هک جدید whmcs با دسترسی کامل به پنل ادمین بسیار خطرناک

[Ashkankamangar.ir]

سلام
پیشنهاد میکنم برای شرکتتون آی پی استاتیک تهیه کنید و فولدر ادمین رو بر روی آی پی خودتون محدود کنید تا حتی اگر پسورد دست هکر افتاد نتونه به ادمین شما لاگین بکنه اینکاریه که ما بعد از مشاهده چند باگ اخیر انجام دادیم و تمام پنلهای لاگین مستر رو از جمله وردپرس و whmcs سایت رو به آی پی استاتی محدود کردیم

برای این منظور باید در فایل
htaccess
این کد رو بذارید
order deny,allow
allow from IP
deny from all

[kamran_b]

سلام در مورد httpd برای دایرکت ادمین چگونه

<Directory "/">
Options -ExecCGI -FollowSymLinks -Includes +IncludesNOEXEC -Indexes -MultiViews +SymLinksIfOwnerMatch
AllowOverride All
< /Directory>

< Directory "/usr/local/apache/htdocs">
Options -ExecCGI -FollowSymLinks -Includes +IncludesNOEXEC -Indexes -MultiViews +SymLinksIfOwnerMatch
AllowOverride None
Order allow,deny
Allow from all

< /Directory>

< Directory "/home">
Options All -ExecCGI -Indexes -FollowSymLinks -Includes +IncludesNOEXEC -MultiViews +SymLinksIfOwnerMatch
AllowOverride AuthConfig Indexes Limit Fileinfo options=Indexes,MultiViews

لطفا توضیخ بدین

[loyalti]

سلام در مورد httpd برای دایرکت ادمین چگونه

لطفا توضیخ بدین

[/LEFT]

cd /usr/local/directadmin/custombuild
./build update
./build set harden-symlinks-patch yes
./build set secure_htaccess no
./build apache
./build rewrite_confs

[loyalti]

شما فکر کردین برای چی مدام INJECT میاد هر روز؟ کار خود شرکته میخواد هر کس سراغ نال رفته سریع اشتراک بخره
از جمله خود من برای بار N ام امروز توی فولدر downloads دیدم یه whmcs killer اسکریپت هک لعنتی 20 روز پیش!!!!!!! آپلود شده
رفتم زدم به سیم آخر خریدم یهو سالانشو 1 میلیون پیاده شدم گفتم باز اینطوری خیالم راحت تره بگذریم بیچاره شدم تا قالب جدید رو بهش شناسوندم... از سال بعدم 50 دلار میدم برای ساپورتشون و آپدیتاشون
منتظر 20 باگ جدید هفته بعدی باشید..

اگر مشکل شما فقط پوشه دانلود بوده تغییر نام این پوشه و انتقال آن به قسمت home هاست از اقدامات اولیه امنیت این اسکریپت هست و پولتون ُ دور ریختید که صرف خرید این اسکریپت ناکارامد کردید.
Further Security Steps - WHMCS Documentation
تمام پچ های امنیتی که خود WHMCS برای دانلود میذاره رو میتونید روی نسخه نال شده بریزید چون هیچ کال بکی نداره.
ضمنا هیچ شرکت نرم افزاری اعتبار خودش را با گذاشتن باگ در نرم افزار خودش پایین نمیاره.
باید به فکر مهاجرت به یک اسکریپت امن تر مثل hostbill بود.

[tizparvaz]

برای این منظور باید در فایل
htaccess
این کد رو بذارید
order deny,allow
allow from IP
deny from all

بله درسته انجام دادیم اینکار رو پیشنهاد دادم تا دسوتان دیگه هم انجام بدن