保护 PHPBB3 板免受黑客攻击的好方法？答案

【问题标题】：Good way to keep PHPBB3 boards secure from hackers?保护 PHPBB3 板免受黑客攻击的好方法？
【发布时间】：2012-09-06 17:32:08
【问题描述】：

不断听到其他论坛被黑的消息。我知道，如果黑客如此坚定，他们会找到方法，但是您可以采取哪些措施来尽可能确保不会发生这种情况？

【问题讨论】：

标签： php security phpbb3

【解决方案1】：

PHPBB3 中还会有另一个漏洞，你会被黑。尝试使 PHPBB3 保持最新。我知道Simple Machines Forums 更安全，因为我已经手动审核了它们。

1) 毫无疑问，让任何 Web 应用程序更安全的最重要的事情就是使用 Web 应用程序防火墙，例如 Mod_Security。

2)确保您使用的是现代 linux 发行版，该发行版使用 ether SELinux 或 AppArmor，SELinux 更安全。 不要使用 WINDOWS。

3) 确保您的 mysql 用户帐户只能访问 PHPBB3 数据库，并且没有别的。最重要的是确保 PHPBB3 的帐户不能访问 mysql.user 表！到目前为止，“文件权限”是您可以为 Web 应用程序提供的最糟糕的东西。文件权限比“grant”差很多，因为攻击者会尝试像这样注入 sql：' union select '<?php eval($_GET[e])?>' into outfile "/var/www/backdoor.php"-- 来上传他的后门，“grant”只有在攻击者可以“堆叠”查询时才能使用并且 mysql_query() 不允许这样做，并且不能用于 sql 注入攻击。

4) 防火墙关闭端口 3306，或任何 mysql 正在使用的端口。你应该只允许你绝对需要的端口，并且对你的数据库格外小心。

5) 运行PHPSecInfo 并确保它不会引发“红色”警告。

6) 对你的服务器运行OpenVAS，这可能是黑客会做的第一件事。

【讨论】：

【解决方案2】：

您永远无法说出如何 100% 免受黑客攻击，但您至少可以遵循一些安全策略以将风险降至最低。

使用强根密码，
在线跟踪关键问题并尽快修复，
使用验证码进行连续登录，
使用电子邮件确认进行新注册，
在帖子和签名中禁用 HTML。

【讨论】：

很明显，您从未入侵过 Web 应用程序。