URGENTE - Me quieren Hackear el PHPBB

[pol25]

Realmente el sistema no es algo muy complicado , es algo facil y que ademas impedira efectivamente y de forma infalible el acceso de otra persona que no desees al area de la admnistracion

Todos sabemos que nuestra maquina se identifica principalmente por dos tipos de formas o bien por la ip que todos podemos saber la nuestra $REMOTE_ADDR o bien tambien por la direccion mac del equipo , pero no liemos las cosas , dejemos todo con lo que es la ip y recordar que el baneo pro ip a dia de hoy noe s efectivo puesto que quien sabe de seguridad y de proxys , puede hacer lo que desee , yo soy de españa pero con un click puedo estar realmente en la china o en colombia o en polonia y puedo hacerlo realmente , sin que detecten que uso un proxy , por eso no servira mas que en algunos casos , este tipo de baneo

por lo general los foros casi todos y a mi entender es un error , el acceso al ser una aplicacion prefabricada todo el mundo puede saber la posicion y nombre de los archivos importantes , los archivos de configuracion y el destino de los archivos de administracion , es por tanto relativamente facil el estar intentando acceder a el cuadro de un foro , o por fuerza bruta o porque el tipo este dandole todo el dia a probar

por ejemplo en estos foros se ha implementado , en los foros del web , me refiero , se ha implementado un sistema que evita tras un fallo el accesado , pero todo esto sigue sin ser efectivo

esta claro que yo soy un maniatico de la seguridad y hasta he incluido un sistema de contaje de errores y tras el mismo el autobaneo del sistema para ese usuario y aviso por mail , hasta tengo implementado un sistema de intento de acceso hacker para que me avise por celular a mi sistema


todo esto es muy largo de contar y yo gustoso lo contare pero permitidme ir por partes y asi todos os enterareis de la forma adecuada y segura , gracias a lo cual podreis todos dormir mas que tranquilos y seguros ,

al respecto de la ip el sistema consiste en primeramente cambiar el nombre de la carpeta de administracion y el archivo admin ,php , posteriomente accederemos por redireccion a ese archivo nunca directamente , usaremos la redireccion de cabeceras header:location , porque si usas un metatag un lameculos de lammer podria llegar a saber el destino , puesto que sale en el codigo fuente (Aunque pongas el time a cero)

por otro lado el sistema lanzadera o de cabecera enviaria el enlace con tu ip al sistema remoto de acceso que identificaria tu ip como correcta , es decir tu insertarias con anterioridad tu ip , de forma que si tu y solo tu tienes esa ip podrias acceder al sistema de login para tu administracion , lo bueno es que podrias agregar tantas ips como quisieras y solo esas podrian entrar al area de login , el sistema es perfecto puesto que las ip son unicas como las huellas digitales y esto impediria de forma rotunda que nadie pudiese entrarte , cualquer hacker deberia conocer

primeramente la ruta al admin y al archivo de la admin , admin.php , pero estarian cambiados de nombre y aun por encima se accederia a ellos por redireccion a traves de un archivo remoto , de esta forma quien podria

saber que tu administracion esta en la carpeta ipbbforum851158457451 , y que el archivo admin.php al que accedes , tu es admin85452122.php (esto es un ejemplo por supuesto) , por todo ello tendria que ser "uri geler "para adivinar primeramente los nombres y depues añadir a todo

esto el accesado restringido por ip a todos tus administradores o moderadores , el sistema es sencillo y no falla , yo lo he complicado mas , porque a mis foros que no uso precisamente phpbb , uso los que yo he programado , les añadi un sistema que ademas implica los enlaces de la adiministracion , con lo cual se esta comprobando a traves de todas las areas de la administracion que la ip es la autorizada al respecto de una base de datos establecida

El codigo es sencillo y a continuacion expongo las partes del mismo :

a ) Necesitamos Primero cambiar las carpetas de acceso a la admin y del archivo de login ,

b ) Necesitamos preparar un archivo lanzadera que situaremos donde querais incluso en otro hosting , y lo llamareis como deseis , este accedera por header location a la administracion y al area de login

c) En el area de login o de la tipica dentro de la carpeta admin , en el original area de acceso , que cambiamos el nombre y que era admin.php e insertaremos el siguiente codigo :

--------------------------------------------


<?

$ipline = file("ips.txt");
for($i=0;$i<count($ipline);$i++){
if(trim($ipline[$i])==$_SERVER[REMOTE_ADDR])
{

print "<font size=1 face=verdana color=#000000>Ip Autorizada</font>";


}

else { exit ("expulsion.php");}



}


?>

----------------------------------

Esta pequeña funcion se debera insertar lo recuero en la pagina de login siempre ahi , quees la queusamos para acceder a la administracion , recordar que yo he puesto como base de datos para quetodos lo veais , ips.txt , pero obvio es que debeis cambiar el nombre por uno bien jodido de saber , con lo cual no hay perdida y restringir en el htaccess el uso o acceso a el pero ya poniendo un nombre cifrado , ni de coña lo podran saber , ademas lo bueno de esta funcion es que el archivo ips.txt o como le llames podeis ubicarlo donde os salga de las narices

en la carpeta que deseeis , este debe contener las ips que son digamoslo asi , amigas , por tanto tuyas como administrador o de tus amigos o colaboradores , bien ahora viene el sistema de control para insercion de estas ip en la db

---------------------------

<?
if ($action=="ok")
{
$fp=fopen ("ips.txt","a");
fputs ($fp , $ip_adress ."\n");
fclose ($fp);

}
else {}

?>








<form name="form1" method="post" action="<? print "$PHP_SELF?action=ok";?>">
<input type="text" name="ip_adress">
<input type="submit" name="Submit" value="Enviar">
<input type="hidden" name="action" value="ok">
</form>

-------------------------------------------------


Asi ya tendreis todo listo , esta claro que yo uso muchas mas cosas y que son demasidao en esto obsesivo porque tambien meto sistemas de control por tiempo en areas de peligro o que necesitan seguridad o sistemas de baneo integral al portal si hay un acceso hacker , son muchos sistemas lo que cree para evitarme problemas a mi y a mis clientes como tambien sistemas desesones en bases de datos independientes de cookies y session_start , bueno ahi os va y ya medireis que tal os fue y seguiremos si lo deseais hablando de seguridad , uno de mis temas favoritos , WebMasterFrank


------------------------------------
P.D :Por cierto este codigo lo podeis copiar y pegar a cualquier pagina de php es asi de simple pagina a restringir por ip y solo por administradores el acceso le meteis el codigo y solo os preocupais de que el acceso a la db este correcto , podreis restringir todos y cada uno de los archivos de aladministracion para acceso directo y de cualquier tipo no falla , no necesita el envio de variables solo necesita leer la base de datos , nadie os volvera a joder asi se vuelva loco intentandolo y esto es nada a todo lo demas que yo pongo , podeis tener seguridad con tansolo unas cuantas medidas profilacticas , saludos nuevamente
---------------------------------------