أنا لست من مشجعين نسخ vbulletin 3.5 ماذا عنك أنت ؟
 

أنا لست من مشجعين نسخ vbulletin 3.5 ماذا عنك أنت ؟
بسم الله الرحمن الرحيم
السلام عليكم ورحمة الله وبركاته
الحقيقه أحببت أن أطرح هذا الموضوع للنقاش البناء وليس للدخول معكم أخواني في صراع الأفضليه البرمجيه لذلك أتمنى منكم قراءة كلامي جيداً ومن ثم التعليق المناسب.

أغلبكم يعلم أن النسخ السابقه من vbulletin 3.0 وماقبلها كانت تحتوي على قوالب حساسه تستخدم في عمليات التحديث، وفي نسخ vbulletin 3.0 كانت توجد هذه القوالب بالأسماء التاليه:
phpinclude_start
phpinclude_end

القالب الأول ( phpinclude_start ) كان يستدعى عند الدخول لبرنامج المنتديات وبالتحديد في ملف global.php بالسطر التالي:

كود PHP:



أما القالب الثاني ( phpinclude_end ) فكان يستدعى عند الخروج من برنامج المنتديات وبالتحديد في ملف functions.php بواسطة الداله المشهوره print_output بالسطر التالي:

كود PHP:



هذه القوالب هي القوالب الوحيده من ضمن القوالب الأخرى التي تنفذ أوامر php والبركه في دالة eval طبعاً.
لمزيد من المعلومات عن دالة eval إضغط هنا

الشي المؤسف الذي حدث في الماضي أن هذه القوالب أصبحت تستغل من المخربين أطفالنا أكبادنا ( اطفال النت ) عن طريق ثغرات أخرى. وأعتقد أن كلكم يعرف ماكان يعمله الطفل المخرب الذي كان يلقب نفسه بالـ SHARK والمواضيع بمنتدانا كثيره حيث كان هذا المخرب يقوم بوضع أكواد php خبيثه مثل الـ phpshell داخل القوالب السابقه ويرجع للمنتدى الذي إخترقه في أي وقت يريد والمسكين طبعاً صاحب المنتدى ;) حيث يعتقد أن نسخته مصابه أو ان الإستضافه ليست بأمانه أو أن الملفات بها خلل ما وتبدأ مرحلة الشك مع هذا المسكين :rolleyes:

بعد إكتشاف حيلة المخرب السابق أصبح الكل يطالب بتعطيل القوالب السابقه وهذا موضوع التعطيل لهذه القوالب إضغط هنا.


بعد أن إرتحنا من هذه العقبه في نسخ 3.0 طلت علينا نسخ 3.5 بخاصية الـ HOOK والتي من خلالها يتم إدخال سكربتات php داخل قواعد البيانات ليتم تنفيذها في أسطر محدده داخل ملفات البرنامج وهي شبيهه بعمل القوالب السابقه بالضبط!
كان الهدف منها هو تسهيل تركيب الهاكات بدلاً من التعديل على ملفات النسخه.
أصبح الأغلب إن لم أخطيء يدندن لهذه النسخه بأنها الأفضل برمجياً وبأنها لا ترفع اللووود وبأن خاصية الـ AJAX التي بداخلها رائعه ...... وما إلى ذلك من الخصائص الكثيره.


السؤال المهم هنا
ماذا لو رجع لكم SHARK آخر من خلال أي ثغره كانت!! كيف ستصلون لأكواده الخبيثه من خلال هاكاتكم المزروعه بقاعدة البيانات ؟؟
ستجاوبون وتقولون سوف نعطل الـ HOOK من خلال لوحة تحكم المنتدى. هل هذا صحيح؟
وماذا إذا قلت لكم بأن خيارات لوحة المنتدى توجد في قاعدة البيانات أيضاً وفي حقل واحد داخل جدول datastore بالتحديد . ألا يستطيع تفعيلها من خلفكم بأي ثغرة كانت؟

الحقيقه أسئله أمنيه كثيره في ذهني حول هذه الخاصيه وعن مضارها التي أرى أنها أكبر من نفعها.

اخي الموضوع منقول من سوالف لل( العندليب )
تحياتي لك .

مشكور اخوى على المرور

ولكن احببت اوضح لان فى الفتره الاخيره هذه حدث اختراقات بسبب هذه النسخه :D

اختراقات مواقع كبيره :rolleyes:

اخي الكريم

في ملف الكونفيج هناك اخيتار الى رقم عضوية الادمن الذي يسمح له بتنفيذ هذه الاوامر


تكون 0 كالعادة ليكون اليوزر رقم 1 واي يوزر بعده ادمن يتحكم

ولكن ممكن تعديلها وقد سويتها بمنتداي




على ذلك ولانني اخاف كثيراً من اختراق لموقعي حيث ما هي مشكلة عندي ارجعه بكبسة زر عن طريق لوحة السيرفر ولكن
- استخدم نسخة مرخصة
- لا استعمل ابداء اي هاك تدخل فيه يد عربية - لا اقصد الأساة لاحد ولكنني لا اثق بأي مبرمج عربي يقول هذه نسخة لك ولو هي منزوعة الكود او مرخصة ما اثق بيها لا اثق بالهاكات العربية
- عند تسجيلك ترخيص لموقع يسمح لك بالدخول على قسم خاص وتحميل هاكات من موقع Vb نفسه وهذا الهاكات 100% مضمونة يمكن تركبها بدون ما حتى تفكر انه في كود او شيء للاختراق

- استعمل فوق هذا تشفير Zend الى ملف كونفيج لضمان حماية الملف

- استعمل جدار ناري على المجلدات الاساسية مثل Admincp - Modcp - Arhcive والى ما هنالك من ملفات اساسية


والحمد الله احتفلت بمرور سنتين على موقع تاريخ 14\4\206 وللحين لم اجد اي شيء مخالف على النسخة

يجدر الذكر بأنني كنت استعمل نسخة php وتم تطويرها وسحب القواعد والاعضاء والمواضيع وكل شيء دون خسارة دقيقة واحدة او توقيف المنتدى اكثر من 5 دقائق التحويل

تحياتي لك

لا حول ولا قوة إلا بالله شو هل الخبر

وانشاء الله ربنا يبعدنا عن هل الأطفال