WHMCS Brute Force [Protection]

[T.Toosi]

باسلام، باتوجه به کمبود و ضعف های امنیتی که در بخش ورود کاربری سیستم اتوماسیون whmcs مشاهده شده است، طی زمان سعی میکنم این تاپیک را کامل کرده و ماژول هایی که مینویسم را به صورت رایگان در اختیار دوستان بگذارم.

# بلاک آیپی در صورت ناموفق بودن ورود کاربر + reCaptcha گوگل (بخش کاربری)

در صورتی که کاربر بیش از 3 بار (قابل ویرایش) ورود ناموفق داشته باشد آیپی او در بن لیست whmcs ثبت خواهد شد و در بخش آیپی های مسدود شده، قابل مدیریت خواهد بود. همچنین به فرم ورود reCaptcha گوگل اضافه خواهد شد.

1 - ابتدا sql زیر را در دیتابیس خود اجرا کنید :

https://codepaste.net/x9zfui

2 - فایل پیوست شده (faildlogin.php) را دانلود کنید سپس به مسیر public_html/includes/hooks آپلود کنید.

در لاین 74 فایل (faildlogin.php) میتوانید مدت زمان مسدود بودن آیپی، تعداد دفعالت خطا و پیام مسدود سازی را را تغییر دهید. اگر whmcs شما داخل فولدر نصب شده است در لاین 50 نام فولدر همراه با اسلش ابتدایی وارد کنید :

$whmcsFolder = null; //ex(with slash): /my

    /*********************************************
    
                  YOU CAN EDIT
                    T.TOOSI
    
    *********************************************/
        
            $configureFaild['adminUsername2']    = 'admin';
            $configureFaild['banExTime']        = '+2 hours';
            $configureFaild['googleSecret']        = '6LcV1hoUAAAAAL04oGte0kbnHXLKazJR8U1N5SK7';            
            $configureFaild['faildTimes']        = 3;
            $configureFaild['faildMsg']            = 'Faild Login!';
            $configureFaild['whmcsFolder']        = $whmcsFolder;
            $configureFaild['ip']                = $ip;
        
    /**********************************************/

سپس برای نمایش reCaptcha فایل login.tpl قالب خود را باز کرده، ابتدا خط اضافه کنید :

<script src='https://www.google.com/recaptcha/api.js?hl=fa'></script>

قبل بسته شده form اضافه کنید :

        <div class="form-group">
            <div class="g-recaptcha" data-sitekey="6LcV1hoUAAAAADmGH99-kkipQ27GJZ9eN3xTkxBa"></div>
        </div>    

مقدار data-sitekey و secret (درفایل faildlogin.php) از آدرس زیر بگیرید :

https://www.google.com/recaptcha/admin

[tikweb.ir]

جناب طوسی واقعا جای تشکر داره کارتون
اگر یه لینک donate بزارید حتما بنده و عزیزان دیگه شما رو حمایت خواهیم کرد
ماژول رو تست میکنم نتیجه رو قرار میدم

- - - Updated - - -

$adminUsername2 

این دقیقا چی هست با چه چیزی باید جایگزین بشه؟
یوزر ادمین؟

[T.Toosi]

جناب طوسی واقعا جای تشکر داره کارتون
اگر یه لینک donate بزارید حتما بنده و عزیزان دیگه شما رو حمایت خواهیم کرد
ماژول رو تست میکنم نتیجه رو قرار میدم

- - - Updated - - -

$adminUsername2 

این دقیقا چی هست با چه چیزی باید جایگزین بشه؟
یوزر ادمین؟

یوزرنیم ادمین whmcs جایگزین کنید.

[Oscar]

قبل از این تاپیک قصد داشتم ماژول فراسو رو خریداری کنم که به عنوان یک ماژول واقعا هزینه بالایی داره
بسیار عالی این کار شما قابل ستایشه و بنده هم حاضرم ازین کار شما حمایت مالی کنم

[amin karimi]

باتشکر فراوان از شما

بابت کدنویس های خوبتون و مهم تر رعایت حال همکاران انتشار رایگان آن

[tikweb.ir]

یوزرنیم ادمین whmcs جایگزین کنید.

بنده جایگزین کردم اما ده بار هم که یوزر پسورد اشتباه میزنم ایپی رو بلاک نمیکنه
مشکل کجاست؟
تیبل هم ساخته شده فایل هوک هم آپلود شده

ما https استفاده میکنیم ارتباطی داره؟

[T.Toosi]

بنده جایگزین کردم اما ده بار هم که یوزر پسورد اشتباه میزنم ایپی رو بلاک نمیکنه
مشکل کجاست؟
تیبل هم ساخته شده فایل هوک هم آپلود شده

سلام، اگر امکانش هست از پ خ teamviewer بفرستید نگاه کنم.

[tikweb.ir]

سلام، اگر امکانش هست از پ خ teamviewer بفرستید نگاه کنم.

ما https استفاده میکنیم ارتباطی داره؟

[T.Toosi]

ما https استفاده میکنیم ارتباطی داره؟

به دلیل اینکه whmcs داخل فولدر هست، لاین 3 :

$_SERVER['REQUEST_URI'] === "/dologin.php"

جایگزین کنید :

$_SERVER['REQUEST_URI'] === "/cp/dologin.php"

[AtrafNet]

به دلیل اینکه whmcs داخل فولدر هست، لاین 3 :

$_SERVER['REQUEST_URI'] === "/dologin.php"

جایگزین کنید :

$_SERVER['REQUEST_URI'] === "/cp/dologin.php"

خیلی ممنون از ماژول جسارتاً این بررسی REQUEST_URI وقتی متد POST و وجود دو مقدار username و password رو چک میکنید اضافی نیست؟
حتی اگه جای دیگه از سایت ماژول فعال بشه و در داخل متد POST این دو مقدار باشه بازم که خوبه اگه قصد BruteForce داشتن بلاک بشن نه؟