Docstoc

Tips Mengamankan Forum Mybb dari ancaman hacker

Document Sample
Tips Mengamankan Forum Mybb dari ancaman hacker Powered By Docstoc
					1. Gunakan password yang KUAT.

Bukan cuma obat saja yang kuat, tapi password juga harus kuat. Saya rasa temen2 di sini sudah
lebih ahli dalam masalah crack2 password, pasti sudah lebih ngerti. Yah intinya pastikan password
anda memiliki minimal 8 karakter dng kombinasi angka, huruf dan karakter spesial.

2. Cek CHMOD permission anda.

Untuk sekedar jaga2 saja, pastikan anda mengecek CHMOD permission pada file manager.
Direktori haruslah 755, dan file 644. File Config.php bisa anda ubah menjadi 444 jika mau. Adapun
struktur nya yaitu sbb:

     Quote: Required – ./inc/settings.php – 666
     Required – ./inc/config.php – 666 (install) 444 (after installation)
     Required – ./cache/ – 777
     Required – ./cache/themes/ – 777
     Required – ./uploads/ – 777
     Required – ./uploads/avatars/ – 777
     Optional – ./admin/backups/ – 777
     Optional – ./inc/languages/*language*/*all files*/ – 666
     Optional – ./inc/languages/*language*/admin/*all files*/ – 666

3. Lindungi file Config.php.

Terkadang CHMOD saja tidak cukup. Untuk mencegah akses langsung ke file config.php, ada
baiknya anda membuat aturan dalam .htaccess. Buat file .htaccess pada direktori /inc, dan isikan
sbb:
     Quote: <files config.php>
     Order deny,allow
     deny from all
     </files>


Dengan begini jika ada yang mencoba mengakses langsung file config.php, maka akan di alihkan ke
halaman 403 Forbiden Error.

4. Lindungi halaman admin dng .htaccsess.

Pada bagian ini boleh di ikuti boleh tidak karna agak beresiko. Kita akan membuat aturan dalam
.htaccess agar hanya IP tertentu saja yang bisa mengakses halaman admin. Ini mungkin cara yang
sangat mantap utk melindungi halaman admin, tapi ingat… bisa saja sewaktu-waktu anda tidak bisa
OL di komputer sendiri misalnya, dan terpaksa OL di warnet… nah loh? gimana? hehe… tp ggp, ttp
akan saya share kok. Oke, buat file .htaccess di dalam direktori ./admin, lalu isikan kode berikut
     Quote: RewriteEngine On
     RewriteBase /
     RewriteCond %{REMOTE_HOST} !^12\.345\.678\.9
     RewriteRule .* http://www.di-alihkan-ke.com [R=301,L]



Di situ ada warna hijau , ganti dng IP kamu, dan yg warna merah ganti dng alamat dimana orang
orang lain akan di alihkan jika IP nya tidak match. Sedangkan utk multi admin atau multi IP, ini
kode nya:
     Quote: ErrorDocument 403 http://www.di-alihkan-ke.com
     Order deny,allow
     Deny from all
     Allow from 123.45.67.899
     Allow from 998.76.54.321

Aturan nya masih sama dengan yang sebelum nya. Paham kan?

5. Rename direktori admin.
Ini sangat penting utk menyembunyikan direktori admin. Secara default direktori admin yaitu
adalah /admin. Utk mencegah heker2 yang tidak bertanggung jawab, kita harus merubah nama
direktori admin, caranya: Edit file /inc/config.php, lalu cari baris berikut:
     Quote: $config['admin_dir'] = 'admin';



Ganti ‘admin’ menjadi direktori apa saja yg kira2 tidak mudah di tebak. Setelah selesai, lalu save.
Eitt, belum selesai. Jangan lupa mengganti nama direktori /admin menjadi nama yang sudah kita
tentukan sebelum nya di config.php.

6. Sembunyikan link Admin Control Panel (ACP).

Secara default MyBB akan menampilkan link menuju halaman admin. Biasanya terletak di bagian
atas forum, dng link “ACP”. Nah, ada baiknya kita jg menyembunyikan link ini. Jadi kalau
misalnya ada yang berhasil masuk akun admin kita, dia tetap tidak bisa menemukan halaman admin
nya. Adapun caranya adalah sbb: Buka file /inc/config.php, lalu cari baris:
     Quote: $config['hide_admin_links'] = 0;



Lalu ganti nilai 0 menjadi 1
     Quote: $config['hide_admin_links'] = 1;



Lalu save. Dengan begini link menuju halaman admin akan di sembunyikan.

7. Matikan HTML dalam posting.

Tau kan HTML Injection? pasti tau lahh… nah, secara default MyBB memang mem-filter kode2
HTML dalam postingan, tapi ada baiknya kita “yakinkan” lagi agar MyBB tidak akan pernah
memperbolehkan HTML masuk dalam postingan, atau dng kata lain MyBB harus mem-filter dng
baik setiap kode HTML yang di input oleh member/user. Bagaimana caranya?, oke buka
PhpMyAdmin lalu run query berikut:
     Quote: UPDATE `mybb_forums` SET `allowhtml` = '0';
Setelah itu, masuk ke ACP > Tools & Maintenance > Cache Manager > forums > Rebuild Cache.
Yup, MyBB tidak akan mempedulikan HTML yg di input user.

8. Sembunyikan versi MyBB.

Memberitahukan versi forum kita sama saja dng berkata “Hey hacker, ini loh versi forum saya. Cari
sana bug nya” haha… nah, kita wajib menyembunyikan versi dari forum kita. Caranya, masuk ke
ACP > Configuration > General Configuration > Show Version Numbers > Off. Selesai deh…

9. Tetap up-to-date dengan mengikuti Milis MyBB.

MyBB selalu meng-update CMS nya jika di temukan bug. Tapi kadang masih saja ada admin yg
lengah atau terlalu malas utk mencari tau. Salah satu cara utk mengetahui perkembangan dari
MyBB termasuk security update adalah, dng mengikuti milis dari MyBB itu sendiri. Milis nya bisa
di lihat di sini: MyBB Mailing List.

10. Pastikan anda menggunakan versi terbaru dari MyBB.

Ayolahh… jangan malas utk meng-upgrade forum anda. Kan sudah saya jelaskan pada poin 9. Jika
MyBB merilis versi baru CMS nya, bisa di pastikan ada Bug yang telah di temukan pada versi
sebelum nya. Dan tentu saja anda WAJIB utk meng-upgrade nya! caranya bisa anda lihat di Wiki
MyBB

11. Jangan terlalu banyak menggunakan Plugin!.

Saya tidak melarang anda utk menggunakan Plugin, anda sah2 saja mau pake plugin apa saja yang
menurut anda keren. Tapi ingat, plugin di develop oleh pihak ketiga! bukan oleh developer resmi
MyBB. Bisa saja terdapat Bug pada plugin yang anda gunakan sekarang! oleh karena itu, pastikan
plugin yang anda gunakan itu secure dan bersih dari segala macam bug. 1-2 plugin saja sudah
cukup, itu pun yang di rasa penting saja. Seperti anti-spam misalnya. Makin kompleks suatu plugin,
makin besar juga kemungkinan ada bug nya!

12. Memberi Pin Di Login Administrator MyBB

1. Edit di administrator directory di /admin/inc/class_page.php Disekitar line 391

cari code ini :
      Quote: <div class="label"{$login_label_width}><label for="password">{$lang-
      >password}</label></div>
      <div class="field"><input type="password" name="password" id="password"
      class="text_input" /></div>


dan ganti dengan begini :
      Quote: <div class="label"{$login_label_width}><label for="password">{$lang-
      >password}</label></div>
      <div class="field"><input type="password" name="password" id="password"
      class="text_input" /></div>

      <div class="label"{$login_label_width}><label for="pin">Secret PIN</label></div>
      <div class="field"><input type="password" name="pin" id="pin" class="text_input"
      /></div>


2. Edit Di Directory /admin/index.php pada line 136
cari code ini :
      Quote:if($user['uid'])
      {
      $query = $db->simple_select("users", "*", "uid='".$user['uid']."'");
      $mybb->user = $db->fetch_array($query);
      }



trus ganti dengan ini :
      Quote:if($user['uid'])
      {
      $query = $db->simple_select("users", "*", "uid='".$user['uid']."'");
      $mybb->user = $db->fetch_array($query);
      }

      if (isset($config['acp_pin']) && $mybb->input['pin'] != $config['acp_pin']) {
      $default_page->show_login("Invalid PIN","error");
      }

3. Edit di Directory ./inc/config.php latak kan code di bawah ini dimana saja
      Quote:$config['acp_pin'] = 'yourpin';




ingat ganti tulisan yg saya kasih warna Hijau dengan pin yang kamu mau..
klo bisa di tambah2 dikit coding di config php nya dengan base64 biar lebih ajib

13. BACKUP!

Jangal lupa untuk selalu mem-backup database anda secara berkala, minimal dua minggu sekali
untuk. Pepatahnya “sedia payung sebelum hujan”. File, mods atau template bisa di ganti dng yang
baru, tetapi database tidak!

				
DOCUMENT INFO
Shared By:
Categories:
Tags:
Stats:
views:4
posted:7/3/2012
language:Malay
pages:4