php - PHPBB3 ボードをハッカーから守る良い方法は?

Question

他のフォーラムがハッキングされているというニュースを聞き続けてください。ハッカーがそのように決心しているなら、彼らは方法を見つけるでしょうが、可能な限り、それが起こらないようにするためにあなたが取ることができる行動は何ですか?

Answer 1

PHPBB3 には別の脆弱性が存在し、ハッキングされます。PHPBB3 を最新の状態に保つようにしてください。Simple Machines Forumsは両方とも手動で監査したので、はるかに安全であることは事実です。

1) Web アプリケーションをより安全にするためにできる最も重要なことは、間違いなくMod_Securityなどの Web アプリケーション ファイアウォールを使用することです。

2) SELinux または AppArmor を使用する最新の Linux ディストリビューションを使用していることを確認してください。SELinux の方が安全です。Windows は使用しないでください。

3) mysql ユーザー アカウントが PHPBB3 データベースにのみアクセスでき、それ以外にはアクセスできないことを確認します。最も重要なことは、PHPBB3 のアカウントが mysql.user テーブルにアクセスできないことを確認することです! 「ファイル特権」は、Web アプリケーションに与えることができる最悪のものです。攻撃者は次のように sql を挿入しようとするため、ファイル権限は「許可」よりもはるかに' union select '<?php eval($_GET[e])?>' into outfile "/var/www/backdoor.php"--悪いです。バックドアをアップロードするために、「許可」は、攻撃者がクエリを「スタック」でき、mysql_query() がこれを許可しない場合にのみ使用できます。 for は、SQL インジェクション攻撃では使用できません。

4) ポート 3306 から離れたファイアウォール、または mysql が使用している任意のポート。絶対に必要なポートのみを許可し、データベースには特に注意してください。

5) PHPSecInfoを実行し、「赤」の警告がスローされないことを確認します。

6)サーバーに対してOpenVASを実行します。これは、おそらくハッカーが最初に行うことです。

Answer 2

ハッカーから 100% 安全であるとは言えませんが、少なくともいくつかのセキュリティ ポリシーに従ってリスクを最小限に抑えることはできます。

• 強力なルート パスワードを使用し、
• ネット上で重大な問題を追跡し、できるだけ早く修正します。
• 継続的なログインにはキャプチャを使用し、
• 新規登録には電子メール確認を使用し、
• 投稿と署名で HTML を無効にします。