4 odpowiedzi na ten temat

[chinskimandaryn]

Po instalacji systemu pozostaje potencjalne niezabezpieczone miejsce
../typolight/install.php




By się włamać nie trzeba znać loginu, wystarczy tylko mechanizm, który by wpisywał hasła. A więc wystarczy (poprzez Google) znajdować serwisy na Typolight a następnie podjąć próbę wpisywania haseł (wystarczy tylko przygotować słownik z takimi hasłami które będzie wpisywał automat).

No tak, ale jakie hasła wpisywać?

Użytkownicy w większości nie stosują jakiś bardziej skomplikowanych haseł, a zdarza się, że mają jedno do wszystkich swoich kont, stron itp.
http://www.ks-eksper... ... eczne.aspx

W dodatku niektórzy nie wysilają się i dają hasła w stylu "123456":
http://www.polskiera...tykul90952.html


Jak to można by zabezpieczyć?

Dobrym rozwiązaniem jest wprowadzenie dodatkowego hasła na katalog:
../typolight/

Najlepszym rozwiązaniem jest zastosowanie

.htaccess
(http://www.webowe.pl...dstawy-czesc-i/)
Dzięki któremu można:
1) Ograniczyć dostęp do administracji z konkretnego IP
2) Zabezpieczy dodatkowym loginem / hasłem

[Crass]

a nie latwiej zmienic nazwe pliku install.php na dowolna ? i ewentualnie przy instalacjach zmieniać z powrotem ?

[spin80]

Jeśli wpiszemy trzy razy błędne hasło to otrzymamy info

The install tool has been locked

For security reasons the install tool has been locked. This happens if you enter a wrong password more than three times in a row. Please open the local configuration file and set installCount to 0.

I nici z naszego włamania.

No chyba, że ktoś odgadnie hasło w trzech próbach

[Kamil]

Można również wklepać exit; na koniec pliku (przynajmniej kiedyś tak było).

[chinskimandaryn]

Jeśli wpiszemy trzy razy błędne hasło to otrzymamy info

The install tool has been locked

For security reasons the install tool has been locked. This happens if you enter a wrong password more than three times in a row. Please open the local configuration file and set installCount to 0.

I nici z naszego włamania.

No chyba, że ktoś odgadnie hasło w trzech próbach

O tego nie wiedziałem ... czyli jednak o tym pomyśleli !!!
"Lepiej dmuchać na zimne" ... brawo Typolight!!! ... a już się bałem :-)