Тема: Повышение уровня безопасности
Суть простая и уже неоднократно озвученная:
Перенос админ-центра в отдельную директорию и закрытие директории через .htaccess
Этот шаг закроет доступ к админ-центру любому, и даже угон куков админа не поможет. Это надёжно.
Но при этом остаются незакрытыми: модерирование (перенос, удаление, закрытие тем); управление пользователями.
Здесь несколько сложнее, поскольку управление пользователями, в отличии от модерирования, в закрытый каталог не положишь. Но и модерирование прятать в каталог слишком накладно.
Поэтому есть мысль кроме проверки рефереров при модерировании, еще проверять ип того кто пытается это сделать. При таком раскладе злоумышленник угнавший куки модератора-администратора, опять не сможет ничего сделать, т.к. ему придется пройти авторизацию.
Остается последняя проблема - ХSS, когда ип остается прежний, куки прежние, но форма отправляемая на сервер - подставная. Здесь основной заслон выполняет проверка реферрера, но теоретически если на форум предварительно закачать нечто специальным образом подготовленное (используя какую-нибудь дыру в какомнибудь моде), то подделка реферера становится делом техники.
Я не хочу сказать, что описанный выше вариант с подделкой рефереров сильно реален, но всё-же это вполне возможно при неблагоразумии администратора, он может стать жертвой незнания или неумения или идиотизма при сборке форума из модов и конфигурирования сервера.
Хотелось бы снабдить ядро инструментом, который делает невозможным и этот тип атаки. Есть мнение что этого можно достичь используя уникальный код , добавляемый к формам модераторов, злоумышленник не сможет снабдить свою подставную форму этим кодом и получит при ее отправке отлуп. Так можно дойти до использования сессий.
Какие есть мнения?
)
)