Ma leidsin, kuidas kataloog kaista, kuid lubatud IP-de lisamine on ainult läbi selle sama Zone WebFTP liidese. Ehk tuhandeid IP-sid läbi selle lisada .....
Ja seda genereeritud htaccess faili - seda ei saa ka ise muuta, et direktiive lisada vms.
sander - võid ise ka proovida. Ma katsetasin elug.pingviin.org domeeni peal ja seda korralikult lukku mul panna ei õnnestunud.
Pingviini sisselogimine tõkestatud väljapool EL-i
Moderaator: Moderaatorid
Tellige endale sünnipäevaks, sõbrapäevaks või muuks tähtpäevaks kingitus: Kingitused internetist - NetiKink.eu
Võimalused
Pole küll kursis, mis on selle portaali mootori võimalused, aga mõned etepanekud, mida võiks kaaluda, turvalisuse tõstmiseks tuleviku tarbeks:
1. Kasutajate nimekiri kättesaadavaks ainult sisseloginud kasutajatele, kes on teinud vähemalt 1 postituse. Portaal on küll eesti keeles, aga urlist http://pingviin.org/memberlist.php järeldub, et kõikidel sama mootoritega foorumitel on see sama koha peal. See on ka koht, kust see exploit neid kasutajaid hangib, lisaks saab sealt teada veel ka maili adresi
Sama reegel kasutaja profiilide vaatamisega. Lisaks kasutaja värvid neid poleks ka vaja promoda enn, kui sisselogitud ja 1 postitus tehtud.
2. GET meetodi asemele võiks kasutajatega seotud toimingutes nagu näiteks kasutajate nimekiri, profiil ning postiused foorumis kasutada POST meetodit. See eeldab arvatavasti väheke progemist ja katsetamist. Idee on selles, et siseloginud, kui ka sisselogimata rahval pole tarvis teada, kasutaja paiknemist andmebaasis. GET seda võimaldab ning lisaks võimaldab suht lihtsasti kirjutada scripti, korjamaks kokku kõik kasutajad ning võimaldab GET väga lihtsasti kolmandalal poolel saada ligi infole, mida ta ei peaks teadma. Näiteks nimekirja esimene kasutaja on Suvi samas GET meetot räägib, et Suvi on nimekirjas alles teine (profile.php?mode=viewprofile&u=2). Ründaja järeldab sellest, kas esimene kasutaja on kustutatud, või asub seal veel kõvem superuser, et äki prooviks vaadata, mida teha saab!
3. Sisse logimata kasutajatele ei tohiks näidata ühtegi lingitut kasutajat. Kes iganes on kuskil miskit postitanud selle kasutaja nime peaks olema plain text või veel parem pesudokasutaja ala killbill või tux666
Midagi sellist
1. Kasutajate nimekiri kättesaadavaks ainult sisseloginud kasutajatele, kes on teinud vähemalt 1 postituse. Portaal on küll eesti keeles, aga urlist http://pingviin.org/memberlist.php järeldub, et kõikidel sama mootoritega foorumitel on see sama koha peal. See on ka koht, kust see exploit neid kasutajaid hangib, lisaks saab sealt teada veel ka maili adresi
Sama reegel kasutaja profiilide vaatamisega. Lisaks kasutaja värvid neid poleks ka vaja promoda enn, kui sisselogitud ja 1 postitus tehtud.2. GET meetodi asemele võiks kasutajatega seotud toimingutes nagu näiteks kasutajate nimekiri, profiil ning postiused foorumis kasutada POST meetodit. See eeldab arvatavasti väheke progemist ja katsetamist. Idee on selles, et siseloginud, kui ka sisselogimata rahval pole tarvis teada, kasutaja paiknemist andmebaasis. GET seda võimaldab ning lisaks võimaldab suht lihtsasti kirjutada scripti, korjamaks kokku kõik kasutajad ning võimaldab GET väga lihtsasti kolmandalal poolel saada ligi infole, mida ta ei peaks teadma. Näiteks nimekirja esimene kasutaja on Suvi samas GET meetot räägib, et Suvi on nimekirjas alles teine (profile.php?mode=viewprofile&u=2). Ründaja järeldab sellest, kas esimene kasutaja on kustutatud, või asub seal veel kõvem superuser, et äki prooviks vaadata, mida teha saab!
3. Sisse logimata kasutajatele ei tohiks näidata ühtegi lingitut kasutajat. Kes iganes on kuskil miskit postitanud selle kasutaja nime peaks olema plain text või veel parem pesudokasutaja ala killbill või tux666
Midagi sellist
praeguseks peaks see probleem vähemalt mõneks ajaks lahendatud olema..
@ GET vs POST päringud.. POST päring tähendab seda, et kui tahad brauseriga edasi või tagasi liikuda navi nuppudega, siis hakatakse sulle esitama küsimusi, et kas tahad ikka andmed uuesti saata.. on meil seda nagu tegelikult ka vaja kasutaja peedistamiseks?
@ GET vs POST päringud.. POST päring tähendab seda, et kui tahad brauseriga edasi või tagasi liikuda navi nuppudega, siis hakatakse sulle esitama küsimusi, et kas tahad ikka andmed uuesti saata.. on meil seda nagu tegelikult ka vaja kasutaja peedistamiseks?
