PHP NUKE: come difendersi?

Ciao a tutti ho letto un articolo su quest'argomento,
come fare a difendersi se qualkuno attacca il tuo sito? http://forum.html.it/forum/showthread/t-874556.html PHP NUKE è un portale con cui un estraneo può prendere il controllo del tuo spazio web?
Vorrei sapere 2 cose in particolare: - Come fanno ad infiltrarsi nel tuo spazio web (istallare php nuke o infettare il server)
- Come impedirlo, quale misure bisogna prendere per proteggere il server Non solo da questo ma anche da altri modi con cui i maligni possono attaccare il tuo server Cosa bisogna fare per difendersi? Grazie.

 max_400, N.D.

Re: PHP NUKE: come difendersi?

Direi che la risposta è abbastanza semplice.
Prima di tutto ci sta il tuo servizio di hosting che deve essere:
efficiente, veloce, sicuro (un buon host fa la differenza) e fare backup giornalieri. Il backup naturalmente ti garantirà di ripristinare il sito in perfette condizioni prima dell'attacco.
Inoltre le cartelle del sito devono avere i permessi giusti, le password non devono essere semplici, eliminare file di installazione, configurazione, occultarli, rinominarli, spostarli e tutte le solite cose che tocca fare per dormire sonni tranquilli.

 Pablito, N.D.

Re: PHP NUKE: come difendersi?

Ciao Pablitooooo.... il capo il capo il capo! Hai perfettamente ragione! comque il mio spazio web è su altervista poi ne ho altri
c'è tempo 48 ore per il ripristino. Quindi farei na' bella cosa... il backup giornaliero
e nel caso di attacco cancellerei tutto è poi ripristinerei tutti i file non l'ho mai fatto ma lo dovevo fare in passato quando mi è capitato kira il lamer Una cosa però non ho capito come fa il delinquente a istallare php nuke nel tuo spazio web
di quali falle approfitta il pirata? Per esempio il mio sbaglio quand'ero alle prime armi con php è di non mettere i filtri
dove c'è il $_POST['messaggio']
ma adesso tutti i miei form sono schermati in $messaggio=htmlspecialchars($_POST['messaggio']);
poi c'è anche l'up-load di qualsiasi tipo di file (senza restrizioni)
insomma ce n'erano tanti di quei buchi, peggio del Titanic. Quindi, adesso sto studiando tutti i modi per proteggersi.
Un domani potrei usare il mio spazio web per cose molto importanti. Quindi riprendo la mi domanda, come fa quel cornuto ad istallare
php nuke sullo spazio web di qualkun altro
o se ci sono altri modi, come fa ad infettare il server come ad esempio gli attacchi DoS
o l'invio di trojan nello spazio web che vengo eseguiti da php Grazie.

 max_400, N.D.

beh, php nuke è un cms ed è un progetto open source...cmq per non "divagare"
per prendere il controllo del server basta effettuare un attacco denominato RFI (remote file inclusion)
dove tramite delle variabili NON controllate si ficcano dentro delle shell (cerca su google c99 c100 e simili)
e con 2 click hai pieno controllo del server per avere il controllo del cms oltre al metodo di prima basta anche una Sql Injenction difendersi ?
crearsi un cms proprietario e controllarlo alla morte oppure seguire costantemente gli aggiornamenti di versione dei vari cms in circolazione

Ecco, hai capito adesso chi ti sfonda il sito ogni volta? ahahaha, scherzo...

 Pablito, N.D.

HEHHEHE abbi pazienza, ma devo campare pure io !

interessante... questo discorso della shell 99 però una cosa è cercare l'argomento su google e perdere 3 ore di tempo a leggere lunghissime pagine
altra cosa quando qualkuno te lo spiega in 2 righe.

 max_400, N.D.

in 2 righe se ho una pagina tipo
dispatch.php
<?php
$var = $_POST['parameter'];
include($var);
?> se faccio da browser
http://www.sito.it/dispatch.php?paramet ... ellc99.txt?
o
http://www.sito.it/dispatch.php?paramet ... ellc99.php?
in questo modo si include la shell nel server e ne ho il pieno controllo serve anche spiegazione di sql injenction ?

si certo anche sql injenction la soluzione è in addlasches /" qualkosa del genre
è meglio un piccolo esempio
grazie. quando si tratta di url non dovrebbe essere $_GET?
la soluzione per evitare iniettare la shell
[code:3e9chr60]<?php
$var = htmlspecialchars($_GET['parameter']);
include($var);
?>[/code:3e9chr60]
in questo modo si può bloccare?
in sostanza la shell è una specie di variabile? o qualkosa che si mangia ma porta acidità alla vittima?
Grazie.

 max_400, N.D.

beh si in quel caso si GET e non post (scusa ma mentre ti scrivo sto codando un gestionale in php....)
cmq gli include sono pericolosi se non trattati bene nel senso io faaccio include a pagine specifiche (include ('pagina.php'));
oppure come in questo caso ho una lista di "suffissi" sicuri che se non sono presenti li mi apre uno di default quindi quando faccio index.php?NomePagina&module=mod_prova&action=add se esiste Module/Prova/add.php
e se add.php è presente nell'array delle pagine sicure
allora lo includi
altrimenti mi metti default.php per l'sql inj il procedimento è simile nel senso che spesso facciamo delle boiate tipo $nome = $_POST['nome']; // o anche $_GET $sql = "SELECT * FROM tabella WHERE campo LIKE %$nome%";
mysql_query($sql); ecco...questa è una cosa ALTAMENTE ERRATA
perchè non puliamo la var $nome in questo modo un attccante semplicemente mettendo l'apostrofo puo fare una serie di query e mapparsi l'intero db quindi prendento TUTTE le informazioni che trova li sopra... il metodo giusto è $nome = addslashes($_POST['nome']);
in alternativa (ancora meglio)
$nome = mysql_real_escape_string($_POST['nome']);
la differenza è che la prima se trova caratteri "strani" ci mette uno slash
la seconda oltre a "sleshare" caratteri strani ti formatta il dato in modo comprensibile per mysql
ad esempio $test = "2010-01-01";
$clean-test = mysql_real_escape_string($test); echo $test; //2010-01-01
echo $clean-test; '2010-01-01' intendiamoci CORRETTO (vedi le date)
SELECT * FROM tabella WHERE campo BETWEEN '2010-01-01' AND '2011-01-01'
NON CORRETTO (vedi sempre le date)
SELECT * FROM tabella WHERE campo BETWEEN 2010-01-01 AND 2011-01-01 sono stato chiaro ?

la shell è semplicimente del codice in php
tanto codice in php che ti permette di fare tante cose che altrimenti non faresti

Sì..è perfettamente chiaro grazie! Però una cortesia quando posti il codice usa il tag CODE tanto per rendere il tuo post più ordinato.
Grazie di tutto!
Ciao! Er Moderator
By Max_400

 max_400, N.D.

ok!

Ehm...dimenticavo una cosa...
Un Saluto ad un mio Carissimo Amico Pablito è da un po di tempo che non lo vedo... Ciao Capo! Se mi dai il tuo indirizzo ti mando una bella cravatta come quella che ho io nel mio sito
[url=http://max400scuola.altervista.org/index.html:19ko66g7]sito di max400[/url:19ko66g7] il capo! il capo! il capo! Er Topo
Max400

 max_400, N.D.

heheheh evviva Pablito!

001design.it ® è un marchio registrato.
© 2004-2017 Molfese Paolo - P.Iva: 03430820617 - All rights reserved | Tutti i diritti sono riservati.