Защищаем admin.php

Получить хэш-пароль админа, порой не составляет никакого труда, пару часов\дней расшифровки, и долгожданный доступ в админку отрыт. Как следствие пустая база и дефейс форума.
Вот чтобы избежать дефейса и потерю базы, надо сделать несколько нехитрых вещей!
1) Создать в корне вашего форума (если вдруг ещё нету) файл .htaccess и .authusers
2) Отрыть .htaccess и добавить в него следующие:

Текст красным удалить

Теперь подробней, что всё это значит!
- Мы защищаем все файлы admin.php на сервере паролем и доступом с определённого айпи…
Текст зелёным – означает что доступ к файлу админ.пхп будет защищён паролем, который лежит на сервере в файле .authusers
Текст синим – означает, что доступ получат только люди с определённым ip адресом
Всё вместе = двойная защита, но так же можно оставить и что-то одно… к примеру если у Вас диал-ап, то фишка с айпи сразу отпадает…

3) Открываем .authusers и добавляем в него юзвереи и пароли в MD5 (Unix), т.е пароль надо в начале конвертировать из обычного в md5(unix)
Пример:

QUOTE

PRYANIK:пароль_в_MD5
farg:пароль_в_MD5

и т.д

Программа для составления\брута MD5 и пр.
http://www.insidepro....sswordspro.zip

путь к файлу htaccass?

Про МD5 не понятно ни черта, но про айпи обьясни почему?
И еще туда всех юзеров пихать надо? А с появлением новых - их тоже добавлять?

Нет, путь к файлу .authusers

Надо пароль из обычного, к примеру 12345 перевести в MD5(Unix) $1$12345678$M1o7XeamKvTv64m7bK9e30

Что с айпи непонятно? Там через пробел надо написать айпи, которым доступ будет открыт...

Можно сделать один пароль, с логином к примеру ROOT и дать его всем админам...

Про IP почему с диалапом не проканает - что я не смогу в этом случае?

По диалапу тебе присваивается все время разный айпи, но с одной маской! Например 195.143.70.ххх

Там где ххх все время разное значение!

To PRYANIK а как быть если я все время с разных компов?
И есть ли другой способ защититься от вытаскивания хэш?

Как раз админ тебе нужную утилиту выписал в первом посте! Ещё можно воспользоваться стандартной тулзой из комплекта Apache (версия для Windows).

Тоже не проблема. IP адрес можно прописать так: 195.143.70 без последних трёх знаков и точки. Конечно не 100% защита, но очень эффективна.

Вот у меня форум стоит на моём компе(ось- хр), как мне путь к .authusers прописать?

Тогда убрать отсев по айпи...

Нет, мы не защищаемся от вытаскивания хэшей – это не реально! А вот не пустить «крыс» в саму админку, реально, способ выше…


Добавлено:
Если винда, то к примеру так:
AuthUserFile C:\AppServ\www\.authusers

Сделаю маленькую поправку. Не забываем что Apache пришёл к нам из *nix'а, следовательно слеши надо повернуть в другую сторону:
C:/AppServ/www/.authusers

Всё работает, но только пароль я через апачь делал, через програмку не получилось.