نمایش نسخه قابل چاپ
با سلام
امروز یک یوزری ثبت نام کرده بود که نام خودش رو یوزر تمام مدیر ها + ایمیل هاشون + یک کد جلوی اونا قرار داده بود عوض شده بود نمیدونم یعنی چی و چیکار باید بکنم؟
اینم عکس :
فایل پیوست 16246
من این یوزر رو حذف کردم اما به نظر شما آیا هک شده ام یا چی ؟؟؟؟؟؟؟؟؟؟؟؟؟؟؟
و آیا راه حلی دارید که بتونم از سایتم در مقابل هک شدن محافظت کنم؟
درود
سعی کنید از ورزن 5.2.8 به همراه آخرین patch امنیتی استفاده کنید در حال حاضر بهترین ورژن میباشد و مشکل امنیتی حادی گزارش نشده است
با سلامنقل قول:
نوشته اصلی توسط JATHIYA
فورا تمام پسوردهاتون را عوض کنید.
یا حق
این اتفاق برای بنده هم افتاد .
بر روی پوشه Admin رمز بزارید
با سلام
این کدی که قرار داده شده به طور اشتباه بوده
در اصل اون خواسته یک امتحانی بکنه ولی بجای قرار دادن این کد در تیکت ، اون رو در نام و نام خانوادگی گذاشته
هیچ مشکلی پیش نمیاد فقط فولدر Template_c رو انالیز کنید تا فایلی به نام PHP یا ZIO.PHP ساخته نشده باشه
اکثرا با ارسال [php] کد [php] این کار رو انجام میدن ، قبلا هم تست کردم روی سایت خودم
برای اطمینان هم میتونین از داخل فایل configuration.php و تنظیمات دیگر که یادم نمیاد template_c رو عوض کنین تا دیگه براتون مشکلی پیش نیاد
و لطفا کاری که دوستمون Nginxweb گفتن انجام بدین
پاینده باشیدنقل قول:
سعی کنید از ورژن 5.2.8 به همراه آخرین patch امنیتی استفاده کنید در حال حاضر بهترین ورژن میباشد و مشکل امنیتی حادی گزارش نشده است
با سلامنقل قول:
نوشته اصلی توسط cityhost
اشتباه ذکر کردید.
اتفاقا جای درستش در نام خانوادگی هست.
این موردی که شما گفتید یک مورد قدیمی هست که کد در عنوان تیکت زده میشه و در پوشه ای که گفتید یک فایل حالا فایل آپلود سنتر یا ... ایجاد میشه اما این یکی باید در نام خانوادگی زده بشه و باعث میشه تمام رمز های یوزر های ادمین یا ... در whmcs هست نمایش داده بشه به همراه یوزر و ایمیل و ...
روش فعلی بعد از روشی که شما ذکر کردید آمده است.
یا حق
چه جالب ، از اطلاع رسانیتون متشکرم
پس این روش رو نمیخواین به whmcs گزارش بدین تا پچ امنیتشو منتشر کنن؟
اگر به این صورت باشه که کد رو بدی و تمام رمز یوزر هارو بده ، خیلی مشکل حادیه و باید جلوشو گرفت
دوست عزیز
JATHIYA
لطفا تمام رمز ها رو عوض کنین و بر روی پوشه Admin رمز بگذارین ، هر چند دوستان دیگه این مورد رو ذکر کردند ، تاکید بر اون بهتر است
به whmcs اطلاع داده شده اما پچ نمیده دیگه میگه باید از آخرین ورژن استفاده کنید که برای خیلی ها چنین چیزی مقدور نیست.نقل قول:
نوشته اصلی توسط cityhost
تنها راهش همان گذاشتن پسورد هست روی پوشه ادمین و بعد از دیدن چنین موردی تمام پسورد ها عوض بشه و این که پسوردهای طولانی هم گذاشته بشه.
یا حق
سلام ممنون از توضیح دوستان
من اسم پوشه رو همون روز اولی تغییر دادم
و اینکه بر روی پوشه هم رمزم گذاشتم
و فایلی zio.php هم ساخته نشده بود
مدیران همه رمز ها رو عوض کردند
آیا میشه فهمید آیا کاری کرده یا نه چون داخل گزارش فعالیت 37.130.224.22 فقط دو بار از این ای پی استفاده شده یک بار عضویت یکبار از طریف سیستم که ایشون عضو سایت شده برای ما دیگه عکس العملی انجام نداده میشه اعتماد کرد؟
دوست عزیز شما فقط ورژن whmcs رو به 5.2.8 ارتقا بدید و اسم پوشه ادمین رو تغییر بدید مشکلی پیش نمیاد
این ای پی رو هم مسدود کنید
مشکل برای یکی از دوستان منم پیش اومده بود . مطمئن هستید با کارایی که میگید میشه جلوش رو گرفت ؟
100%نقل قول:
نوشته اصلی توسط reza*
من این مشکل رو در نسخه 5.2.7 whmcs دیدم که کاربران با یک ترفند کدهای php رو به جای اسمشون جایگزین میکنند اما چون پسورد مدیریت whmcs هش شده نمیتونن کاری بکنن. البته این مشکل در نسخه 5.2.8 رفع شده ، دوستانی هم که از نسخه 5.2.7 استقفاده میکنند میتونن از قسمت تنظیمات قابلیت تغییر اطلاعات رو غیر فعال کنند که این مشکل پیش نیاد.
امنیت هیچوقت 100% نیست . :d چی گفتم . :114:نقل قول:
نوشته اصلی توسط RoobinaServer
شوخی کردم
سلامنقل قول:
نوشته اصلی توسط RoobinaServer
شما یقین دارید؟
میشه یک لینک بدید از خود سایت whmcs یا هر سایت دیگه بدید که گفتار شما را تایید کنه ؟
لینک بدم که صحبت خودم را با whmcs تایید بکنه عزیز ؟ :)نقل قول:
نوشته اصلی توسط VPS
نه لینک بدید که مشخص بشه اصلا چنین مشکل امنیتی در whmcs وجود داره .
لینک تاییده بدین که یا تو خود whmcs اعلام شده باشه که بله این باگ هست و یا در سایت های دیگه اعلام شده باشه که اگر مثلا کد x را در نام خانوادگی بذارید . کد md5 ادمین رو نشون میده.
مسیر پوشه ادمین رو عوض کن
رو پوشه ادمین رمز بزار و کانفیگ رو هم به 400 تغییر بده
رو از نال شده استفاده نکن
کمک بیشتر برای امنیت whmcs
آموزش > نکات امنیتی whmcs | جدید ترین ها را دانلود کنید
من منتظر جواب شما هستم.نقل قول:
نوشته اصلی توسط RoobinaServer
ممنون
در گوگل کمی جستجو کنید پیدا میشه وقتی پیدا کردید میتوانید مطالعه کنید و یاد بگیرید.نقل قول:
نوشته اصلی توسط VPS
بنده قدیم خواندم این مورد را و لینک آن را نگه نداشتم ،حتی آزمایش هم کردم و دیدم و تجربه را اینجا گفتم اگر به خودتان و whmcs مطمئن هستید سیستم فروش whmcs 4 اگر دارید پیغام خصوصی کنید تا رمز ادمینتون (md5) را بدم :)
اولین باره میبینم که وقتی یک باگی یکی اعلام میکنه باید بزرگان دیگر تایید کنند :) وقتی هک میشه یعنی میشه دیگه عزیز ... این که دیگه تخریب و ... نیست که نیاز به مدرک معتبر و مستند باشه!!!!!!!! آخرش ثابت شه جایزه میدن چیزی میدن وقت بگذارم تو انجمن های انگلیسی مجدد دنبالش بگردم ؟
جالب بود.
یا حق
با سلامنقل قول:
نوشته اصلی توسط VPS
همکار عزیز . جناب سحادیه از کاربران مورد اعتماد است . و مطلبی رو بدون مطالعه و یا سند ذکر نمی کنند.
بله ایشان این مورد را کاملا صحیح می فرمایند . که این موضوع کمی قدیمی شده است . چون این مربوط به خیلی وقت پیشه.
حالا شما می خواهید exploit این مورد را ببینید تشریف بیارید شرکت بهتون حضوری نشون بدم.
whmcs مشکلات امنیتی عدبده ای دارد که برخی از آنها تاکنون public شده اند.
با تشکر
با این کار هم زیاد کاری از پیش نمیبرید مشکل اصلی در اوردن لیست مشتریاست نه پسورد ادمیننقل قول:
نوشته اصلی توسط RoobinaServer
بهترین کار آپدیت به آخرین ورژن هست گویا این مشکل رفع شده روش
نقل قول:
نوشته اصلی توسط tizparvaz
این مشکل کد زدن در بخش نام خود به خود به خاطر قانون حساس بودن ما به اطلاعات مشتریان خود به خود حل شده میباشد.
هیچ مشتری نمیتواند مشخصات خود را تغییر دهد.
یا حق
بله مشکل اساس ما هم این نیست ما 2 هفته پیش این مشکل رو حل کردیم الان یک اینجکشن خیلی جالبتر رو سایت ما انجام شد که به لطف اون شخصی که اینکارو انجام داد و نیت بدی از اینکار نداشت متوجه شدیم و مشکل اصلی همین جاست این مورد که تو پپروفایل میزنن در مقابل این اینجکشن که من گفتم هیچهنقل قول:
نوشته اصلی توسط RoobinaServer
این اینجکشن کله اطلاعات whmcs رو در اختیار طرف میذاره مثل آب خوردن
دارم آپگریت میکنم ببینم حل میشه یا نه منتظرم بک آپ تکمیل بشه
کلا از ورژن جدید خوشم نمیاد :-| آپدیت کن اوکی بود و مشکلی نبود بگو.نقل قول:
نوشته اصلی توسط tizparvaz
این ورژنی که دست بنده هست یه جورایی اختصاصی ما شده و روش کلی کار انجام شده و مثل ساعت کار میکنه
اگر امکانش هست اون ضعف را پیغام خصوصی بگید (پابلیک نکنید) من تست کنم اگر راهی باشه ببندمش رو همین ورژن بمونیم :-|
یا حق
بنده بر روی سرویس های شما بررسی نمودم و مشکلی در whmcs شما نبود.نقل قول:
نوشته اصلی توسط RoobinaServer
با تشکر
و همچنان WHMCS قربانی میگیرد
من میگم چطوره کلیه دیتابیس رو برای عموم آزاد بذاریم دیگه؟ آخه این سیستمه؟ هر هفته یه باگ خطرناک؟
لطفاً بگین کسی با این باگ میتونه همه اطلاعات مشتریارو در بیاره؟ مثلاً 1000 تا مشتری؟ یا اگر روی صفحه admin پسورد باشه و مسیرش عوض شده باشه نمیتونه؟ لطفاً رو هوا نگین اگر دقیقاً اطلاع دارین بگین اگر اینطور باشه جمش میکنم از یه سیستم دیگه استفاده میکنم
با سلام
بله میشه کل دیتا مشتریان را کشید بیرون و با رمز گذاری در پوشه ادمین نیز کاری از پیش نمی رود.
با تشکر
با کمی بررسی تمام مشکلات حل خواهد شدنقل قول:
نوشته اصلی توسط dm800pvr
بجای پاک کردن صورت مسئله به فکر حل کردن اون باشید
شما حتی اگر هیچ کاری انجام ندید و پوشه ادمین و تغییر بدید و پسورد بزارید + سطح دسترسی فایل کانفیگ و روی 600 قرار بدید
باز هم شرایط و برای فرد هکر سخت تر و زمان و برای خودتون تا حد زیادی می خورید
لطفا انتظار نداشته باشید همه کارا ها توسط دیگران انجام بشه
خودتون دست به کار بشید
تشکر
آقا کلا whmcs سیستمی هست که داره پیشرفت میکنه.
من میگم یه روز میاد که همه چیز امنیتشون به 100% میرسه!
به امید اون روز
ههه
متاسفانه من قالبی دارم که فقط با نسخه 4 همخوانی داره برای همینه هیچوقت 5 رو نصب نکردم!نقل قول:
نوشته اصلی توسط viasky
اشکالی ندارهنقل قول:
نوشته اصلی توسط dm800pvr
تغییرات و که عرض کردم و اعمال بفرمایید
همچنین امکان ویرایش مشخصات کاربری هم غیر فعال کنید
انشالله که مشکلی پیش نخواهد آمد
چطوری؟نقل قول:
نوشته اصلی توسط viasky
متاسفانه پنل بنده فارسی نیستنقل قول:
نوشته اصلی توسط dm800pvr
بزودی دوستان اطلاعات لازم در این زمینه و در اختیار شما قرار خواهند داد
خدارو شکر با آپگریت حل شدنقل قول:
نوشته اصلی توسط RoobinaServer
پیشنهاد میکنم آپگریت کنید منم خودم زیاد طرفداره آپگرید نیستم اما تغییراتی خوبی اعمال شده مهمترینش اینه که بخش ادمین به شدت سبک شده و صفحات سریعتر لود میشه (گوبا درخواستها به دیتابیس کاهش پیدا کرده) یه سری تغییرات ظاهری هم اعمال شده در کل جالبه آپگریت کنید
nنقل قول:
نوشته اصلی توسط VPS
دوست عزیز کسی وقت اضافه نداره که بخواد اینجا و به این طریق حدرش بده که شما دنبال لینک تاییدی ، وقتی این همه آدم دارن میگن این مشکل وجود داره دیگه تایید از این بالاتر
ضمنن به ریلیز آپگرید ورژن آخر whmcs مراجعه کنید متوجه میشید که این sql ijection ها اعلام شده وجود داره و اعلام کردن با آپگریت رفع میشه