Самый простой способ получить админ пароль, поставить баннер со скрипто-фреймом , либо по обмену банеров, либо как рекламу,

Поэтому - Желательно после создания форума - глав админ ник законсервировать и пользоваться в крайнем случае для отката или снятия админов, а так пользоваться новосозданным админ ником паролем( ксать ники по-виду могут совпадать, достаточно заменить букву русский на лат или наоборот

Отредактировано Deff (11.11.11 10:19)

Баннер обычно чисто HTML

В этом же коде Обязаны присутствовать теги <script
С другой стороны,
Не факт что все банеры с тегами <script - шпионы - в частности ротаторы и различные счетчики от гуглов и яндексов тож со скриптом

Так как ваш форум существует уже супер давно, а вопрос о безопасности поднят всего месяц назад))), то вопрос уж явно запущен...
При этом тут практически каждый -- админ форума))).

Я что бы читабельно было и удобней было обсуждать методы, буду разбивать на несколько сообщений.
Выкладывать буду постепенно, потому как если не интересно, то и остановлюсь (не обязательно учить не хорошему залётных... А учить защищаться, это значит и учить активной защите, то есть фактически нападению.
Писать буду стараться принципы и алгоритмы взлома, без технических нюансов. Хотя, кого что заинтересует легко уже сможет в инете надыбать конкретику.
Герду попрошу поставить на контроль и если чего удалить и остановить.

Кто и так плохо спит, дальше не читайте.
То, что написала Герда в заголовке и баннер, это не самые простые способы. Есть ещё проще.
Интернет вообще не приспособлен для хранения закрытой информации. Для этого есть сейфы, а не интернет.
Вышли в интернет, значит выложили в свободный доступ. Это факт и не надо тут... Это как вышли в подъезд, будьте готовы, что кто-то вас увидит с не накрашенным лицом... иначе сидите дома.

Для того что бы вас кто-то взломал, ваш сайт или вы лично должны представлять хоть какой-то интерес.
То есть, должен быть мотив. Даже из хулиганских побуждений школяры и то предпочитают сладенькое, чем пресное.
Второй и третий принципы следуют из криптографии. Взломать можно всё, надо лишь время и средства. И надёжно защищённой считается информация если:
-- на добывание информации потребуется времени столько, что к моменту когда откроется доступ информация устареет (понятно, что она просто уже не нужна станет, поэтому ни кто её и добывать не станет);
-- на добывание информации уйдёт больше средств, чем сама информация стоит (элементарный принцип например финансовой не выгодности).
Четвёртый принцип, это нельзя обижать никого!

Я для себя направления во взломе упрощённо разделяю так:
-- социальная инженерия (это то, что написала Герда). Например, представляются сватом, братом, представителем провайдера, хостера и просят подтвердить ваш пароль в связи с тем, что был сбой, и теперь восстанавливают таблицы, по новой регистрируют, надо указать старый и получить новый, получите подарок, но это только нашим пользователям, подтвердите паролем, что вы это Герда или Вася и т.д. и т.п. Это может быть и на почту и на телефон даже, включая на домашний.
Причём фантазия безгранична и заподозрить бывает очень сложно. Любовные отношения то же эксплуатируются.
Как бы для примера, сходу такой вариант развода. Присылают анкету (а если знают, что вы на работу устраиваетесь или фрилансером ищите, то стопудово пройдёт... например, поискали ваш ник в инете и нашли, что на иностранные языки подписывались, про учёбу вождения и т.д.) в анкете бла, бла, бла и что бы завести вам электронный кабинет просят указать три, предпочтительных для вас, пароля и ника. Практически всегда из этих трёх человек укажет и ник на почту, и на сотню сайтов, и свой админский...
-- Следующее направление, это техническая атака  на комп и почту админа. Тут всё. Если админ скачал себе на комп файл, то...
Это может быть вообще что угодно, любой файл, любой архив (Откройте архиватор и создавая архив чего угодно нажмите на кнопку комментарии. Не думайте, что тут пишут, слова про то, какой это хороший файл. Тут что угодно влезает от готовых вирусов (что редко, потому как антивирусники сразу заорут), до всего 7 команд, которые на 100% пропустит любой антивирус, а комп станет беззащитным)до ...
Это может быть любая картинка. Если вам на почту прислали новогоднюю картинку и вы нажали на неё посмотреть, то кто-то, пока вы ещё не вышли из своей почты (в рамках этой сессии) уже читает ваши письма! Не надо подбирать пароли! Достаточно мелкой картинки, типа ваш друг Вася написал вам письмо посмотрите. А картинка мелкая и Васю не разглядеть. Жмёте посмотреть, что за Вася, а Вася уже сразу после этого получает письмо, что иди, типа смотри почту, открыто...
То же касается всех ссылок. Ещё опасней, если по этим ссылкам предлагается зарегится или видите знакомый сайт и там надо войти. То что сайт только выглядит до мелочей как знакомый и даже в адресной строке будет тот же адрес, это подставной сайт.
Ну и вот к примеру, я сейчас зарегистрировался на этом сайте и пиши пропала моя жизнь, если злонамеренный админ.)))
То же из этой серии просканировать открытые порты компа админа (типа атака в лоб, нахаляву) и программкой например телнет из стандартной винды, лазить на компе админа, как у себя дома.
Это не всё, это только для затравки в каждом направлении пишу.
-- Следующее это "засланный казачок". Добиваются звания модератора, получают пароль на админку и неважно насколько низкий приоритет пароля тупо заливают (в ручную то же не в падлу знаков 40-60 набить) в любое доступное внутри админки окошко шелл. Всё. Полный контроль над всем сайтом, доступ ко всем файлам сайта, хочешь изменяй, хочешь удаляй!
Так что если в админку вошёл = стал админом!
-- Следующее. На сайте регистрируюсь и не надо банер, достаточно моей аватарки...))) Или любой картинки или ссылки, которую я на сайте расположу, лишь бы я админа (если админ цель) или модератора заставил кликнуть. Типа безобидного, глянь, посоветуй, а что ты про это думаешь? Один клик и его кукисы с которыми он входил на форум у меня на компе. Далее я их вставляю в свой браузер и просто подсоединяясь к форуму становлюсь на форуме со всеми этими правами и ником и аватаром этим человеком. Далее что душе угодно. Можно и пароль в кабинете поменять и гадостей всем написать)))
-- Идём дальше. SQL закладки. Многие форумы фильтруют поля ввода. Это где вводят логин, пароль, вот этот текстовый редактор в котором я сейчас пишу. Однако от языка PL редко защищены в полной мере. Через это поле закидывается Backdoor (чёрный вход) и далее с файлами сайта делается что угодно. В файлах смотрится пароли и имя базы данных и... Админка своими возможностями рядом не стояла. Если на форуме регистрируют пользователей, а их регистрируют и позволяют им писать, то форум беззащитен, хоть ты лопни!
-- Сейчас редко используется подбор пароля методом перебора на вход FTP сайта, но так же возможен, причём используется снифер (программа слухач) которая перехватывает вход админа. Но это уже способ у кого терпения  и времени вагон.

Пока хватит. Если интересно, то продолжим.

Герда, не правильно спрашиваешь.
Я по своему перефразирую, хорошо?
У тебя есть квартира. Если замок вскрывается в среднем (от сложнейшего до простейшего, в среднем берём, хотя это не корректно) за пару минут без шума от молотка и дрели, то это не значит, что не надо совсем замок вешать...
1. Замок стоит поввесить хотя бы для того, что бы знать свой своровал или со стороны. А это согласись не маловажно.
2. Мне западло создавать удобства тем, кто мне хочет сделать плохо (даже не сделал, а собирается...).
3. если человек не может вскрыть и простейший замок, то и слава КПСС...))) Замок опять же себя оправдал...
4. Мне хоть не обидно, что я сам подарил гаду. Ну система такая, мир такой, но я пытался противопостоять...)))
Как-то так. Поэтому защищаться по любому стоит.
Другая сторона в том, что не надо хранить того, чего хранить не следует здесь и самоуспокоиться огромным паролем... Пароль вообще во взломе не нужен. Достаточно перехода тобой по подсунутой ссылке и полученные мной твои кукисы из браузера. Я и не собираюсь супер пароль узнавать, он будет внутри кукиса, я и не буду даже знать какой он, он зашифрован, но это не мешает войти с правами root.
Абсолютно защититься  - это значит ничего не делать. Нельзя выйти на улицу из квартиры и не подвергнуться опастности быть избитым или мошенничество получить... Можно качаться, заниматься единоборствами, психологией, купить пистолет, по людным местам ходить, поздно не задерживаться и т.п., но это не значит что опасность на 100% миновала....
Каждый из способов, большой пароль, ответственно подбирать добропорядочных модераторов, окружение уменьшает вероятность атаки в разы! Это да!
Ещё более сильная защита, это как у тебя (я на ты, потому как ты вряд ли старше меня) направленность форума. Например зачем ломать твой форум, если в том его настоящем состоянии как он сейчас есть я смогу от форума получить что-то, а испортив вообще ничего..?
Обиженных у тебя нет (одна вроде забаненная рекламщица была...), не палач явно... Зачем?
Идея понятна?
Не потакать, но и не строить илюзий. По аналогии, что глупо расстраиваться, что мир таков, что Бог по разному наделил всех умом и совестью -- глупо расстраиваться, что интернет такой...)))
Я хоть и не всё ещё написал, но основное и не извращаясь во взломе, то, что доступно семикласснику по моему доступно. Во всяком случае принципы.
Подводя:
Да! Абсолютной защиты нет, даже если аппаратная защита и свой личный хостинг. Взломщики на коне и рулят. Это реальный анрил.
То, что вирусами взламывают, так это не больше 1%. Взломщику интересна адресная атака, а не разослать вирус, получить к тысячи почт доступ и чё с ними делать? Читать?))) Умел бы читать, книжки бы читал))). Взломщику интересен конкретный объект. Вирусы пишут совсем уж бараны...
И так. Мы имеем и находимся в системе которая может в любой момент времени рухнуть. Мы не строим илюзий и не распыляем силы на избыточность безнадёжной защиты. Что тогда?
А вот тут самое и главное, что мы можем сделать. Во первых средства фиксации откуда, кем и какое нападение когда было. и самое главное моментальное восстановление. А именно контакт налаженный с хостером, наличие копий сайта, которые мгновенно позволят восстановить всё на круги своя и поменять пароли. Если сайт захвачен, то у хостера должны быть данные, кто снимал изначально этот хостинг. + иметь надёжных модераторов и пользователей которые могут подтвердить, что например украденная информация была вашей в более раннее время.
Весь реальный смысл сводится к восстановлению малюсенькой кровью, а там, в зависимости от урона, и обратное преследование.
Ни что и ни кто не осудит и за ответную атаку, если это того стоит...
Моя стандартная фраза...Как-то так)))