اختراق المنتديات وكيفيه الحمايه

كثر الحديث في الاونة الاخيرة عن اختراق المنتديات ... وماتاتي به من مشاكل ومصائب للاسف

ولفد كثر الان الاشخاص الذين يعرفون الطرق التي يتم بها اختراق المنتديات مما زاد الطين بلة ..

فمثلا من المنتديات الشهيرة التي تم اختراقها منتديات الكواكب (للاسف ) ومنتديات اهليز (نعمة ) وايضا منتديات الحلم ، لاحظوا أنه كل المنتديات السابقة كان فيها صراصير ( يسمون فيها هاكز وكراكز الله يكفينا شرهم ) ..

ولذلك احببت ان افتح هذا الموضوع لايجاد لعلنا ان نجد حلا لهذه المشكلة والمصيبة التي تقض مضجع كل من يملك منتدي في موقعه ..

قي الواقع سيكون كلامي عن اربع نقاط :
1-العصائب التي تحصل عند اختراق المنتديات ..
2- ماهو اكثر نوع من المنتديات يتم اختراقه؟
3-طرق الاختراق ..
4-طرق الحماية ..




النقطة الاولي:
المصائب التي تحصل عند اختراق المنتديات
من هذه المصائب :
1-للاسف من الاشياء الطبيعية ان يسجل بعض المبتدئين في عالم الانترنت بنفس كلمة المرور التي تخص بريده وعندما يتم اختراق المنتدي يتم ابتزازه بطريقة تهديدغير مباشرة ثم احتلال بريده بدون هوادة ..واكثر من يتاثر بهذه المشكلة هم (الفتيات) للاسف الشديد ..


2-الحصول على معلومات شخصية كثير بالمستخدمين والتجسس على خصوصياتهم (كارثة) ..


بالنسبة للنقطة الثانية ، اكثر المنتديات التي يتم اختراقها هي الvb بينما من النادر ان نسمع عن اختراق wwwthreads ، لا لسبب الا ان المواقع التي تستخدمه قليلة ..وحتي منتدي الubb لم نسمع من قبل انه تم اختراقه ..

النقطة الثالثة
في الواقع لم اعلم عن طرق لاختراق المنتديات الا التالي :
1- عن طريق عبارة SQL ويشترط ان يعرف الشخص لغة SQL بالاضافة الي معرفة اسم قاعدة البيانات ..
2-توفر بعض المنتديات ارفاق ملفات ويقوم هؤلاء الصراصير (الكراكز ) بارفاق بيضهم (السيرافرات ) عن طريق هذه الخاصية حيث يقومون بارسال سيرفر ومن ثم الاتصال عن طريق برنامج admin له ..
3-اختراق جهاز صاحب الموقع نفسه والحصول على معلومات موقعه ومعلومات الftp ..
بالنسببة للنقطة الرابعه طرق الحماية :
1- عدم وضع موقعك على سيرفرات NT ..لكثرة الثغرات في الIIS الا كان الموقع يجري تحديث دوري للIIS باخر التحديثات له .
2-منع خاصية تحميل ملفات zip او exe واجراء فحص للملفات التي يتم ارسالها ، والتشديد في التراخيص للملفات ..
3- بالنسبة للحماية من عبارات SQL فالمسئول عن ذلك كله هو مبرمج السكربت نفسه فعليه ان يفحص نوع البيانات للقيم المرسلة للصفحة...
4- يجب ان يكون صاحب الموقع حريصا على حماية جهازه الشخصي باقوي الطرق الممكنة (تركيب Firewall وبرنامج مكافحة فيروسات يتم تحديثه دوريا ..

وهذا واتمني من اي احد لديه درايةبثغرات البرامج وعلمه بهذا الامر المشاركة في هذا الموضوع والادلاء بدلوه ولو بكلمة رجاء الي الاخوة المبرمجين في سوالف والذين لديهم دراية بالتفصيل بهذا الموضوع

اتمني ان لااعود الي هذا الموضوع المرة القادمة الا واجد شخصا شارك ولو بثغرة وكيفية الحماية ..
وماني مقهور على شي الا قهري على انه مجموعه صراصير (يسمون نفسهم هاكرز ) يسوون هذي المشاكل وياذون خلق الله بدون مصلحة لا ادينهم ولا امتهم انما لفرد العضلات والابتزاز ، والتجسس




بالنسبة لثغرات المنتديات مشكلة توجه جميع المنتديات ولكن كيفية السيطرة

على هذه المنتديات والتنبه للعابثين طريقة قد نجهلها دائما لنفرض مثلا

منتديات الـ vb ثغرة أكواد الـ HTML المشكلة اللتي يقع البعض بها ويظل

في حيرة هذه الثغرة تناقلت المنتديات امكانية دخول الهكرز عن طريق هذه

الثغرة والبعض اكد انها عملية وهمية للاختراق للموقع عن طريق هذه الثغرة

مالحل يتجه الجميع الى اغلاق هذا الكود وانهاء العملية للحفاظ على امن

الموقع لكن الى متى هذه التخوف قد يرغب صاحب الموقع بفتح هذا الكود لكن

التخوف من اختراق موقعه العقبة ماذا سيكون حل هذه الثغرة للاسف لا املك

حل منطقيا سوى اغلاق الكود وهل يوجد حل غير ذلك اكيد لكن كيف الوصول له

لا نعلم

الطريقة الثانية اتاحة الدخول بالكوكيز والسماح بتصفح الموقع بالكوكيز

وجعل الخيار افتراضي في الملف الشخصي للعضو مما يمكن اي زائر من العبث

حيث يدخل ويرحب به المنتدى بمعرف اخر ويكشف له اوراق العضوية مما قد

يعود بالمشكلات على صاحب المعرف وقد يكون مشرف وبكذا اصبحت مشكلة جديدة

العمل لانهاء المشكلة من لوحة التحكم لابد من الغاء السماح بتصفح الموقع

بخاصية الكوكيز وجعلها الافتراضية وهنا انتهت مشكلة اخرى للاختراق

المشكلة الثالثة كما تحدثت اخوي جعل الكلمات السرية مثل كلمات البريد

مما يسهل عملية الدخول وتناولت اخي العملية بالكامل تقريبا

الطريقة التالية جعل بريد المنتدى هو البريد العام لكل التعاملات يعني

جعله رسميا ومعروف للجميع مما قد يؤدي لاختراقه ويؤدي لعملية بسيطة

وهي خيار نسيت كلمة السر ويوضع البريد المتعارف لدى الجميع ومستخدم

في بيانات المنتدى وارسال معلومات المعرف والكلمة السرية وخصوصا المشرف

لانه المتحكم في الموقع مشكلة قد يواجهها اصحاب الموقع وللاسف لايتم التنبه

لها

الطريقة الاخرى جعل معلومات المسنخدم الخاصة بموفر السيرفر على بريد محدد

يعني المشكلة في البريد لو اخترق وهو متعارف عليه من قبل العديد من

المستخدمين وتم مراسلة الشركة الموفرة للسيرفر بطلب الباسورد وايهام

المخترق الشركة الموفرة للسيرفر بانه صاحب الموقع ونسي الباسورد الشخصي

وللاسف قد يرسل دون اختياطات امنية من قبل المستضيف وبكل سهولة يتم

اختراق الموقع وبالتالي الدخول لقاعدة البيانات والغاء الموقع باكمله

هنا المصيبة العظمى وهو البريد لازلنا نكرر البريد الشخصي لابد من اخفائه

والتعامل مع غير البريد المعتمد هذه بعض الطرق واساليب الحماية والبقية




فتح كود HTML ثغرة حقيقية ومثلها تشغيل الفرونت بيج من لوحة التحكم على السيرفر والحقيقة اغلب اصحاب المنتديات لا يحتاجون الفرونت بيج ومع ذلك يشغلونه

المصيبة الأعظم أن أي موقع مستضاف على السيرفر ومفعل الفرونت بيج يمكّن المخترق من اختراق المنتديات التي على السيرفر وكثير من المنتديات التي اخترقت اخترقت من خلال موقع اخر على السيرفر




شكراً لكما،

ولا ننسى أن لحماية مجلد Admin له أهمية في تخفيف محاولات إختراق المنتدى وكذلك مجلد برنامج phpMyadmin وهذا بالذات حيث يستخدمه معظم الأخوة في التعامل مع قاعدة البيانات.