Concideraciones para no ser hackeado en foros phpbb
 

Jajaja! Bueno creo que esto ya esta tomando forma. Espero que les sea util. Vere que mas puedo encontrar

Bueno, claro está que nadie esta excento de ser hackeado.
Aqui algunos consejillos para que al menos no les sea tan sencillo.
Un problema muy frecuente son las malas configuraciones en los permisos ftp y las contraseñas faciles.
Claro está que existen otras formas, me acabo de enterar que tambien existen bots que esperan latentes hasta que se publique en bug en phpbb, estando tan solo a un "click" de borrarte todo.
Tambien escuche que exiten fallas por las cuales los hackers pueden bannear al admin y este no puede entrar mas al foro!!!
Intentaré recopilar información a lo largo de la noche y la iré publicando aqui, pero si alguien sabe algo, por favor que publique todo lo que sepa (o al menos lo mas importante a tener en cuanta)
Todo esto que les cuento tambien se aplica a la ultima version de los foros phpbb 2.0.21, para que esten alertas.

Creemos entre todos un buen y actulizado topic para que no nos hackeen en un descuido

Bueno, antes que nada perdon por el doblepost, es solo que queria que esto quede prolijo porque es importante:

Consideraciones para que no te hackeen el foro phpbb (aunque sea el ultimo! 2.0.21)

Sobre la contraseña del Admin y de ser posible tambien de los mods:

NO PERMITIR QUE WINDOWS GUARDE LOS PASSWORD PARA RECORDÁRNOSLOS DESPUÉS, ESO SE QUEDA EN ALGÚN RINCÓN

Las contraseñas no debes ser palabras comunes ni fechas. Son más fáciles de descubrir. Existen programas con millones de secuencias con palabras existentes y fechas. Que se dedican a intentar conectarse a una cuenta y tarde o temprano la encuentran. A no ser que tu password o clave no exista en nada similar. Por ejemplo, si pones un password llamado "rosario" es fácil que la encuentren, pero si pones "rozario" es más difícil por que no existe...
Si además le añades números, aún más difícil por que no existe para nada.. Ejemplo: "rozario9517" es más difícil..
Yo te recomendaría que si utilizas un nombre que puedas recordar mezclado con una fecha que recuerdes, te sería más fácil acordarte de tú del password y más difícil a los que intenten descubrirla
Ejemplo: si te llamas daniel y naciste en el año 1982 el password podría ser "da19ni82el" esta sería un password bueno, seguro y fácil de recordar ¿no?.
Se las quieres complicar aun mas, usa simbolos! "da@19ni_82el"

Sobre las configuraciones del ftp:

Si utilizas un programa de FTP, podrás comprobar que los archivos que muestra del server, los podrás organizar en orden ascendente, descendente y por nombre, fecha, etc. Pues la idea es que puedes controlar si alguien a accedido a tu servidor y a modificado algo ¿como? pues los organizas en descendente y por fechas y cuando termines de subir los archivos, anota el nombre del último archivo que subiste y el tamaño que tenga. De este modo cuando vuelvas a entrar, podrás comprobar si sigue siendo el archivo último que tu subiste. Quiero decir, que si ves que hay otro distinto e incluso que su tamaño no es el mismo, significaría que alguine a modificado algo en tu server.
Entonces deberías de comprobar dichas páginas a ver su contenido si a sido alterado. Esto mucha veces lo hacen para luego poner paginas porno (y de las peores, asi las medidas legales recaen sobre ti!!! :policia: )

Mas importante aún son los permisos!!! Cuidado con esto, si dejas mal cofigurado un permiso "fuiste, alpieste, perdiste". Les puede llebar dos minutos destrozar tu trabajo de meses!!!
Estas configuraciones son faciles de modificar con cualquier gestor de ftp (como el cuteftp o el coreftp) Los configuraciones deben ser las siguientes:

Todos los archivos o directorios en el sistema tienen un propietario, la persona que los creó, quien puede asignar permisos (protecciones) para utilizar dicho directorio o archivo.
Para cada archivo o directorio hay tres clases de usuario: propietario (quien crea el archivo), grupo (de usuarios al que pertenece el propietario) y público (cualquier persona que tenga acceso al sistema).
Existen también tres tipos de permisos, lectura r, escritura w, y ejecución x
Si usted da el comando ls -l podrá observar las siguientes columnas:

permisos num. bloques propietario grupo tamaño fecha hora archivo

la primera le indicará los permisos asociados a cada archivo. Observe que esta columna se compone de 10 caracteres

drwxrwxrwx
el primero d indica si es un directorio o no, el primer conjunto de rwx son los permisos de propietario, el siguiente rwx son permisos de grupo y el tercer conjunto de rwx con los permisos del público. Cuando alguno de estos atributos esta desactivado verá solamente un guión en el espacio correspondiente,
ej. si su archivo indica:

-rwxr--r-- notas

significa que no es directorio, que el propietario tiene permisos de lectura, escritura y ejecucion, y por último el grupo y los otros solo tienen permiso de lectura.
Para cambiar los permisos a un archivo se usa el comando chmod, su sintáxis es

chmod [ugoa][+-][rwx] archivo

u permisos de usuario
g permisos de grupo
o permisos de otros
a permisos para todos
+ anadir un permiso
- quitar un permiso
r lectura
w escritura
x ejecucion

De manera que si desea agregar el permiso de escritura a su archivo notas deberá teclear

chmod g+w,o+w notas

Mas consejos todavia:

Te recomiendo que no guardes tu nombre de usuario y password en tu PC, guárdalos en un discket o bloc e insértalos cada vez que accedas a tu server. De este modo será más difícil que si alguien te entrase en tu PC lo encontrase. Si lo guardas en tu PC, intenta utilizar un programa que lo encripte o bloquee con password.

Instálate un buen antivirus, cortafuegos y un Spyware. (Te recomiendo McAfee que hace un rastre hasta donde comenzo el intento de hackeo y te da, a veces, hasta el numero de telefono del hacker)

Bloquéa los Kookies o que te pregunten si deseas instalarlos cuando navegues por internet. Deniégalos todos a no ser que te sea importante entrar en dichas páginas.

Elimina los temporales de internet. Hay una opción de eliminarlos cuando cierras la sesión o tu PC.

Lo primero antes que nada, hazte copias de seguridad de la carpeta Web por si te eliminan los datos y así los puedes recuperar.

Luego agrego información sobre los bots que se "registran" a tu foro y esperan pacientemente hasta que alguin les notifica una falla en tu foro y te lo destruyen!!! Por lo general crean dos usuarios, uno es el bot el otro uno ficticio para tapar el usuario bot para que su nombre no sea reconocido.

Esto es noticia vieja pero es interesante para estar alertas

Esta información la saque de otro sitio, pero no puedo poner enlaces hasta tener 15 post asi que lo copio y lo pego aqui (para no romper las reglas pero se los puedo pasar por PM si lo desean)

Sigo buscando mas información... estoy seguro de que con esto debo havber captado su atención! Los que usamos phpbb 2.0.21 tenemos que estar preparados!!!

Muchas gracias por tu aporte sidney rees.

Saludos.

De nada metacortex.

Encontré mas info:

Par evitar que este bot te "destrace" el foro tienes que hacer sencillamente esto:

-primero habilitar la confirmación visual para evitar que se registre.
-no permitir que los visitantes no registrados puedan responder (sobre todo si tienes al mod de respuesta rapida)

-No existen mods para solucionar esta falla (al menos no por ahoda) ya que es muy sencillo evitar ser hackeado asi.

-Instalen la menor cantidad de mods posibles... es imposible para los programadores de phpbb comprobar linea por linea de codigo! Alguno de estos mods pueden tener fallas intencionales de los creadores para vengarse en caso de mal uso de sus mods o por simple placer. Acabo de leer en la pagina oficial la historia de una persona que sufrio este tipo de ataque y a pesar de que sabe el nombre del creador no pudo tomar ninguna medida ya que fue el quien instalo el mod!!!.

Si se instalan muchos mods despues no es facil actualizar el foro a una nueva versión! Y tu te quedas con un foro con bugs que todos los hackers conocen!!!

-Los hackers no quieren hackear TU pagina, solo quieren hackear, a mi me gusta chatear a ellos hackear!!!
Ellos ya conocen la gran mayoria de fallas de los foros phpbb, simplemente buscan en google o yahoo: "Powered by phpBB" y ¡¡¡chau!! Te toco el ocho, te hackean! Solución: BORRA URGENTE ESTA FRACE deja el link si quieres pero borra la frace... pon algo como "f_o_r_o php_b.b." o algo asi (entonces no rompes la regla de no borrar el link!!! Cool no?) Tambien podrias poner una imagen para que no la encuentre google ni yahoo.

Para cambiar estas "Powered by phpBB" necesitas modificar el archivo overall_footer.tpl de tu templeta (temes, estilo, como prefieras llamarlo)

Si lo que quieres es ocultar la versión:
Abre "includes/page_tail.php", luego cambia
'PHPBB_VERSION' =>
a
// 'PHPBB_VERSION' =>

Como prevenir que te borren el foro via el admin panel

Formas faciles de borrar/vaciar tu foro via tus propios archivos .php!!!

Si alguien sigue este link te puede borrar todo!!
• "admin/admin_db_utilities.php" (-> esto te regresa la base de datos a su estado inicial!!! o sea te vacia todo!)
• "admin/admin_forums.php" (-> forum management = crea/borra/remombra foros)
• "modcp.php" (-> todo lo que el moderador puede hacer tambien ellos!)


Si el intruso logra hacerce pasar por moderador o por un admin falso llegando a estos archivo spuede hacer mucho daño!

Tip A: "admin_db_utilities.php" este es seguramente el mas severo sin envargo el archivo es el mas inutil! (A mi cuando quiero restaurar la base de datos desde el panel de control me da error) Recomiendo borrarlo o bien renombrelo, o mejor aun hacen un back up y solo lo suben cuando necesitan restaurar la base de datos! (Es una buena solución no creen?)
Asi si el hacker logra acceder a tu panel de admin al menos no podrá baciar tu base de datos.

Tip B: otro que pueden borra, renombrar o quitar y opnerlo de ser necesario "admin/admin_forums.php". Una vez que hayas configurado tu foro (con todos las descripciones de foros y nombres, será raro que necesites este archivo de nuevo, en todo caso lo vuelves a subir). Si la dejas cualquier hacker amateur te borra todo el foro con un solo click.

Tip C: otro metodo por el cual un hacker te puede borra varios topics de una es por medio de "modcp.php". Lo mejor que puedes hacer es quitar la opcion de borrar lo topicos (si ecesitas borrar subes de nuevo el archivo):
• ABRE "modcp.php"
• Cambia:
$delete = ( isset($HTTP_POST_VARS['delete']) ) ? TRUE : FALSE;
a
$delete = ( isset($HTTP_POST_VARS['delete']) ) ? FALSE: FALSE;


Si haces aun podras borrar el topic post por post.
Realmente poca veces necesitaras borrar todo un topic, siempre con borrar uno o dos post se soluciopna el problema.
Obviamente que un hacker que se metio como mod o admin (falso obvio) todavia puede borrar post por post pero de algo estoy seguro... ¡¡¡te la complicamos mucho hackerrr!!! jajaja!

Tengo mas info!! Pero son las 5:50 am y estoy muy cansado... pero eso si! estops hacker no van a ser mas una amenaza para nosotros!!! Mañana me levanto temprano y sigo con esto!!!

Mucho de este aporte es cierto.. como administrador de servidores Linux he visto muchísimos casos de defacing, hackeos, etc... y coincido contigo en cuanto a las contraseñas, y en cuanto a permisos de los archivos... pero hay algo que me parece realmente incoherente.

Por supuesto.. esa es la solución más fácil que hay para el problema de la seguridad informática.. pero si vamos a pensar así tampoco vas a irte a dormir y dejar un archivo de 1GB descargando toda la noche por miedo a que te "hackeen", un ejemplo de la vida real: tampoco vas a salir de tu casa en la noche por miedo a que te roben o maten.., la vida esta llena de riesgos al igual que la informática y sus redes. Se debe tener una actitud diferente, se debe estudiar y securizar las redes y equipos, informarse de las últimas vulnerabilidades, parchear las aplicaciones, etc; los riesgos siempre existen.

Mi principal consejo es NO USEN PHPBB, y si lo usan siempre manténganlo al día con los últimos parches, el 90% de los casos se debe a que los usuarios son irresponsables y siguen usando aplicaciones viejísimas y sin actualizar.

Un saludo!

jejeje! Claro me referia a si no estas bajando nada... yo tenia la costumbre de que cuando terminaba de usarla la dejaba conectada hasta que me di cuenta de esta vulnerabilidad. Que tu ya lo sepas no quiere decir que todos los demas tambine lo sepan.

Nota a algun moderados: Podria cambiar el titulo del topico por "Consejos de seguridad"

Sobre la configuración de los permisos de ftp, a mi criterio, la forma mas apropiada es:
para las carpetas: 755 o drwxr-xr-x
para los archivos: 644 o -rw-r--r--

Mas consejos:
Supongo que nadie necesita buscar caractares tales como ][\/%():><{}`

Quitemos esta funcion y mejoremos otro poquito la seguridad.
Abran viewtopic.php

Buscar:
Despues agregar:
No se preocupen por google, nunca lee estos caracteres, se los saltea... por ejemplo:
"\%sid[]n'ey" es lo mismo que " sid n ey"

Una duda que tengo es:
en el config.php se puede ver el password de la base de datos!!!
tal claro como

$dbuser = 'admin';
$dbpasswd = 'abc123';
$table_prefix = 'phpbb_';

como se puede solucionar esto (recuerden que no soy un experto!)

Esta es otra medida recomendable, antes de la version 2.0.17 era una forma comun de hackeo.
Abran el archibo bbcode.php
busquen: $patterns[] = "#\[url
hasta encontar lo siguiente (cuidado puede modificr algun mod):

remplacen esa parte de codigo por esta:

Este codigo no solo te proteje sino que tambien te mejora el posting de urls
• las urls muy largas no te alargan el post
• "www." no se muestra mas (segun entiendo esta es una buena medida de seguridad, lo que no se es por qué)

NO USEN EL PREFIJO "phpbb_" como prefijo de tabla!!! Cualquier hacker asumira que loestas haciendo! y puede hackear las entradas de la bd.
En vez de usar "phpbb_" inventen un prefijo con las tecnicas que les comente sobre como crear passwords.

Abran el "config.php"
Busquen:
y cambien phpbb_ por el prefijo elejido.

Algunos lineas de codigo en los mods pueden necesitar edición tambien.

Lo siguiente es cambiar los prefijos en tu base de datos.
deberan modificar este scritp segun tu prefijo:

Si encuentras tablas que no esten listadas arriva (algo muy obvio si tienes algunos mods extra) deberas renombrarlos tambien!

Otro detalle que puede ayudar a mejorar la seguridad de estos foros es incluir un archivo .htaccess que deshabilite user_agent malignos y que prevenga en cierta medida el envío de spam desde ciertas páginas. El siguiente archivo .htaccess puede ayudar a ello.

Consta al principio de una serie de entradas que deshabilitan ciertos user_agent (nombre del programa cliente o navegador que entra a la web). Si deseamos incluir alguno más, basta añadirlo a la lista de la misma forma que están el resto. Esto hará que cuando alguien quiera entrar a nuestro foro usando un programa "prohibido", le redireccionará a su propio ordenador (127.0.0.1)

Incluye unas entradas para prevenir el acceso al Santy Webworm, un gusano que hace tiempo atacaba a los foros phpbb y que causó estragos hasta que sacaron una actualización de seguridad. También prohibe la utilización del agente de Perl, usado por el Santy y por algunos lammers/hackers para atacar foros phpbb usando ciertos exploits.

Al final vienen entradas para prevenir el envío de spam. Lo que hace es que si detecta que el visitante de la página viene desde una de las páginas de la lista, supone que viene a hacer spam y por tanto lo redirecciona a su propio ordenador (127.0.0.1)

Este archivo .htaccess (ojo, que viene comprimido en un ZIP) debe ser colocado en la carpeta raíz del servidor. Éste debe ser un servidor Apache con el módulo Mod Rewrite instalado y habilitado, si no pues no nos funcionará.

Saludos :adios:

Interesantes aportes Sydey, y útiles medidas las que sugieres Ferny, seguro serán utiles a muchos usuarios. ;-)

Un saludo!

Muy bueno tu aporte Ferny ya mismo lo estoy implementando!

Mas concideraciones:

Si permites el upload de avatar en tu foro la carpeta de los avatar tiene que tener la siguiente configuración de ftp: drwxrwxrwx

Concejos de ferny (a mi criterio muy buenos)
1- no usen la misma contraseña para nada... para cada cosa una contraseña!!!
2- Mantengan todo el software actualizado, todo!!! Incluso Apache, PHP, MySQL, phpMyAdmin, etc. (Si ya sabemos que de estos se encarga el host, exijanles que los actualizen! que para eso pagan!)

El concejo de modificar el bbcode.php es opcional... teniendo en cuanta que antes se usaba para hackear pues yo que uds lo modificaria (es mas ya lo modifiqué). Ademas es una mejora interesante para las url muy largas.

WebTech me alegro de que te guste este pequeño aporte...por ahora esto es todo lo que se, pero seguiré buscando información para agregar a este post.
Si alguien sabe algo que quiera comentar no dude en hacerlo, todo nos veremos beneficiados! Hasta luego!

Pfff muchisimias gracias amigos, la verdad empieso a dudar si darle privilegio de moderador o peor ahun, admin a otras personas, me arriesgo a que inggresen en lugares con keyloggers, virus, espias, quien sabe :S

No temas que para eso es este topic... para que les des esos privilegios y a ti no te puedan hacer nada. Te recomiendo que no des el rango de Admin a nadie mas... despues de todo tu tienes que descarte en algo por todo tu esfuerza!!! Con los moderadores no te preocupes, si los eliges como moderadores es porque seguramente ya los conoces. Si tomas estas medidas seras practicamente inhackeable o al menos muy dificil de hackear... ya que los "hackers" (lammers diria yo) que se dedican a hackear estos foros son principiantes (en la mayoria de los casos) y si le quitas estas fallas a tu foro sera dificil que te hackeen.