Sécuriser définitivement son include/

[Conchise]

Voici une autre amélioration de sécurité que j'ai faite :

J'ai déplacé mon dossier include/ de phpbb3 hors de l'arborescence du site. Il n'est plus du tout accessible depuis le web. Il ne s'appelle même plus include. Il porte un nom bidon.

Je compte faire de même pour les pages admin. Et renommer tout ce que je peux. Ainsi, si une faille de sécurité est publiée et si cette faille implique un fichier à appeller directement, elle ne sera pas disponible sous un nom trivial sur mon site. Juste histoire de compliquer la vie au hacker et de rendre inutilisable les logiciels des p'tits joueurs.

Pour ceux qui sont intéressés, voici comment procéder :

Note : Votre forum sera indisponible le temps de l'étape 4 (supression des anciens fichiers, copie des nouveaux. 10 min. chez moi)


1. On va utiliser un scripte qui cherche et remplace des chaînes de caractères dans des fichiers. C'est un scripte linux. Si vous ne pouvez pas le faire tourner chez vous, il est possible de le lancer en connexion ssh sur le serveur, donc finalement, ce tuto peut servir à tout le monde. Dans ce cas, effectuer un bakup des fichiers du serveur avant.

Procedure :

1. Effectuer deux bakups des fichiers du forum : un dans un dossier "bakup/" l'autre dans un dossier "travail/". Par la suite, on effectuera les modifications dans le dossier travail/

2. On cree un scripte général qui va rechercher dans le dossier courant et ses sous dossiers tous les fichiers spécifieés et faire le remplacement demandé.

utilisation : scripte *.php "trouver" "remplacer"

[Conchise]

Bon, j'ai déjà trouvé un petit bug :

search.php ligne 229 (chez moi)

[dcz]

Dans le principe, c'est pas dit que ce soit si utile que ça de faire tout ça, un bon vieux deny from all couplé à la vérification systématique de la constante IN_PHPBB rend déjà les choses très difficile.

Tu évites cependant de la sorte les usurpation ou le crack du mot de passe FTP, pour peu que le dossier soit vraiment à l'extérieur du chroot de l'utilisateur (pas accessible par le compte ftp associé) ce qui n'est à priori possible que sur un dédié.
Et avec un dédié, autant désactiver les accès ftp au profit des accès SSH, winscp rend la chose très simple, et permet l'utilisation de clés pour les puristes qui ne voudrait pas même envoyer leur mot de passe ...
Une couche supplémentaire de port knocking peut également apporter un plus pour les serveurs dédiés.


Et aussi, de manière générale, les bonne mesure de sécurité sont d'abord celle qui n'ont pas besoin de se cacher, le concept anglophone de la sécurité par l'obscurité ( "Security through obscurity" ) a maintes fois été décrié comme ne pouvant pas se substituer à des protections plus franches et directe. Faire du renommage de fichier peut aider un peu, mais si c'est le dernier ou le seul rempart contre le hack, il y a toutes les chances que le hacker réussisse quand même son coup.


++

[skieur]

bonjour,

[SeO]

Dans tous les script "publiques" (viewtopic.php viewforum.php etc), le code définit la constante IN_PHPBB :

[skieur]

Ok, merci bien du renseignement.