Хак Взлом любого сайта с модулем Облако тегов для DLE - все версии движка

[TheFosT]

а еще можно и нужно в настройках админки иметь такой расклад:
Метод авторизации в админпанели = Расширенный метод
+ для надежности и большей параноидальности
Контроль изменения IP адреса = Высокий уровень
Сбрасывать ключ авторизации при каждом входе? = Да

(ну и надеюсь админка не admin.php называется + я себе даже в .htaccess админку разрешил только с одного ИП )

и кража кук будет бесполезна

подскажи как сделал 1 IP для админки?

 

[Hakser]

ничего не работает
наверное это у определённых версий скрипта...

 

[-=MaD_DoG=-]

ничего не работает
наверное это у определённых версий скрипта...

Уязвимость обнаружена на версиях: 7.5 - 8.5

Добавлено через 4 минуты

подскажи как сделал 1 IP для админки?

Синтаксис для этих директив таков:

Order Deny,Allow (или Allow,Deny – в зависимости от того, что требуется)
Deny from all (или адрес хоста)
Allow from all (или адрес хоста)

Например,
Order Deny,Allow
Deny from all
Allow from 192.168.0.
Allow from .localnet
Allow from admin.somewhere.in.the.net
вызывает отказ в доступе для всех, кроме сети 192.168.0.0/24, всех хостов, DNS имя которых содержит .localnet, а также хоста, DNS имя которого admin.somewhere.in.the.net.

 

[-=BlackSmoke=-]

Кстати, а почему не указано, что это уязвимость в стороннем модуле, а не в движке? У меня заказчики уже боятся юзать ДЛЕ, начитавшись подобных мегохацкерских тем

 

[blackcat72]

а еще можно и нужно в настройках админки иметь такой расклад:
Метод авторизации в админпанели = Расширенный метод
+ для надежности и большей параноидальности
Контроль изменения IP адреса = Высокий уровень
Сбрасывать ключ авторизации при каждом входе? = Да
(ну и надеюсь админка не admin.php называется + я себе даже в .htaccess админку разрешил только с одного ИП )
и кража кук будет бесполезна

А как быть с журналистами сайта, которые тоже входят в админку хоть и со своими правами?

 

[blackcat72]

посмотри постом выше, написал же как добавить админа также и журавля

Я то примерно понял. Вот только я не могу знать айпишники своих журналистов. Или точнее не факт, что у них он постоянный. Или мне от них требовать всю их подстеку тогда, чтобы внести в разрешенную. А так - все равно расширяется диапазон айпишников и снижается степень защиты. Но как вариант, конечно, хороший.
Насчет скрытия админки (не админ.рнр) тоже это не на долго.
Но опять же согласен - главное затруднить всяким взломщикам работу

 

[eremin]

проверил, куки взял, во только как хэш расшифровать, вот это уже проблема...

 

[_aleksey_]

Подскажите, плиз, может ли быть эта тема как-то связана с тем, что я наблюдаю на одном своем сайте и целом ряде чужих сайтов на дле:

Для просмотра ссылки Войди или Зарегистрируйся

 

[Горбушка]

Спорное мнение создалось... С одной стороны, тут ничего опасного: куки админы стырить нельзя, значит хеша его пароля не получишь - под ним не заёдёшь... С другой стороны, выполнение стороннего JS на сайте тоже не есть гуд, НО JS выполняется на стороне ПОЛЬЗОВАТЕЛЯ, а не сервера, а значит ничего получить нельзя, кроме того, что браузер и так получил... Кто-нить, объясните, как вообще JS вытянуть с сервака что-то, что тебе не предназначено?
_aleksey_, нет, по идеи не должно.
Для кул хацкеров: МД5-хеш не расшифровывать надо, а в куки вставлять в качестве пароля

 

[photobrand]

Зря вы считаете что поисковики с флешем не общаются вот выдержка из правил рамблера
Рамблер умеет извлекать гиперссылки из объектов Macromedia Flash. Если Ваш сайт имеет заставку или навигационные панели, выполненные c использованием этой технологии, Рамблер обработает их, найдет адреса всех страниц сайта и проиндексирует весь сайт. Однако, сами тексты flash-объектов не индексируются. Это решение принято потому, что большая часть таких объектов содержит элементы навигации, заставки, меню и другие фрагменты, очень важные в качестве источника гиперссылок, но малоинформативные как текст. Для сайтов, которые целиком состоят из flash-объектов, рекомендуется создать HTML-копию и зарегистрировать ее в поисковой машине.
Вот ссылка на эту страницу

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.