Báo cáo đồ án bảo mật forum VBB

BÁO CÁO MÔN HỌC:
SECURITY+
ĐỀ TÀI:

SECURITY FORUM VBB

2


LỜI MỞ ĐẦU
Hiện nay Tin học ở Việt Nam chúng ta phát triển mạnh mẽ , Các Website
cá nhân, các diễn đàn (forum) nhiều vô kể. Tất nhiên từ đó sinh ra các hacker
hoặc là anh chàng mới chập chững vào nghề mò mẫm tìm các phiên bản còn lỗi
của các ứng dụng Web như shopping Online, các loại forum viết bằng ngôn ngữ
PHP rong đó phải kể đến sự hiện diện của hai loại forum phổ biến nhất có thể
nói trên toàn thế giới là Invision Board Forum(IBF) và Vbulletin Board (VBB).
Với nội dung khá phong phú, đó có thể là một nơi trao đổi của học sinh các
trường phổ thông hay một nhóm người, một tổ chức hacker ,…Có những forum
chuyên về hacking và bảo mật, âm nhạc, giao lưu học hỏi, …nói chung là đa
dạng và phong phú.
Nhưng bảo mật đang là vấn đề bức bách của mỗi website, làm sao để có
thể chống lại sự tấn công , làm sao để yên tâm trước sự đe dọa của mũ đen tin
học.
Và đề án “Sercurity cho Forum VBB “ này chúng tôi hi vọng sẽ góp
phần nào cho công việc bảo mật của các Webmaster với ứng dụng VBB.

2


MỤC LỤC
LỜI MỞ ĐẦU

Chương 1: Khái quát về Bảo Mật
1.Khái niệm về bảo mật……………………………………………4
2.Khái niệm về Forum……………………………………………..5
3.Tại sao phải bảo mật Forum……………………………………..5
Chương 2: Các phương pháp bảo mật cho Forum VBB
1.Khái niệm về Forum VBB……………………………………….6
2.Các phương pháp bảo mật cho Forum VBB…………………….7
2.1 Chống Hack Local…………………………………………...7
2.2 Đổi tên xóa file thư mục dung file rotbos.txt…………………8
2.3 Không nên truy cập ngay các phiên bản mới nhất…………..8
2.4 Không nên Hack quá nhiều MOD…………………………...8
2.5 Chống Flood cho diễn đàn…………………………………..8
2.6 Không nên sử dụng một số từ ……………………………….9
2.7 Xóa Cooki-e lần nữa trước khi logout………………………9
2.9 Đặt file index.html hoặc .htpasswd………………………….9
2.10 Dùng kỹ thuật Local Attack đối với VBB…………………..9
2.11 Dùng DnP Firewall…………………………………….....11
2.12 Remo Vesion From VBB…………………………………..13
2.13 Thường xuyên vào các trang bảo mật……………………15
2.14 Thêm khóa bảo vệ cho thư mục và file bằng CHMOD…...15
2.15 Thêm khóa bảo vệ thư mục Admincp……………………..15
2.16 Một số cách đơn giản khác………………………………..15
3. Một số mô hình bảo mật cho VBB…………………………….17
4.Ứng dụng của bảo mật Forum VBB……………………………23
KẾT LUẬN

2

Chương 1: Khái quát về bảo mật
1.Khái niệm về bảo mật
Bảo mật là sự hạn chế khả năng lạm dụng tài nguyên và tài sản. Bảo mật trở
nên đặc biệt phức tạp trong quản lý, vận hành những hệ thống thông tin có sử
dụng các công cụ tin học, nơi có thể xảy ra và lan tràn nhanh chóng việc lạm
dụng tài nguyên (các thông tin di chuyển vô hình trên mạng hoặc lưu trữ hữu
hình trong các vật liệu) và lạm dụng tài sản (các máy tính, thiết bị mạng, thiết bị
ngoại vi, các phần mềm của cơ quan hoặc người sở hữu hệ thống). Hạn chế ở
đây có ý rằng không thể triệt phá hết ngay việc lạm dụng, cho nên cần sẵn sàng
đề phòng mọi khả năng xấu với các phương cách thích hợp và chuẩn bị xử lý
các sự cố nếu có việc lạm dụng xảy ra.
An toàn của một hệ thống thông tin thực chất là sự đảm bảo an ninh ở mức
độ chấp nhận được. Muốn hệ thống thông tin an toàn thì trước hết phải có sự
đảm bảo thông tin trên cơ sở mạng truyền dữ liệu thông suốt. Sau chữ an toàn
thưởng có chữ bảo mật để mở rộng khía cạnh đảm bảo bí mật về nội dung thông
tin.Như vậy, an toàn bảo mật hệ thống thông tin là đảm bảo hoạt động lưu thông
và nội dung bí mật cho những thành phần của hệ thống ở mức độ chấp nhận
được.
Ý nghĩa của việt bảo mật
Ai có một trang với toàn hàng độc, không muốn người khác chôm chỉa thì ko
nói làm gì. Nhưng trang thuộc dạng mã nguồn mở, ko có gì để che dấu lại càng
phải tăng thêm tính bảo mật.
Khi bảo mật kém, hacker có thể lấy pass admin, tự tạo nick admin (root mới
kinh), ddos, phá hoại ngầm forum, cài virut, hack những acc ở diễn đàn/ website
khác, bị xóa sạch hoặc tê liệt hoàn toàn forum. Đôi khi, bạn có thể mất host và
domain.
Bạn đừng nghĩ mình không gây thù oán với ai là ko bị hack. Có thể có những
hacker rảnh rỗi, có thể có 1 thằng spam, bị bạn ban và hắn hack (hoặc gọi người
quen hack hộ)...

2


Có rất nhiều chứng minh cho việc bảo mật là vô cùng quan trọng

2.Khái niệm về Forum
Forum (Diễn đàn điện tử) là 1 Website nơi mọi người có thể trao đổi,
thảo luận, bày bỏ ý kiến về những vấn đề cùng quan tâm. Các vấn đề thảo luận
được lưu giữ dưới dạng các trang tin. Đây là hình thức thảo luận không trực
tiếp, bạn có thể đưa bài thảo luận của mình lên Forum nhưng có khi ngay lập
tức hoặc vài ngày, vài tuần, thậm chí vài tháng sau mới có người trả lời vấn đề
của bạn.
3.Tại sao phải bảo mật Forum?
Ai có một trang với toàn hàng độc, không muốn người khác chôm chỉa
thì ko nói làm gì. Nhưng trang thuộc dạng mã nguồn mở, ko có gì để che dấu lại
càng phải tăng thêm tính bảo mật.
Khi bảo mật kém, hacker có thể lấy pass admin, tự tạo nick admin (root
mới kinh), ddos, phá hoại ngầm forum, cài virut, hack những acc ở diễn đàn/
website khác, bị xóa sạch hoặc tê liệt hoàn toàn forum. Đôi khi, bạn có thể mất
host và domain.
Bạn đừng nghĩ mình không gây thù oán với ai là ko bị hack. Có thể có
những hacker rảnh rỗi, có thể có 1 thằng spam, bị bạn ban và hắn hack (hoặc gọi
người quen hack hộ)...Có rất nhiều chứng minh cho việc bảo mật là vô cùng
quan trọng.Để bảo mật trang forum của mình, các bạn có rất nhiều cách và mỗi
cách lại có ưu/ nhược riêng.Cũng có thể sử dụng nhiều phương án bảo mật trong
1 forum nhưng đôi khi, chúng có thể gặp xung đột.

2

Chương 2: Các phương pháp bảo mật Forum VBB

1.Khái niệm về Forum VBB
VBB là viết tắt của từ VBulletin Board là một giải pháp dùng để xây
dựng cộng đồng trên internet (forum).Ưu điểm của nó là giao diện đẹp, tính bảo
mật cao, quản lý dễ dàng, nhiều chức năng. vB được viết bằng PHP và sử dụng
cơ sở dữ liệu chủ yếu là MySQL.Là một mã nguồn có thu phí được cung cấp
bởi Hãng : Jelsoft Enterprises Limited, Website : giá
khoảng 160 $ cho một Owned License.
Nhưng hiện nay trên Internet có khá nhiều phiên bản được hack NULL dành
cho những ai không có khả năng mua bản quyền, nhất là HS,SV Việt Nam. Về
việc cài đặt một diễn đàn mới các bạn nên cài đặt một bộ mã nguồn mới, không
nên dùng lại mã nguồn người khác Share với tiêu đề như Share Vbb 3.64 Full
Mod + Skin ,... với những phiên bản vbb share kiểu này rất rắc rối & phiền phức
cho những ai mới sử dụng vB.
a.Thông tin chung
vBulletin là phần mềm tạo diễn đàn phổ biến nhất trên Internet được phát triển
và cung cấp bởi hãng vBulletin Solutions. Ngày 29/08/2010, một lỗ hổng trên 2
phiên bản 3.8.4 và 3.8.5 của phần mềm này được phát hiện cho phép hacker có
thể tạo ra được các account có tên trùng với tên của account đã có sẵn.
b. Mô tả kỹ thuật
Lỗ hổng được phát hiện nằm trong chức năng đăng kí thành viên của diễn đàn.
Thông thường thì forum Vbb có chức kiểm tra và không cho phép đăng kí 2
thành viên có trùng tên. Tuy nhiên, khi một account mới được đăng kí có tên là
tên của một account đã có trước đó (VD: admin) cộng thêm với kí tự: �
(admin�), quá trình kiểm tra sẽ cho thấy đây là 2 account khác nhau, nhưng
thao tác xử lý dữ liệu tiếp theo trước khi lưu account mới vào database của VBB
sẽ xóa 3 kí tự “�” làm cho account có tên trùng với account đã có.
Điều này không chỉ gây ra nhầm lẫn mà hơn thế sự nhập nhằng này làm cho
chức năng của gửi private message sẽ hoạt động sai dẫn tới các message gửi đến

cho account cũ sẽ được gửi tới cho account trùng tên được đăng kí sau.
c. Cập nhật bản vá
Đánh giá đây là lỗ hổng nghiệm trọng, Bkis khuyến cáo những cá nhân, tổ chức

2


sử dụng vBulletin phiên bản 3.8.4 và 3.8.5 nhanh chóng vá lỗ hổng này theo
một trong hai phương pháp sau:
Phương pháp 1:
1. Đăng nhập vào admincp.
2. Chọn chức năng censorship Option.
3. Thêm &# vào phần Censored Words section
4. Chọn Save.
Phương pháp2:
Nâng cấp lên diễn đàn lên các phiên bản mới hơn (>3.8.5)

2. Các phương pháp bảo mật cho Forum VBB
2.1. Chống Hack Local:
Hack local là nổi ám ảnh của các diễn đàn, đây là phương pháp hack khá
dễ và độ thành công của nó rất cao.
Hacker tấn công theo phương pháp trên bằng cách nào? Đầu tiên họ sẽ
làm thế nào đó để có thể có một hosting trên cùng server với hosting của
bạn( mua bằng thẻ tín dụng, hay mua bằng tiền mặt). Sau đó sẽ upload lên host
của họ một con remview.php (script này do nhóm hacker Nga viết). Họ sẽ chạy
script này trên IE ví dụ: ; với tác dụng của script
này , nó có thể xem toàn bộ các user trên Server đó, thậm chí có thể xem nội
dung từng file trong các user này. Đối với forum IBF thì hacker xem nội dung
file conf_global.php và forum VBB thì xem nội dung file config.php trong thư
mục Includes, đây là 2 file chưa các thông tin về cơ sở dữ liệu trong forum của

bạn. Như vậy là họ biết các thông số về Cơ sở dữ liệu trong forum (user
DB,PassDB , Dbname). Qua đây hacker có thể khai thác tài nguyên bằng cách
chạy một forum cùng chung Database với forum của bạn, và có thể Drop (xóa)
tất cả Dữ liệu trong forum bạn.
Để chống lại cách hack local bạn cần phải làm thế nào đó cho các hacker
không thể xem được nội dung của những file chứa thông tin cơ sở dữ liệu.
ChMod là một phương pháp tốt để chống nó. ChMod các thư mục các file trong
thư mục Forum. ChMod là thay đổi thuộc tính của thư mục, file nó cho phép
người khác có thể xem , đọc, sửa chửa các file của bạn hay không.
Đầu tiên ChMod thư mục Public_html thành 710 hoặc 711(nếu Server
2


cho phép). Bạn Chmod tất cả các thư mục thành 755, tiếp theo sau đó đối với
forum IBF thì Chmod file conf_global.php và đối với forum VBB thì chmod
file config.php thành 644. Như vậy hacker không thể xem nội dung 2 file quan
trọng trên.
Thêm một phương pháp nữa là bạn mã hóa (Zencode) nội dung cả hai file
trên. Phương pháp này rất an toàn nhưng có hạn chế là nếu bạn quên các thông
tin về cơ sở dữ liệu thì không thể nào lấy lại được , có thể tham khảo tại
Welcome to Zencode
2.2. Đổi tên , xóa các thư mục, dùng file robots.txt:
Các chương trình Scan Web có thể xem cấu trúc website của bạn, nhằm
chống và hạn chế thì bạn có thể tham khảo các cách sau:
Đối với Forum VBB thì bạn tiến hành đổi tên thư mục AdminCP, ModCP trong
file config.php. Bạn tìm và thay thế hai từ trên thành tên bất kì. Sau đó sẽ đổi
tên cả hai thư mục đó thành tên mà bạn đã đổi trong file config.php
Xóa các thư mục: Đối với hai loại forum trên thì bạn nên xóa thư mục install
khi đã cài đặt xong.
Xóa file: Nếu bạn đang sử dụng forum IBF phiên bản 1.3 thì xóa file:

ssi.php và vì hacker có thể chiếm đoạt quyền Admin thông qua file ssi.php
Dùng file robots.txt: cách viết và sử dụng file này đã đăng trên nhiều số báo của
Echip, bạn có thể xem lại
Bạn mở thư mục includes mở tiếp file config.php
Tìm đoạn sau:

$config['Misc']['admincpdir'] = 'admincp';
$config['Misc']['modcpdir'] = 'modcp';
Thay admincp và modcp bằng tên mà bạn sẽ đổi cho 2 thư mục này.
Chú ý: Nên chèn các ký tự dạng @,_,# vào tên các thư mục này khi đổi tên.
2.3. Không nên cập nhật ngay các phiên bản mới nhất:
Bởi các nhà viết Source không nhận ra các lỗi trong phiên bản này nên
bạn cần lưu ý, trong quá trình sử dụng nên chọn phiên bản đã bảo mật tốt,
không bị các lỗi để hacker khai thác. Sau khi họ đã cập nhật cách sửa lỗi thì lúc
đó bạn Upgrade lên cũng chưa muộn.

2


2.4. Không nên hack quá nhiều Mod:
Đối với hai loại Forum phổ biến trên thì cập nhật thêm các công dụng rất
nhiều, cũng chính trong quá trình đó phát sinh ra nhiều lỗi kĩ thuật (bug), bạn
chỉ nên cập nhật các Mod cần thiết cho forum của mình.
2.5. Chống flood cho diễn đàn :
Ở hai loại forum này đã có các chế độ chống flood. Bắt buộc phải xác nhận
ảnh (gồm chuổi chữ, số khi đăng kí. Định thời gian log out. Vì vậy bạn nên
Enable các chức năng này trong Admin Control Panel .
2.6. Không cho sử dụng một số từ trong bài viết của thành viên:
Bạn nên bỏ chức năng sử dụng tag (thẻ html trong bài viết vì qua đây có thể
lấy được các thông tin của thành viên khác.Loại bỏ một số từ, kí tự: “,” , “;”,

“//”, “/”.
2.7. Xóa cooki-e lần nữa khi đã logout:
Mặc dù cả hai loại forum trên đã có chế độ tự động xóa cooki-e mỗi khi
thành viên log out nhưng nó thường xuyên bị lỗi, do vậy sau khi đã logout tốt
nhất bạn nên vào Internet Option sau đó chọn Delete cooki-e.
2.8. Gỡ bỏ chương trình Upload bằng FTP:
Một số chương trình sẽ lưu lại Username và mật khẩu của bạn nên sau khi
đã hoàn thành Upload các file cần thiết lên thư mục nào đó trong forum bạn nên
gỡ bỏ các chương trình này, vào Add/Remove Program để thực hiện chức năng
này
2.9. Đặt file index.html hoặc file .htpasswd trong thư mục dành riêng cho
nhóm người nào đó:
Đây là phương pháp ngăn không cho mọi người có thể tự động khai thác tài
nguyên một cách vô tư , đồ “quý hiếm” dành cho một nhóm người nào đó trong
Diễn đàn.
Bạn có thể tạo một file index.html với nội dung bất kì hoặc để trống , sau đó
upload lên thư mục cần bảo mật.
Thứ hai là có thể đặt file .htpasswd với mật khẩu chỉ dành riêng cho nhóm
người đó trong thư mục cần bảo mật.
2.10. Dùng kỹ thuật Local Attack đối với VBB
Code:
+ Dựa vào config.php để lấy pass
Dựa vào quyền ghi,sửa,xóa file trên host webmaster để ghi web rookit(Hoặc
webshell).
+ Brute Force với các diễn dàn không đặt chế dộ strike user.

2


+ Sniffer password thông qua cấu hình lõng lẽo của server.

+ Cũng có thể một hacker nào đó đã vui tính có được password của webmaster
từ trước.
Không loại trừ bất cứ trường hợp nào có thể dẫn đến một kết cục tai hại là bạn
phải trả phí để Server Owner hồi phục lại dữ liệu forum. Với những trường hợp
trên thì chống nó thế nào?
Rất nhiều lần các anh em của X đã hỏi như thế. Câu trả lời của X là làm ngược
lại attacker. Cũng giống như một câu đố vậy. Thường thì hầu hết webmaster sẻ
không biết cách làm ngược của quá trình tấn công đâu. Kể cả khi bạn là kẻ tấn
công thì X xin hỏi bạn đã làm một việc gì đó phản lại kết quả của bạn chưa. Và
sau đây là phần cần đọc nhất của bài viết này.
1. Thay đổi file cấu hình để tránh attacker đọc được nội dung cấu
hình(Username, Password & Database Name)
* Đối với forum VBB đường dẫn file config thông thường:
Code:
+ www://tênmiềncủabạn/đườngdẩnforum/includes/config.php
/thưmụcforum/includes/config.php

+

A. Các bước thay đổi file config
Bước 1: tạo mội file mới nội dung giống như file config.php đặt tên là
security.chuổi-ký-tự-ngẩu-nhiên.php
Code:
ví dụ: security.hello-hacker.php
Bước 2: thêm cuối file config.php với nội dung:
Code:
unset($config);
foreach (glob('thưmụcforum/includes/security.*.php') as $config_file) {
include($config_file);
}

Sau khi thêm đoạn code trên vào cuối file bạn có thể tự nhiên thay đổi nội dung
của file config.php nhằm đánh lừa attacker.
Thực ra file security.chuổi-ký-tự-ngẩu-nhiên.php mới là file cấu hình của diễn
đàn. bạn có thể thay đổi chuổi ký tự này hằng giờ, hằng ngày. Tôi tin rằng với
tốc độ siêu chống mặt này, hacker sẻ khó lòng đoán path file cấu hình diễn đàn
của bạn.
B. Thay đổi file config.php với Seevn Tookit
* Tải file seevn4sevbb.php trong mục đính kèm.
Bước 1: upload file seevn4sevbb.php vào thư mục chứa forum
Bước 2: chạy đường
dẫn http://tênmiềncủabạn/đườngdẩnforum/seevn4sevbb.php

2


* Nếu xảy ra lỗi vui lòng gửi đường dẫn forum của bạn trong bài trả lời bên
dưới. Sau khi cài đặt hoàn tất bạn có thể xóa file.
2. Đặt pass thư mục Admincp để bảo mật.
Tạo 2 file .htpasswd & .htaccess trong thư
mục http://tênmiềncủabạn/đườngdẩnforum/admincp
Tạo file .htpasswd với nội dung.
Code:
tàikhoản:mậtkhẩu
tàikhoản và mậtkhẩu ở đây là tài khoản mật khẩu sẻ truy vấn bạn nếu bạn vào
thư mục admincp
Tạo file .htaccess với nội dung.
Code:
AuthName "AntiSuft"
AuthType Basic
AuthUserFile "thư-thư-mục-chứa-file-htpasswd/.htpasswd"

3. Luôn chắc chắn là bạn bật chế độ strike user.
Với chế độ này nếu user sai mật khẩu 5 lần trong thời gian 15 phút sẻ bị khóa
15 phút nếu bạn bỏ qua chế độ này, có thể một ngày nào đó bạn sẻ nhận vài
ngàn request để crack mật khẩu của webmaster diễn đàn đó.
4. Ẩn file chống virus và user cùng server view file.
Với linux CHMOD 0101 thư mục chứa forum của bạn. Nếu CHMOD thành
công, khi bạn vào thư mục thông qua CPanel hoặc FTP bạn sẻ không thấy file
hiển thị. Nếu không thành công bạn có thể liên hệ và hỏi trực tiếp chủ server để
được giải đáp.
Với window server bạn phải liên hệ chủ server nếu webcontrol panel không hổ
trợ chế độ ẩn file.
5. Kiểm tra file thường xuyên.
Kiểm tra file php hoặc các file có quyền thực thi trong hostting của bạn.
Chú ý: với VBB bản crack thường có file validator.php, bạn không nên để file
trên hostting của mình.
2.11. Dùng DnP Firewall : Chống tấn công DoS / Spam / Bots cho vBB
DnP Network phải hứng chịu các cuộc tấn công DoS và Spam mỗi ngày.
Nó đã ít nhiều giúp cho diễn đàn giảm được ảnh hưởng nặng nề từ các cuộc tấn
công này và loại bỏ được hàng trăm lượt spam từ những con bot tự động trên
mạng khá hữu hiệu. Phiên bản release cho mọi người hình như đã cách đây
khoảng 3 năm trước và chưa hề có một lần cặp nhật nào từ lúc ấy. Bản 0.3 có
vài vấn đề DnP Firewall được Silveryhat viết ra hai ba mươi mấy năm về trước
trong thời điểm diễn đàn đề nhỏ chưa được giải quyết dù nó chạy rất ổn định.
Silveryhat quyết định viết một cập nhật nhỏ cho DnP Firewall và đơn giản hóa

2


một vài tác vụ trong mã. Mong rằng đoạn script nhỏ này có thể giúp ích được
cho diễn đàn của bạn trong trường hợp lũ vào nhà.

*Tường lửa này tương thích với tất cả hệ thống diễn đàn PHP và tương
thích với các bộ máy tìm kiếm*
a - Sử dụng tường lửa này để giúp diễn đàn của bạn chống lại
1. Những con Bot tự động săn link và chôm thông tin
2. Bọn Spammers
3. Flooding Attack
4. DoS
5. Loại trừ những cuộc tấn công ngầm nguy hiểm để khai thác lỗi tự động
6. Hai lớp bảo vệ thông minh
7. Các bộ máy tìm kiếm có thể truy cập.
b - Tính năng phụ
1. Tăng lượt trang và tiền cho các trình quảng cáo như Adsense, Bidvertiser khi
bạn cài đặt vào trang Firewall.
2. Làm một trang giới thiệu cho diễn đàn bạn.

c - Cài đặt cho diễn đàn vBulletin
a. Upload tất cả tập tin lên thư mục chính của diễn đàn bạn
b. Mở global.php bằng Notepadd
Tìm (đối với version vbb3)
2


Code:
// identify where we are
define('VB_AREA', 'Forum');
Tìm (đối với Version vbb4)
Code:
define('VB_AREA', 'Forum');
Thêm vào trước đó:
Code:

if(file_exists('dnp_fw.php')){require_once('dnp_fw.php');}
Lưu ý: backup file global.php trước khi thực hiện thao tác trên.
d - Lưu ý
Cho dù tường lửa này có thể giảm bớt hậu quả của một cuộc tấn công DoS /
Flood nhưng nó không thể nào loại bỏ hoàn toàn các vấn đề không may xảy ra
từ cuộc tấn công ấy. Silveryhat sẽ không chịu trách nhiệm trong hoàn cảnh này.
Bạn có thể và rất nên hiệu chỉnh skin và layout của trang Firewall nếu bạn biết
về HTML từ trang dnp_fw_template.php nhưng bạn hãy tôn trọng quyền tác giả
và không thay đổi thông tin Copyrights
2.12. Remove version from VBB (bỏ dòng version ở forum vbb)
Đầu tiên bạn vào admin control panel.
Dưới Styles & Templates >Style Manager >Chọn skin mà bạn muốn sửa >Edit
Templates > Edit Footer template
Tìm:

-------------------------------------------------<div align="center">
<div class="smallfont" align="center">
<!-- Do not remove this copyright notice -->
$vbphrase[powered_by_vbulletin]
<!-- Do not remove this copyright notice -->
</div>

2


-------------------------------------------------Thay thế bằng:

-------------------------------------------------<div align="center">
<div class="smallfont" align="center">
<!-- Do not remove this copyright notice -->

Powered by vBulletin


Copyright © 2000 - 2006, Jelsoft Enterprises Ltd.
<!-- Do not remove this copyright notice -->
</div>
-------------------------------------------------Hoàn tất công đoạn bỏ version ở footer rồi.
Bây giờ các bạn vào admin/mod login.
Sửa includes/adminfunctions.php

-------------------------------------------------<?php echo "vBulletin " . $vbulletin->options['templateversion'] . "
$pagetitle"; ?>

-------------------------------------------------Thay thế bằng:

-------------------------------------------------<?php echo "vBulletin Admin Control Panel"; ?>

-------------------------------------------------Mở file ./forum/archive/index.php
Tìm:

2


-------------------------------------------------<div id="copyright\">$vbphrase[vbulletin_copyright]</div>
-------------------------------------------------Thay thế bằng:

-------------------------------------------------<div>pro9x.com Copyright ©2006 - 2007
Powered by vBulletin
Copyright ©2000 - 2006, Jelsoft Enterprises Ltd.</div>
-------------------------------------------------CHÚ Ý:

vBulletin version sẽ bị gỡ bỏ từ các trang sau:
Board Index
Admin Login
Mod Login
ArchivesNhưng mình chỉ hướng dẫn các bạn gỡ bỏ version, khuyên các bạn
không nên gỡ bỏ bản quyền

2.13. Thường xuyên vào các Website Bảo mật để xem thêm thông tin và
cách khắc phục các lỗi cho Diễn đàn của mình.
Trên Internet có nhiều forum chuyên về bảo mật cho lỗi của hai loại forum
trên, đây là một số trang bạn có thể tham khảo:
vBulletin® - Instant Community ; vBulletin.org Forum - The Official vBulletin
Resource! ; Invision Power Services :: Community :: Board :: Home ; .:: H V A
O n l i n e ::.
2.14. Bảo vệ thư mục và file bằng CHMOD
Bạn CHMOD toàn bộ các thư mục trong thư mục gốc giá trị là 101 và toàn
bộ các file ngoài thư mục gốc có giá trị là 400.
Nếu bạn đặt file bộ gõ ở thư mục gốc thì phải CHMOD cho file này là 444.
Khi CHMOD theo các giá trị như trên thì sẽ hạn chế được local, vì các lệnh
show thư mục sẽ không hiển thị được, ngay cả khi bạn dùng chương trình FTP
cũng không thể hiển thị được nội dung thư mục. Nếu muốn sửa, xoá, up thêm
file vào trong thư mục hoặc sửa các file ở thư mục gốc, bạn phải CHMOD cho
nó trở về giá trị ban đầu. Giá trị CHMOD mặc định của thư mục là 755 và của

2


file là 644.
2.15. Thêm khoá bảo vệ thư mục admincp
Cpanel của host thường có chức năng đặt pass cho dir ...các bạn sử dụng để

đặt pass cho dir admincp
2.16. Một số cách đơn giản khác
Backup thường xuyên
Backup mỗi ngày ít nhất 1 lần (nếu forum lớn) hoặc 1 tuần 1 lần (nếu
forum nhỏ) và ít nhất 1 tháng backup toàn bộ file 1 lần.
Để làm được việc này một cách nhanh chóng, các bạn cần mod
autobackup và 1 đoạn code php để nén các file trên host (một số host có
chức năng nén thì ko cần)
Bảo vệ admin root
Admin root vô cùng quan trọng, dù các bạn có thể xóa ID đó là admin
root nhưng trong thời gian hacker chiếm dc acc nào cũng đủ làm trang
của bạn trở thành bình địa : ))
Vì vậy, các bạn chỉ nên sử dụng nick admin root tại localhost còn post bài
trên mạng nên tạo 1 acc admin full quyền và sử dụng.
Tuyệt đối không bấm vào các link lạ do mem post lên bằng ID admin root
nếu không có tường lửa cũng như trình diệt virut xịn.
Nên thay pass admin mỗi tuần.
Không hack mod quá nhiều
Có một số mod làm giảm tính ăng bảo mật nên trước khi hack mod cần
kiểm tra kỹ càng các mod đó.
Khi upload folder để hackmod, hãy Chmod nó thành 744 và các tệp thành
644
Tất cả folder đều có file index.htm
Ngoại trừ folder root và admincp/ modcp. Tất cả các folder đều cần file
index.htm để tánh sự dòm ngó.Che dấu các file hoặc folder nhạy cảm
Bảo vệ các file/ folder nhạy cảm
Những file sau vô cùng quan trọng và bạn nên dấu nó đi hoặc tăng cường
các spirit để bảo mật:config.php admincp panel
Cpanel là nơi quan trọng nhất nhưng bảo vệ nó thì mình ko làm gì dc
nhiều bởi nó thuộc sever root, nhà cung cấp host sẽ lo vụ bảo mật cho nó.

Việc bạn cần làm là không để bị lộ ID và pass.Và di chuyển cpanel tới
một nơi ko ai ngờ tới thay vì
Trích:

2


hay
Cũng như vậy, folder admincp và file config nên được di chuyển hoặc đổi
tên thay vì đặt mặc định.
Cũng có thể tạo thêm các spirit bảo vệ admincp như tăng thêm 1 bảng hỏi
pass, bắt buộc link đến admincp là từ IP của bạn...
Sử dụng .htpasswd
.htpasswd là file dùng để sửa sever nên rất có công dụng trong việc bảo
mật.
Sử dụng endcode unix password để mã hóa code
Thêm các đoạn spirit bảo mật (lên Google mà tìm )
Trích:
Options +FollowSlinks
RewriteEngine on
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?yourweb.com
[NC]
RewriteRule ^(.*).(php|html|asp|htm) antiddos.htm [NC]
Sử dụng các spirit bảo vệ
Đây là cách an toàn nhất nhưng dễ gây chậm forum hoặc xung đột với
nhau nên tốt nhất chỉ xài 1,2 cái thui. Không nên cài nhiều.Firewall DNP:
Nó là firewall tương tác rất tốt với vbulletin
File ddos_hunter.php (thợ săn ddos )
Trích:

echo '

target="_top" >Enter</a>

';
?>
Sử dụng antidos:
Tạo 1 file antidos.htm đơn giản và có 1 câu lệnh gọi file antidos.js
Và tạo 1 file antidos.js:
Trích:
var currUrl = this.document.URL;
var newUrl = currUrl.replace('#','?');
var re=/CODE/
var chk=re.test(currUrl);
if (chk==1)
{
this.document.write("<div align='center'>target='_self'>[Click vao day de xem noi dung]</a></div>");

2


}
else
{
this.document.write("<div align='center'>target='_self'>[Click vao day de xem noi dung]</a></div>");
}

3. Một số mô hình bảo mật cho Forum VBB
VD1: Tôi đưa ra một giả thiết rằng tài khoản Admin trên forum bạn bị ai đó
chiếm lấy bất hợp pháp (thông qua đoán pass, cài troyzan, ăn cấp password

cookie...).

Vấn đề đặt ra ở đây là sẽ phải có một pass thứ 2 để ngăn chặn bước chân của kẻ
muốn tấn công forum bạn lại chứ
Thông thường thì một số bạn dùng htaccess tôi sẽ cung cấp cho các bạn thêm

2


một cách làm nữa:
Cách thiết lập:
Bạn edit file global.php từ thư mục admincp của diễn đàn (không phải
global.php nằm bên ngoài index)
-Bạn tìm

-Thêm vào sau đó

//Khai bao dang nhap
$config['dn2_dnp'] = 'usename';
$config['mk2_dnp'] = 'password';

if ($_SERVER['PHP_AUTH_USER'] != $config['dn2_dnp'] ||
$_SERVER['PHP_AUTH_PW'] != $config['mk2_dnp']){
header('WWW-Authenticate: Basic realm="Xin vui long khai bao thong tin yeu cau truoc kh
duoc chuyen den bang dang nhap"');
header('HTTP/1.0 401 Unauthorized');
//Trang sẽ hiển thị khi thông tin khai báo sai bét. Hỗ trợ HTML nên bạn có thể thiết kế một
trang đẹp hơn
echo 'Đi chổ khác chơi đi chú em. Nhấn nút biến!';

exit;
}
-Save lại với mã là UTF-8
kết quả here

2


Bạn làm thêm một cái nữa ở modcp để bảo mật cho staff của mình luôn.
\
VD2: Hacker thông qua local biết được cấu trúc dữ liệu site bạn.Mục đích
của cuộc tấn công của hacker là đọc được file config, giả sử tôi có một file
config sau:

$INFO['sql_database'] = 'ngoisaon_Forums';
$INFO['sql_driver'] = 'mySQL';
$INFO['sql_host'] = 'localhost';
$INFO['sql_pass'] = 'HANOIMUATHU';
Đây là info database của diễn đàn hacker có thể thông qua nó drop database của
forum hoặc thông qua shell đổi được password của admin ~~~> nguy hiểm thật
nhỉ

2


Cách khắc phục:
- Chmod (ko bàn ở đây)
- Zend (dùng trình zendgaurd để zend lại các file php quan trọng)
- Đổi tên thư mục include (chứa file config) và file config.php
Tôi sẽ hướng dẫn các bạn đổi tên thư mục include (chứa file config) và file

config.php:
B1: Bạn edit file diagnostic.php trong thư mục admincp
-Tìm

$ignored_files = array('/includes/config.php', '/includes/config.php.new',
-Thay bằng

$ignored_files = array('/thư mục bạn muốn đổi tên/tên file config mới.php', '/thư mục bạn
muốn đổi tên/tên file config mới.php.new',
B2: Bạn edit file class_core.php trong thư mục include
-Tìm

include(CWD . '/includes/config.php');
-Thay bằng

include(CWD . '/thư mục bạn muốn đổi tên/tên file config mới.php');
-Tìm

2


if (file_exists(CWD. '/includes/config.php'))
-Thay bằng

if (file_exists(CWD. '/thư mục bạn muốn đổi tên/tên file config mới.php'))
- Bạn có thể chọn nhiều cách làm như thay đổi tên thư mục chứa file config
hoặc thay đổi file tên file config (làm 2 cách càng tốt).
tôi khuyên các bạn nên rename tên thành class_gì đó hoặc functions_gì đó để
gây thêm khó khăn về thị lực cho kẻ muốn xâm nhập - Còn file bạn tạo một file
mới với tên config.php và điền info như sau:

Lạy anh tha cho em em có làm gì nên tội thì anh hãy pm em mà trách tội em :))
Bonus cho bạn code fake bigdump mafia chôm được
demo là vipunder

<html>
<head>
<meta http-equiv="Content-Language" content="en-us">
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<meta name="GENERATOR" content="Microsoft FrontPage 4.0">
<meta name="ProgId" content="FrontPage.Editor.Document">
<title>.:: Loi roi ban ::.</title>
</head>
<body>
<table border="0" cellpadding="0" cellspacing="0" width="100%" height="162">
<tr>

2


<td width="33%" height="21"></td>
<td width="33%" align="center" height="21"></td>
<td width="34%" height="21"></td>
</tr>
<tr>
<td width="33%" height="75"></td>
<td width="33%" align="center" height="75">src=" /><td width="34%" height="75"></td>
</tr>
<tr>

<td width="33%" height="21"></td>
<td width="33%" align="center" height="21"></td>
<td width="34%" height="21"></td>
</tr>
<tr>
<td width="33%" height="24"></td>
<td width="33%" align="center" height="24">color="#FF0000"><b>Địa chỉ này không tồn tại hoặc bạn không được quyền truy cập!
</b></font></td>
<td width="34%" height="24"></td>
<font color="blue" size="5">Bạn sẽ được chuyển về trang bạn vừa
xem</font>
</tr>
<tr>
<td width="33%" height="21"></td>
<td width="33%" align="center" height="21">
<script language="javascript">
window.setInterval("history.go(-1)", 5000);
//history.go(-1);
</script>
</td>
<td width="34%" height="21"></td>
</tr>
</table>

2


</body>
</html>

4. Một số ứng dụng của bảo mật Forum VBB
Hướng Dẫn Bảo Mật Forum vBulletin Trên Shared Hosting
4.1. Bảo mật cho admincp !
Các bạn sử dụng share host (hầu hết là cpanel ... ),thì đặt pass cho folder
admincp

Hình ảnh thu nhỏ. Để xem hình lớn nhấn vào đây...
Nếu là cpanel -> chuột phải vào folder admincp rồi đặt password protect.Cái
này thì quá dễ rồi ko cần hướng dẫn nữa !
Nếu là plesk hay control panel nào mà ko có phần đặt pass thì bạn tự tạo file
.htacess rồi có require đến file htpasswd .(cái này google ra là có hết ! )

2


Thích thì bạn làm 1 cái nữa cho folder modcp của các điều hành viên !
Nên thay đổi tên thư mục admincp và modcp rồi sửa lại path trong file
config.php

Mã:
// ****** PATH TO ADMIN & MODERATOR CONTROL PANELS
******
//

This setting allows you to change the name of the folders that the admin

and
// moderator control panels reside in. You may wish to do this for security
purposes.

// Please note that if you change the name of the directory here, you will
still need
//

to manually change the name of the directory on the server.

$config['Misc']['admincpdir'] = 'admincp';
$config['Misc']['modcpdir'] = 'modcp';
-------------------------------------------------------------------------Giả sử,thằng hacker nó loạn tử cung được pass vào folder admincp của bạn,bây
h nó sẽ loạn tiếp cái pass của user admin trong forum bạn thì bạn làm sao để
biết được nó đang thâm nhập !
Bước 1: edit file login.php
Bạn tìm:
Mã:
$strikes = verify_strike_status($vbulletin->GPC['vb_login_username']); [code]
Và add sau nó:
[code]$username = $vbulletin->GPC['vb_login_username'];
$fdate = date('l, F jS, Y');
2