Sécuriser au mieux vbulletin [Archives]

Voir la version complète : Sécuriser au mieux vbulletin

Rom56

02/06/2006, 19h03

Votre forum ne sera jamais invulnérable, cependant vous pouvez le rendre le moins vulnérable possible, voici quelques conseils afin d'éviter au maximum les hacks

1 Un version de vbulletin à jourVbulletin posséde certaines failles de sécurité qui sont souvent corrigées. C'est pourquoi il faut que votre forum bénéficie des dernières mises à jours le plus rapidement possible. En effet les failles sont vite connus et pourraient intéresser quelques hackeurs.

2 - Les mots de passesLes mots de passes sont la cause principale des hacks. Un mot de passe tel que "chat" ou "chien" est facilement trouvable pour un hackeur qui utilise des dictionnaires de mot de pass. Pour cela utiliser des mots de passe complexes avec des lettres et des chiffres en variant minuscule et majuscule. Aussi bien pour votre base de données que pour votre compte personnel et celui des autres admins. Aussi cela parait peut-être bête à dire mais donner des accès administrateurs à des personnes que vous jugez de confiance, il serait bête qu'il hack lui même votre forum ou qu'il file ses pass...

edit : comme le dirait allan modifiez régulièrement vos mot de passes !!

3 - Dossier admincpChanger le nom du répertoireVbulletin est trop connu, tout le monde c'est que l'administration se fait via "www.monforum.com/admincp" . Il faut donc changer le répertoire admincp de place. A l'aide d'un client FTP renommer-le avec le nom que vous désirez. Puis dans le fichier "includes/config.php" modifier la ligne 79 $config['Misc']['admincpdir'] = 'admincp'; en remplaçant bien sur nomdunouveaudossier par le nom que vous avez donner à l'ancien dossier admincp
$config['Misc']['admincpdir'] = 'nomdunouveaudossier';
Ajouter un htacces

Si un hackeur a prit possession de votre compte, sans les codes du htacces il ne pourra rien faire. Ajouter donc un htacces, en suivant les consignes données sur ce post : http://www.vbulletin-ressources.com/forum/showthread.php?t=73
Souvent, vous pourrez ajouter un htacces simplement et rapidement grâce à votre pannel de configuration hébergeur.
Mettez des identifiants et un mot de passe à rallonge !!! en effet ils sont souvent enregistrés par votre naviguateur et vous n'avez pas à les retaper... ainsi "12dKLD!Jod?d2S451s5e1e!41fr185E?15e1!E81?e6E2" sera parfait pour jouer le rôle d'identifiant ou de pass..

Le petit plus..

Vous pouvez aussi re-creer un dossier "admincp" ( qui sera enffet factice, pour tromper les hackeurs par exemple ) en ajoutant un "index.htm" vide à l'intérieur et en le protégant avec un htacces aussi. Si le hackeurs s'embête à trouver les pass il sera bien déçu d'avoir fait cela pour rien ! :yahoo:

4 - Vérrouiller le dossier includesTélécharger la pièce jointe ".htaccess" et uploader-la dans le dossier "/includes/" ce n'est qu'un htaccess avec la mention "deny for all". Ainsi personne ne peut accèder au fichier "config.php" ou aux autres fichiers du dossier par le protocole http.

5 - Empecher certaines options aussi de vbulletin

Pour commencer désactiver le HTML partout ou quelqu'un serait suceptible d'insérer des codes mal intentionnés : signature, messages, etc... Désactiver l'utilisation de liens dynamiques qui pourrait contenir plus que des images..( par défault vb ne les autorise pas )
enfin cela ne concerne pas vb mais ne permettez surtout pas l'upload de fichier php sur vos serveurs..
Il est inutile de rappeler que vous devez protégé l'ensemble de votre site et non pas que vbulletin. Si un hackeur arrive à obtenir les pass de la base de données ou de login sur votre phpmyadmin il fera ce qu'il veut de votre forum ( même s'il est sécurisé ! )

6 Suivez les précieux conseils de alex ( merci à lui ! ):)

- Pour eviter, les backdoors sur le ftp. Je conseille de couper les autorisations d'upload d'avatars et pieces jointes pour les simples membres.
- Ensuite le dossier /install/ de vbulletin doit etre supprimer.
- Pour l'htaccess de votre admin, je vous conseille de placer le .htpassword donc un autre dossier sur un autre nom :p(En gardant le "." devant ce qui permet de cacher un fichier sous nux). Et l'htaccess est un outil qui ne sert pas seulement à ajouter des password sur vos dossier. Il est aussi capable de controler les host qui se connecte sur votre serveur apache.
Vlà un site très bien pour ça -> http://www.infres.enst.fr/~danzart/frames/htaccess.html (http://www.infres.enst.fr/%7Edanzart/frames/htaccess.html).

Je vous conseille de lire ce site car il vous sera possible d'autoriser seulement les host des administrateurs dans l'admincp ou encore de banir les host de certains membres sur votre serveur (Et ouais apache c'est puissant :angel:).

- Le point critique d'un forum vbulletin, c'est les comptes administrateurs. Donc penser à activer le changement des mots de passe tout les 2 mois environ et netoyer vos cookies sur vos pc.

- Et pour finir sur la securité d'un site web, Le top du top c'est d'avoir un apache-ssl (un https) ce qui permet de crypter toutes les connections sur le serveur.

Voila donc essayer de respecter au maximum ces quelques régles qui sont simples mais efficaces. On ne peut jamais eviter un hack seulement tout faire pour ne pas en être victime ! Pensez aussi à faire des sauvegardes régulières de votre base ainsi que de vos fichiers..

J'ai surement oublier des choses ! n'hésitez pas à me les transmettre je les rajouteraient dans ce tuto :)

sony

02/06/2006, 19h14

bravo et merci pour ces infos, c'est très utile ;)

BiOMECHANiK

02/06/2006, 19h15

Merci Rom56, très intéressant.

Allan

02/06/2006, 19h39

Très beau tutorial, rien a dire exepter une chose, changer régulièrement de mot de passe !

Beau boulot Rom56 ;)

Rom56

02/06/2006, 20h08

Merci beaucoup biomechanik :) je l'est ai ajoutés à mon post d'origine ! :)

Alpine_Z

02/06/2006, 20h47

Tres bon tuto, rien a ajouter.

MAIS, a quoi serve les images ??? :fool:

WrestleMania

02/06/2006, 20h50

Très beau tuto

Mais tu as confondu tes postes je crois rom56, les images vont pour ton hack changer d'image quand on se loggin
Merci beaucoup biomechanik :) je l'est ai ajoutés à mon post d'origine ! :)

Rom56

02/06/2006, 20h52

lol désolé je confond les post ;) merci !

0a$!s

02/06/2006, 21h34

Pensez aussi à vérifier régulierement les IPs connectées sur les sessions de votre staff, des fois que des axx seraient tombés dans de mauvaises mains .
Vérifiez régulièrement que de nouvelles failles ne sont pas apparues, n'installez pas les hacks que des personnes louches vous ont fournies .
N'autorisez pas le PHP ou le HTML si votre site a des visiteurs louches .

Dark-Angel

03/06/2006, 03h02

que de bons conseils excellent tuto :)

Alex

03/06/2006, 11h15

Merci pour le tutorial rom56

J'ai quelques trucs à add :

- Pour eviter, les backdoors sur le ftp. Je conseille de couper les autorisations d'upload d'avatars et pieces jointes pour les simples membres.
- Ensuite le dossier /install/ de vbulletin doit etre supprimer.
- Pour l'htaccess de votre admin, je vous conseille de placer le .htpassword donc un autre dossier sur un autre nom :p(En gardant le "." devant ce qui permet de cacher un fichier sous nux). Et l'htaccess est un outil qui ne sert pas seulement à ajouter des password sur vos dossier. Il est aussi capable de controler les host qui se connecte sur votre serveur apache.
Vlà un site très bien pour ça -> http://www.infres.enst.fr/~danzart/frames/htaccess.html (http://www.infres.enst.fr/%7Edanzart/frames/htaccess.html).

Je vous conseille de lire ce site car il vous sera possible d'autoriser seulement les host des administrateurs dans l'admincp ou encore de banir les host de certains membres sur votre serveur (Et ouais apache c'est puissant :angel:).

- Le point critique d'un forum vbulletin, c'est les comptes administrateurs. Donc penser à activer le changement des mots de passe tout les 2 mois environ et netoyer vos cookies sur vos pc.

- Et pour finir sur la securité d'un site web, Le top du top c'est d'avoir un apache-ssl (un https) ce qui permet de crypter toutes les connections sur le serveur.

Un forum vbulletin sera toujours vulnerable car c'est du php :swoon1:. Mais toutes ces modif permettre d'eviter les hacker du dimanche.

Vlà bonne modif mon petit romain ;)

Allan

03/06/2006, 14h07

Merci de t'es explications, très utile et bon a savoir ;)

A rajouter dans le tuto ca ^^

sony

03/06/2006, 22h03

merci pour les infos, c'est toujours très utile ;)

cyberps2

04/06/2006, 22h31

Excellent moi qui y connait pas grand chose lol bah c'est déjà beaucoup :)

merci !

Sasuke31

05/06/2006, 08h47

merci super ce tuto

Cronos

15/06/2006, 22h52

Bonjour je trouve pas la piece jointe de htacces avec l'option "deny for all"

Pouvez vous me le faire montr svp

cassis2k

16/06/2006, 01h36

J'utilise aussi une technique simple.

Je crée un ou deux comptes qui ont accès à l'admincp et je ne les utilise que quand je dois y aller. Sinon j'ai mon compte à moi en tant que super modérateur. Je me suis même désactiver plein de choses dans l'admincp comme ça vraiment pas de risque que quelqu'un récupère mes cookies par exemple. :D

esf

16/06/2006, 01h55

[fieldset="Objectif du tutoriaux"]
- Pour l'htaccess de votre admin, je vous conseille de placer le .htpassword donc un autre dossier sur un autre nom :p(En gardant le "." devant ce qui permet de cacher un fichier sous nux).

Le mieux est de mettre le fichier .htpassword sous le www donc invisible du web.

esf

16/06/2006, 01h57

cassis2k

16/06/2006, 02h03

non ancien utilisateur de phpBB :D

esf

16/06/2006, 02h03

Autre truc pour les paranos

Encrypter votre fichier config.php dans Includes après avoir protégé celui-ci par un htaccess (deny for all). :yahoo:Pour les paranos seulement.

P.S. (mes config.php sont cryptés... :D)

Allan

16/06/2006, 06h35

esf

16/06/2006, 20h26

Sans être parano, c'est une bonne idée.

Je crois aussi que oui même si le htaccess bloque tout ou presque.

J'utilise maintenant un script pro pour encoder et qui ne laisse aucune trace.

Mais avant, il y a quelques mois, j'utilisais un script gratuit en ligne. Cela ne prends que 2 minutes pour crypter son config.php. Je ne veux pas donner le lien en public pour ne pas saturer le site du webmaster (qui vend aussi une script pro) mais je peux donner le lien en privé à Allan si cela est permis et s'il y a des intéressés.

Ce sera à lui à gérer la demande.

Allan

16/06/2006, 21h08

Je veux bien, cela m'intéresserait pour ici ^^

esf

16/06/2006, 21h32

Lien envoyé par PM.

Il faut vous inscrire pour recevoir un login id.
Après réception de votre Id, vous vous loggez avec Internet Explorer et vous encoder votre config.php.

cassis2k

16/06/2006, 21h40

je ne vois pas trop l'utilité. Normalement personne n'a accès aux fichiers .php sur le serveur.

Le code est sans doute réversible. Je veut en venir là, si le gars est assez calé pour soit passé outre un htacess (c'est possible), soit prendre la main sur un serveur (c'est possible aussi) il doit sans doute savoirqu'il est possible de tomber sur des fichies cryptés donc il aura la parade où il va la trouver.

Maintnenant si le fichier a un cryptage irréverssible, comment fais tu pour le modifier ?

A moins d'avoir raté une étape dans mon raisonnement, je ne comprends toujours pas.meoui

esf

16/06/2006, 22h45

je ne vois pas trop l'utilité. Normalement personne n'a accès aux fichiers .php sur le serveur.Normalement, c'est exact.

Le code est sans doute réversible.Difficilement réversible avec une version pro comme ioncube. Tellement irréversible que vous ne trouverez pas Ioncube en wawa...

Je veut en venir là, si le gars est assez calé pour soit passé outre un htacess (c'est possible), soit prendre la main sur un serveur (c'est possible aussi) il doit sans doute savoirqu'il est possible de tomber sur des fichies cryptés donc il aura la parade où il va la trouver. Non si c'est difficilement irréversible. Les fichiers codés Ioncubes sont sécures.

Maintenant si le fichier a un cryptage irréverssible, comment fais tu pour le modifier ? C'est simple, tu gardes le fichier non codé en localhost ou encore sur ton serveur sous le www donc invisible du web.

A moins d'avoir raté une étape dans mon raisonnement, je ne comprends toujours pas. En pratique, ces encodeurs sont surtout utilisés par les développeurs PHP qui veulent protéger leurs scripts (Invision a, à un moment donné, parlé de coder leurs scripts).

BiOMECHANiK

04/07/2006, 13h04

Bravo c'est vraiment réussi comme tutorial, j'ai mis en place tout ce que vous avez passé en revue plus haut et je dois dire que j'y suis arrivé avec beaucoup de facilité.

Merci quand même à G@MER pour m'avoir filé un bon coup de main ;)

kameleon62123

30/09/2006, 21h53

Merci. Je ne vois pas le ht.acces en piéce jointe peut tu le mettre silteplait.

kameleon62123

01/10/2006, 12h17

pas de réponse :/

Allan

01/10/2006, 12h55

Tu peux le créer toi même, reporte toi a ce tutorial (http://www.vbulletin-ressources.com/forum/showthread.php?t=73) :)

Rom56

04/11/2006, 17h03

Tu peux le créer toi même, reporte toi a ce tutorial (http://www.vbulletin-ressources.com/forum/showthread.php?t=73) :)

tu dois aussi pouvoir en creer un avec le panneau d'administration de ton site ;)

populous

03/01/2007, 20h44

salut a tous merci d abord pour ce tutoriel sinon j ai eu un petit souci dans le login dans mon logiciel d administration voici le code que j ai mis
AuthUserFile /home/xxxxxxxxxxxx/xxxxxxxxx/.htpasswd
AuthGroupFile /dev/null
AuthName "Up Up Up ..."
AuthType Basic
<Limit GET POST>
require valid-user
</Limit>
et dans le htpasswd j ai mis le nom suivi des deux points et suivi du pass en clair pas crypte comme dans le tutoriel le probleme et quand j entre mon login et mon pass je cite correct ca me donne la meme fenetre comme quoi le login ou le pass que j ai entre sont errones alors que je les entre vrai j ajoute que mon compte et dans l hebergeur c est chez .123.fr pour plus d info

Rikle_S

23/01/2007, 09h47

Et bien merci, je vais m'y ateler, car après deux attaques, il faut faire quelque chose :)

Karline

19/03/2007, 22h58

Hé bien grand merci à tous pour vos précieux conseil :angel:

SiVoK

18/04/2007, 16h11

Merci pour ce tuto :)

windfury

28/05/2007, 21h13

merci pour tout ses conseil ;), car je vien de me faire hacker et je veux pa que sa recommence

Raz

06/06/2007, 15h33

Moi j'aimerais bien avoir l'URL pour crypter le config.php si possible !
Merci

Raz

06/06/2007, 19h48

4 - Vérrouiller le dossier includesTélécharger la pièce jointe ".htaccess" et uploader-la dans le dossier "/includes/" ce n'est qu'un htaccess avec la mention "deny for all". Ainsi personne ne peut accèder au fichier "config.php" ou aux autres fichiers du dossier par le protocole http.

Hum sa serait cool d'avoir le .htaccess deny from all !

Merci d'avance.

Ombre

06/06/2007, 21h05

Si tu le désire sur ce site http://www.commentcamarche.net/apache/apacht.php3 ils t'explique comment le créer ;)

Enfin c'est pour t'aider si tu es pressé :)

Red

08/06/2007, 09h43

Merci pour les infos, sa peux toujours servire ! il vaux mieux prévenir que guérir !

Raz

08/06/2007, 10h03

Donc toujours personnes pour le Deny from all?

salengro

09/12/2007, 13h29

Donc toujours personnes pour le Deny from all?

Dans ton (ou tes) .htaccess tu rajoute au tout début ces lignes qui empecherons une eventuelle tentative de listing de celui ci:

<Files .htaccess>
order allow,deny
deny from all
</Files>

Kordy

20/01/2008, 20h49

T'as même encore plus con que ça, tu ouvre un TXT, tu tape "deny from all" t'enregistre et tu renommes en .htaccess sur ton ftp.

Highs

01/02/2008, 15h55

thnx man .

c-z

18/02/2008, 22h21

Il y a un gros souci au niveau de la sécurité.

Je suis hacker à temps perdu ( je sécurise, je ne crashe pas ) et il existe un exploit codé en perl permettant de flooder le forum.
Le forum ne répondra plus pendant un long moment ( j'ai testé sur 3.6.8 ) voir meme ne repondra plus du tout.

En fin de journée, ce forum s'est fait floodé sa base de données.

Un forum comme le votre piratable en 30sec alors les notres, c'est pire ?

Ma question est : la nouvelle mouture 3.7.x corrige t elle se probleme ?

Voila l'exploit en question :

Modéré : Peut etre utilisé a des fin malveillant donc supprimé

En espérant contribuer a l'amélioration de vbulletin, j'espere que quelqu'un se penchera la dessus.

A bientot

Allan

19/02/2008, 13h32

c-z

01/03/2008, 13h40

Pour supprimer une énorme faille sur la prochaine version qui sortira, il faudrais revoir l'option recherche ( et pas seulement changer search.php en rechercher.php hein ^^ )

Voila, je vais jamais sur le forum officiel, donc je vous le dit a vous ;)

SiN!K

20/03/2008, 21h18

merci !!!!!!!!!!

Ichigo

26/03/2008, 13h11

Le point 3 est intéressant (les autres aussi) mais à partir du moment ou l'on installe d'autres hack (vbseo, hacks gratuits etc.) ce renommage n'eest plus opssible non? vu que des fichiers des autres hacks s'installe dans le dossier admincp, après il faudrait modifier chaque fichier un à un pour chaque hack non?

Rikle_S

20/05/2008, 12h23

J'ai fais les 3/4 merci :)

neige

28/05/2008, 10h55

superbe , merci a toi:delicious: