[Jeremen]

Вот создаю сайт на DLE хотел бы узнать может есть какие-то стандартные лазейки для взлома которые нужно прикрыть или DLE сам по себе хорош в безопасности?

[efr07]

Ну в последней версии пока лазеек не обнаружено. Главное найти норм версию ( желательно не Nulled)

[OKyJIucT]

После установки зайдите в админ панель, и внизу будут рекомендации по безопасности. Может надо будет удалить какие то файлы, установить права на них, либо включить/отключить функции в файле рhр.ini на сервере. Плюс ко всему можно настроить производительность движка в соответствующем разделе настроек.

А вообще уже 9.5 версия вышла, обновитесь, там наверняка большинство дыр уже закрыты.

[MacLeo]

OKyJIucT, ну а файлы autobackup.php и admin.php переименовать? :)

[OKyJIucT]

MacLeo, ну как вариант:) но поскольку многие эти файлы закрывают в роботсе от индексации, то найти их не сложно.

И еще пару слов ТС. На официальном сайте доступна триал версия 9.4. А взломанные версии могут содержать не только посторонние ссылки, но и вредоносный код, с помощью которого злодей может получить полный доступ к серверу.

[Dolmatov]

MacLeo, я эти файлы вообще удаляю, если на до что то сделать загружаю назад.

[Dmitry_Aksenov]

Суть хака заключается в том,что злоумышленик получив доступ в админцентр,постарается разрешить загрузку php файлов, тем самым залить шелл на сайт.


Установка:
1. Открываем engine/inc/files.php и находим:

$allowed_extensions = array ("gif", "jpg", "png", "jpe", "jpeg" );
$allowed_video = array ("avi", "mp4", "wmv", "mpg", "flv", "mp3", "swf", "m4v", "m4a", "mov", "3gp", "f4v" );
$allowed_files = explode( ',', strtolower( $config['files_type'] ) );
$img_result_th = "";
$img_result = "";

заменяем на:

$allowed_extensions = array ("gif", "jpg", "png", "jpe", "jpeg" );
$allowed_video = array ("avi", "mp4", "wmv", "mpg", "flv", "mp3", "swf", "m4v", "m4a", "mov", "3gp", "f4v" );
$allow_conf = str_replace("php",md5(time() - rand(30,60)),strtolower( $config['files_type'] ));
$allowed_files = explode( ',', $allow_conf );
$img_result_th = "";
$img_result = "";

[Jeremen]

UpReg, их точно можно удалять :)?

[OKyJIucT]

Jeremen, если удалите, не сможете в админку зайти. Просто переименуйте и удалите из robots.txt

[Jeremen]

MacLeo, а что если у меня нет файла autobackup.php ?

---------- Сообщение добавлено 12:27 ---------- Предыдущее 11:58 ----------

Цитата:
$allowed_extensions = array ("gif", "jpg", "png", "jpe", "jpeg" );
$allowed_video = array ("avi", "mp4", "wmv", "mpg", "flv", "mp3", "swf", "m4v", "m4a", "mov", "3gp", "f4v" );
$allowed_files = explode( ',', strtolower( $config['files_type'] ) );
$img_result_th = "";
$img_result = "";
заменяем на:

Цитата:
$allowed_extensions = array ("gif", "jpg", "png", "jpe", "jpeg" );
$allowed_video = array ("avi", "mp4", "wmv", "mpg", "flv", "mp3", "swf", "m4v", "m4a", "mov", "3gp", "f4v" );
$allow_conf = str_replace("php",md5(time() - rand(30,60)),strtolower( $config['files_type'] ));
$allowed_files = explode( ',', $allow_conf );
$img_result_th = "";
$img_result = "";

Ребят подскажите стоит такую вещь делать?