в другую сторону:
C:/AppServ/www/.authusers
SoftoRooM © 2004-2024