Crimson lähettäminen php-tilassa. Kuinka suojata foorumi phpBB-moottorilla automaattisilta rekisteröinneiltä

Kommentti:

ja tarkista sitten onko $_GET["prosessoitu"]-muuttuja asetettu.

auto_prepend_file Määrittää tiedoston nimen, joka käsitellään automaattisesti ennen päätiedostoa. Tiedostoa kutsutaan ikään kuin se olisi sisällytetty funktion avulla vaatia

joten myös include_path käytetään. Erityinen merkitys ei mitään

poistaa tämän direktiivin käytöstä. merkkijono

Auto_append_file Määrittää tiedoston nimen, joka käsitellään automaattisesti ennen päätiedostoa. Tiedostoa kutsutaan ikään kuin se olisi sisällytetty funktion avulla Määrittää tiedoston nimen, joka käsitellään automaattisesti päätiedoston jälkeen. Tiedostoa kutsutaan ikään kuin se olisi sisällytetty funktion avulla

joten myös include_path käytetään. Erityinen merkitys ei mitään

Kommentti: , joten myös include_path käytetään. Jos skripti poistuu komennolla exit() ,Liitä automaattisesti EI

oletus_mimetyyppi

Oletusarvoisesti PHP näyttää koodausnimen Content-Type-otsikossa. Jos sinun ei tarvitse välittää koodausta, jätä tämä vaihtoehto tyhjäksi.

"mediatyyppi" on oletuksena "text/html". merkkijono

Default_charset PHP 5.6:ssa ja uudemmissa versioissa "UTF-8" on oletusarvo ja sitä käytetään funktioiden oletuskoodauksena, htmlentiteetit() html_entity_decode() Ja, jos koodausparametria ei ole määritetty. default_charset-arvoa käytetään myös oletuskoodauksen määrittämiseen iconv-funktioille, jos iconv.input_encoding-, iconv.output_encoding- ja iconv.internal_encoding-määritysasetuksia ei ole asetettu, ja mbstring-funktioille, jos mbstring.http_input mbstring.http_output mbstring.internal_encoding aseta.

Kaikki PHP:n versiot käyttävät tätä arvoa PHP:n lähettämän standardin Content-Type-otsikon koodauksena, ellei tätä otsikkoa korvaa funktiokutsu otsikko().

Input_encoding merkkijono

Output_encoding merkkijono

Saatavilla PHP 5.6.0:sta. Tätä asetusta käytetään monitavuisissa moduuleissa, kuten mbstring ja iconv. Oletusarvo on tyhjä.

Sisäinen_koodaus merkkijono

Saatavilla PHP 5.6.0:sta. Tätä asetusta käytetään monitavuisissa moduuleissa, kuten mbstring ja iconv. Oletusarvo on tyhjä. Tässä tapauksessa käytetään oletusmerkkisarjaa.

Aina_täytä_raw_post_data sekoitettu

Huomio

Tämä toiminto otetaan huomioon Vanhentunut PHP 5.6.0 ja , alkaen PHP 5.3.0:sta ja oli PHP 7.0.0:ssa.

Jos asennettuna TOTTA, silloin PHP muodostaa aina $HTTP_RAW_POST_DATA raaka-POST-tiedoista. Muutoin muuttuja linkitetään vain, jos MIME-tyyppiä ei tunnisteta.

Suositeltu menetelmä raaka-POST-tietojen käyttämiseen on php://input , ja $HTTP_RAW_POST_DATA on vanhentunut PHP 5.6.0:n jälkeen. Asetetaan aina_populate_raw_post_data arvoksi -1 määrittää uuden toiminnan, joka otetaan käyttöön tulevissa PHP-versioissa, kun $HTTP_RAW_POST_DATA ei ole enää käytössä.

Polut ja hakemistot

Konfigurointiohjeiden lyhyt kuvaus.

Määrittää luettelon hakemistoista, joissa toimintoja Määrittää tiedoston nimen, joka käsitellään automaattisesti ennen päätiedostoa. Tiedostoa kutsutaan ikään kuin se olisi sisällytetty funktion avulla, sisältää, fopen(), tiedosto(), lue tiedosto () Ja file_get_contents() etsii tiedostoja. Muoto noudattaa PATH-järjestelmäympäristömuuttujan muotoa: luettelo hakemistoista, jotka on erotettu kaksoispisteellä Unixissa tai puolipisteellä Windowsissa.

Kun etsit sisällyttäviä tiedostoja, PHP tarkastelee jokaista include_path-arvoa erikseen. Se tarkistaa ensimmäisen polun, jos tiedostoa ei löydy siitä, siirtyy seuraavaan, ja niin edelleen, kunnes se löytää mukana olevan tiedoston tai palauttaa varoituksen tai virheen. Voit muuttaa include_path-arvoa, kun komentosarja on käynnissä funktion avulla set_include_path().

Esimerkki 1 include_path Unixissa

include_path=".:/php/sisältää"

Esimerkki #2 include_path Windowsissa

include_path=".;c:\php\sisältää"

Käyttö . kohdassa include_path voit määrittää suhteelliset polut tiedostojen sisällyttämiselle, koska piste tarkoittaa nykyistä hakemistoa. Se on kuitenkin tehokkaampi käyttää sisältää "./file" kuin pakottaa PHP tarkistamaan nykyisen hakemiston aina, kun jokainen tiedosto sisällytetään.

Kommentti:

Ympäristömuuttujat ( Jos legacy register_globals-direktiivi on käytössä, muuttujat_järjestys määrittää myös järjestyksen, jossa muuttujat viedään) ovat saatavilla myös .ini-tiedostoina. Siten on mahdollista viitata kotihakemistoon direktiiveillä $(KIRJAUDU) Ja $(KÄYTTÄJÄ).

Ympäristömuuttujat voivat vaihdella eri palvelinsovellusliittymien välillä, koska itse ympäristöt eroavat toisistaan.

Esimerkki #3 Asetus include_path käyttämällä ympäristömuuttujaa $(USER) Unixissa

include_path = ".:$(KÄYTTÄJÄ)/päärynä/php"

Open_basedir merkkijono

Rajoittaa määritettyyn hakemistopuuhun tiedostot, joita PHP voi käyttää, mukaan lukien itse tiedoston. Tämä direktiivi ,Liitä automaattisesti vikasietotila vaikuttaa.

Kun komentosarja yrittää päästä tiedostoon esimerkiksi funktion avulla fopen() tai gzopen(), tiedoston sijainti tarkistetaan. Jos tiedosto on määritetyn hakemistopuun ulkopuolella, PHP kieltäytyy avaamasta sitä. Kaikki symboliset linkit laajenevat, joten ne eivät voi ohittaa tätä rajoitusta. Jos tiedostoa ei ole olemassa, symbolista linkkiä ei voida lukea ja tiedoston nimi (lue) otetaan huomioon open_basedir .

Vaihtoehto open_basedir voi koskea paitsi toimintoja tiedostojärjestelmän kanssa työskentelemiseen; esimerkiksi jos MySQL määritetty käyttämään ohjainta mysqlnd, Tuo LATAA TIEDOT INFILE kuuluu vaihtoehdon alle open_basedir. Myös paljon PHP-toimintoja on käytössä open_basedir.

Erityinen merkitys. osoittaa, että komentosarjan työhakemistoa käytetään perushakemistona. Tämä on kuitenkin hieman vaarallista, koska nykyistä komentosarjahakemistoa voidaan helposti muuttaa chdir().

httpd.conf:ssa, open_basedir voidaan poistaa käytöstä (esimerkiksi joillekin virtuaalisille koneille) samalla tavalla kuin mikä tahansa muu määritysohje: " php_admin_value open_basedir ei mitään".

Windowsissa erota hakemistot puolipisteillä. Kaikissa muissa järjestelmissä erota hakemistot kaksoispisteellä. Kun ajetaan Apache-moduulina, polut open_basedir peritään automaattisesti päähakemistoista.

Raja määritelty open_basedir on hakemiston nimi PHP-versioista 5.2.16 ja 5.3.4 lähtien. Aiemmat versiot käyttivät tätä arvoa etuliitteenä. Se tarkoittaa sitä " open_basedir = /dir/incl"antaa myös pääsyn" /dir/include"ja" /dir/incls" jos niitä on olemassa. Jos haluat rajoittaa pääsyn vain määritettyyn hakemistoon, lisää vinoviiva loppuun. Esimerkki: open_basedir = /dir/incl/

Oletuksena kaikki tiedostot voidaan avata.

Kommentti:

PHP 5.3.0:sta lähtien open_basedir-arvoa voidaan tehdä rajoittavammaksi komentosarjan suorittamisen aikana. Tämä tarkoittaa, että jos open_basedir on asetettu arvoon /www/ php.ini -tiedostossa, komentosarja voi pakata kokoonpanon muotoon /www/tmp/ ajon aikana käyttäen ini_set(). Kun määrität useita hakemistoja, voit käyttää vakiota PATH_SEPARATOR käyttöjärjestelmästä riippumattomana polun erottimena.

Kommentti:

Open_basedir-vaihtoehdon käyttäminen asettaa realpath_cache_size -arvoksi 0 ja näin sammuu realpath-välimuisti.

PHP "juurihakemisto" tällä palvelimella. Käytetty vain jos ei ole tyhjä. Jos PHP on määritetty vikasietotilaan, tämän hakemiston ulkopuolisia tiedostoja ei käsitellä. Jos PHP:tä ei ole käännetty FORCE_REDIRECT:llä, sinä pitäisi aseta doc_root, jos käytät PHP:tä CGI:nä missä tahansa verkkopalvelimessa (paitsi IIS). Vaihtoehtona on käyttää määritysohjetta cgi.force_redirect zend_extension_debug cgi.discard_path boolean

Jos se on sallittua, PHP CGI -binaari voidaan sijoittaa turvallisesti verkkopuun ulkopuolelle, eivätkä ihmiset voi ohittaa .htaccess-suojausta.

Cgi.fix_pathinfo boolean

Tarjoaa tukea oikea PATH_INFO/PATH_TRANSLATED CGI:ssä. Aiemmin PHP oli yksinkertaisesti asennettu PATH_TRANSLATED V SCRIPT_FILENAME eikä kiinnittänyt huomiota PATH_INFO. Lisätietoja aiheesta PATH_INFO, katso CGI-spesifikaatiot. Asetetaan tämä arvo 1 pakottaa PHP CGI:n korjaamaan polkunsa määrityksen mukaisesti. Arvo 0 vastaa edellistä käyttäytymistä. Oletusarvoisesti vaihtoehto on käytössä. Sinun tulee korjata skriptit niin, että ne käyttävät SCRIPT_FILENAME sijasta PATH_TRANSLATED.

Cgi.force_redirect boolean

cgi.force_redirect-direktiiviä tarvitaan turvallisuuden varmistamiseksi, kun PHP toimii CGI-muodossa useimmissa web-palvelimissa. Jos se jätetään määrittelemättä, PHP ottaa tämän direktiivin oletusarvoisesti käyttöön. Voit sammuttaa sen omalla vastuulla.

Windows-käyttöjärjestelmän erikoisasetukset

Konfigurointiohjeiden lyhyt kuvaus.

Kun tämä ohje on käytössä, Windowsin CRT-varoitukset näytetään. Nämä varoitukset näytettiin aiemmin oletuksena ennen PHP 5.4.0:aa.

Voit valita, mitä PHP-versiota käytetään isännöintitilillesi. Erikoiskomponentin avulla voit valita paitsi PHP-version, myös joukon moduuleja tilillesi.

PHP-version valinta

Voit tehdä tämän siirtymällä cPanel-tilillesi ja valitsemalla sitten ""-osion > menemällä valikkoon Valitse PHP-versio"> valitse haluamasi PHP-versio avattavasta luettelosta ja napsauta painiketta " Aseta nykyiseksi" Huomaa, että tätä asetusta sovelletaan välittömästi koko isännöintitiliin, eikä eri versioita voi käyttää eri sivustoille.

Seuraavat PHP-versiot ovat saatavilla: 4.4.x, 5.1.x - 5.6.x., 7.0.x - 7.3.x.

Jos sinun on asennettava eri PHP-versio tilisi toiselle sivustolle, halutun sivuston tiedostot sisältävään hakemistoon lisätään .htaccess-tiedosto, jossa on jokin seuraavista riveistä:

# PHP versiolle 7.0 SetHandler-sovellus/x-httpd-alt-php70 # PHP versiolle 5.3 SetHandler-sovellus/x-httpd-alt-php53

Jokaisella versiolla, kuten näet, on oma merkityksensä. Tätä voidaan muuttaa tarvitsemasi version mukaan, php 7.3 asti.

PHP-ohjeiden ja laajennusten valitseminen

Voit itsenäisesti ottaa käyttöön tai poistaa käytöstä tiettyjä PHP-laajennuksia tilissäsi. Voit tehdä tämän siirtymällä cPanel-tilillesi ja valitsemalla sitten osion " Ohjelmistot ja palvelut"> siirry valikkoon" Valitse PHP-versio»> avautuvalla sivulla on luettelo kaikista saatavilla olevista laajennuksista. Voit valita tarvittavat laajennukset ja napsauttaa sivun alareunassa Tallenna.

Mitä tulee ohjeisiin, sinun on siirryttävä cPanel-tiliisi ja valittava sitten osio " Ohjelmistot ja palvelut"> siirry valikkoon" Valitse PHP-versio» > « Vaihda PHP-asetuksiin" ja määritä vaaditut arvot seuraaville parametreille (Nämä muutokset edellyttävät /etc/php.ini-tiedoston päivittämistä):

salli_url_fopen
display_errors
error_reporting
file_uploads
sisällytä_polku
log_errors
mail.force_extra_parameters
max_execution_time
max_input_time
max_input_vars
muistiraja
open_basedir
post_max_size
session.save_path
short_open_tag
suhosin.post.max_vars
suhosin.request.max_vars
upload_max_fisize
upload_tmp_dir

Jos sinun on ylikuormitettava muita PHP-ohjeita, sinun on käytettävä paikallista php.ini-tiedostoa. Käyttääksesi sitä sinun on luotava tämä tiedosto tarvittavilla PHP-asetuksilla PHP-skriptien kansioon. Jos esimerkiksi joudut muuttamaan jonkin skriptisi parametria “upload_max_filesize”, “register_globals” jne. sen komentosarjan kansiossa public_html, johon näitä asetuksia tulee soveltaa, sinun on luotava tiedosto. nimeltä "php.ini", jonka sisältö on seuraava:

upload_max_filesize = 128M
muistiraja = 168M
max_execution_time = 60
max_input_time = 120
postin_maksimikoko = 32 m
register_globals = Päällä

Yllä olevien lisäksi voit säätää myös seuraavia parametreja:

salli_url_fopen
display_errors
error_reporting
file_uploads
sisällytä_polku
log_errors
magic_quotes_gpc
mail.force_extra_parameters
max_input_vars
open_basedir
turva tila
safe_mode_exec_dir
safe_mode_include_dir
session.save_path
short_open_tag
suhosin.get.max_value_length
suhosin.post.max_vars
suhosin.request.max_varname_length
suhosin.request.max_vars

Huomaa, että tämän php.ini-tiedoston sisältöä sovelletaan vain php-tiedostoihin siinä hakemistossa, jossa se luotiin. Eli jos hakemisto, jossa php.ini-tiedosto sijaitsi, sisältää php-tiedostojen lisäksi myös hakemistoja, joissa on omat php-tiedostonsa, php.ini-toiminto ei koske niitä. Päinvastaisen vaikutuksen saavuttamiseksi (teknisesti ottaen php.inin käskyjen soveltaminen rekursiivisesti), sinun on lisättävä seuraavat rivit sen hakemiston .htaccess-tiedostoon, jossa php.ini-tiedosto sijaitsee: SetEnv PHPRC<прямой полный путь к php.ini файлу>Tämän jälkeen määritetyn php.ini-tiedoston vaikutus koskee myös php-tiedostoja, jotka sijaitsevat sen hakemiston sisällä, jossa määritetty php.ini-tiedosto sijaitsee.

Voit lukea lisää PHP-version ja php.inin määrittämisestä meidän cPanelissa.

Huomautus: LiteSpeed ​​​​PHP (LSPHP) on otettu käyttöön komentosarjojen suorittamiseksi virtuaalisilla isännöintipalvelimillamme. Eli ei tarvitse myöntää kirjoitusoikeuksia koko web-palvelimelle, kuten tapahtuu joillakin isännöintisivustoilla, joissa Apache on mod_PHP.

Etsitkö jotain verkkosivustollesi? Katso tarjouksemme. Et voi vain tilata virtuaalista isännöintiä tai VPS:ää, vaan myös säästää rahaa vastaanottamalla verkkotunnuksen lahjaksi. Tarvitsetko lisää vapautta ja voimaa? Omat palvelimemme ilahduttavat sinua edullisilla hinnoilla.

phpBB-foorumimoottorilla on paljon etuja, se on kätevä sekä käyttäjille että moderaattoreille, ja sen seurauksena se on erittäin suosittu. Mutta juuri sen suosio aiheuttaa sen suurimman haittapuolen - se lähetetään roskapostiksi ja lähetetään automaattisesti. Jonkin ajan kuluttua jatkuva uusien väärennettyjen käyttäjien rekisteröintien virta ja heiltä tulevat roskapostiviestit voivat murskata sivuston hallinnon hermoja.

PhpBB-versio 3.* peruspaketissa sisältää jopa 4 captcha-vaihtoehtoa, joita voidaan tarjota käyttäjille rekisteröityessään foorumille. Niitä on jopa recaptcha Tämä ei kuitenkaan ole esteenä automaattisille lähettäjille, kuten käytäntö osoittaa.

Nämä ohjelmat tietävät, miltä tyypilliset sisääntulokohdat eri foorumikoneiden rekisteröintisivuille näyttävät. Tämä tieto perustuu web-sivujen DOM-mallien tunnistamiseen, jotka sisältävät lomakkeita uusien käyttäjien rekisteröintiä, viestien lähettämistä ja niin edelleen. Eli esimerkiksi phpBB:n tapauksessa robotti tietää, että rekisteröinnin aloituspiste sijaitsee osoitteessa /ucp.php?mode=register ja että tällä sivulla on painike, kuten:

Menemättä teknisiin yksityiskohtiin huomautan, että voit löytää ja napsauttaa tämän painikkeen HTML-dokumentista ainakin tunnuksen tai nimen perusteella.

Heti kun robotti saavuttaa captcha-sivun, se vastaanottaa captcha-kuvan ja yrittää tunnistaa sen. Tässä voidaan käyttää erilaisia ​​tekniikoita ohjelman kehittyneisyydestä riippuen OCR-algoritmeista yksinkertaiseen elävän ihmisen suorittamaan captcha-tunnistukseen. Tästä syystä suojaus ei toimi. IP-osoitteiden kieltäminen foorumilla on myös täysin hyödytöntä, koska robotit lähettävät roskapostia useiden välityspalvelinten kautta. Tässä mielessä ei ole väliä kieltää osoitteita tai puhdistaa uudet automaattiset rekisteröinnit tavalla tai toisella, kaikki on ajanhukkaa.

Osoittautuu, että ainoa tapa katkaista automaattiset lähettäjät on muokata hieman foorumin sisääntulokohdan merkintää ainutlaatuisella tavalla. Kaksi tai kolme vuotta sitten tein tämän tempun phpBB2:lle ja se toimi - automaattiset rekisteröinnit pysähtyivät. Sama asia vahvistettiin äskettäin toisella sivustolla, jo phpBB3-moottorissa.

Seuraavaksi annan erityisen todistetun esimerkin phpBB-rekisteröintisivun muokkaamisesta. Haluaisin kuitenkin tehdä varauksen, että tämä viesti tarjoaa suojan automaattisia rekisteröintejä vastaan ​​​​foorumeilla, ei erityisiä menetelmiä. Kaikki riippuu foorumin ylläpitäjän käsistä ja johtajasta. HTML:n ja css:n perustiedot on suositeltavaa. Jos lukijat alkavat kopioida tätä menetelmää massalla, roskapostittajat ohjelmoivat tämän "heuristisen" ohjelmistoonsa ja automaattiset rekisteröinnit jatkuvat.

Joten valitse phpBB-foorumin asetuksista yksinkertaisin captcha “CAPTHA ilman GD:tä”.
Se näyttää selaimessa tältä (FF3):

Jos katsot rekisteröintisivun merkintää captcha-kuvan alueella, se näyttää tältä:

Itse asiassa img-tunnisteen src-attribuutti sisältää kuvan, jossa on captcha. Avaa kansio, jossa nykyinen aihe on asennettu foorumille. Minun tapauksessani se on prosilver: /forum/styles/prosilver/template. Siitä löydämme tiedoston captcha_default.html. Jos katsot tätä mallia, näet paikan, jossa yllä oleva merkintä muodostetaan:

Se näyttää nyt selaimessa tältä:

Olen samaa mieltä, se ei ole kovin mukavaa, mutta nyt järjestelmänvalvojan hermot ovat kunnossa. Tavalliset käyttäjät voivat silti rekisteröityä. Tietenkin, kun päivität moottorin uudempaan versioon, sinun on muistettava tehdä tämä korjaus uudelleen. Toivon, että rohkeat phpbb-käyttäjät eivät jää tähän esimerkkiin, vaan keksivät muita tapoja muuttaa sisääntulokohtaa ehdotetun suojauskonseptin mukaisesti.