La toile est peupl?e de personnes malveillantes qui prennent plaisir ? sacager le travail des autres. Aussi est-il important de proteger au maximum les sites que l'on met en ligne. Le probl?me avec des sites aussi r?pandu que le phpbb, c'est que les personnes malveillantes connaissent tr?s bien leur fonctionnement et rep?rent facilement les failles. Voici quelques conseils et manipulations afin d'augmenter la s?curit? d'un site/forum phpbb
Indexation des r?pertoires
Par d?faut, le contenu d'un r?pertoire est visible par tous s'il ne contient pas au moins un fichier
index.htm(l). Ce fichier emp?che simplement qu'un visiteur puisse visualiser le contenu d'un r?pertoire. Si vous avez ajout? des r?pertoires dans votre forum, contenant des images ou autres fichiers, pensez ? ajouter un fichier
index.html ? l'interieur. Une page blanche suffira ? empecher les visiteurs de voir le contenu de vos repertoires.
Identifiants et mots de passe
Pour que la s?curit? de votre forum soit vraiment efficace, il faut avant toute chose bien choisir vos mots de passe. Pr?f?rez des mots de passe assez longs compos?s d'une succession al?atoire de chiffres et de lettres. Evitez les dates de naissances, les plaques d'immatriculation ou les chiffres f?tiches. Si vous voulez les noter, comme pense-b?te, ne le faites que dans un endroit s?r de votre PC, ou sur un support autre qu'informatique. Deuxi?me point important, et cela concerne la plupart du temps les ?quipes administratives d'un forum, ne laissez aucune trace d'identifiants et de mots de passe dans les sections priv?es d'un forum ou dans un message priv?. Si une personne malveillante r?cup?re un rang d'administrateur, elle pourrait avoir acc?s facilement ? ces donn?es. Si vous devez passer ces informations ? une autre personne, fa?tes le d'une mani?re ind?pendante au forum.
Les dossiers inutiles et dangereux sur le FTP
Juste apr?s l'installation de votre forum, on vous demande de supprimer les dossiers
install et
contrib ? la racine de votre forum. Profitez-en pour ?galement supprimer le dossier
docs et son contenu (inutile).
Supprimez ensuite les fichiers qui ne correspondent pas ? votre type de base de donn?es dans le dossier
db. Pour MySQL par exemple, vous laissez seulement les fichiers db2.php, mysql.php, mysql4.php (pour MySQL 4.x), et index.htm
L'astuce avec le fichier config.php
Le fichier
config.php est le fichier le plus dangereux. Si une personne malveillante parvient ? y avoir acc?s, votre site/forum est en grand danger puisqu'il contient le login et le mot de passe de votre base de donn?es. Comme je l'ai dit pr?cedement, le phpbb est tr?s r?pandu et donc les personnes malveillantes connaissent tr?s bien son fonctionnement. Donc le fichier
config.php est une de leur cible favorites. Voici une parade: Le fichier se trouve par d?faut ? la racine de votre forum. Pour plus de s?curit?, nous allons le d?placer dans un nouveau r?pertoire. Pour cela, cr?ez un r?pertoire ? la racine de votre forum et appelez-le comme vous voulez (pas de majuscules ni d'espaces). Dans mon exemple, je le nommerais
gaylife. Cette op?ration effectu?e, ajoutez dans le r?pertoire nouvellement cr?e un fichier .htaccess contenant uniquement
Deny from all (sans retour ? la ligne). Pour finir, d?placez le fichier
config.php dans le nouveau r?pertoire (n'oubliez pas de supprimer le fichier
config.php ? la racine du forum). Cependant le site/forum ne fonctionne plus car il ne trouve plus la base de donn?es, il faut modifier un autre fichier pour que la modification soit prise en compte. Editez avec le bloc-note (ou wordpad ou n'importe quel programme d'?dition de texte), le fichier
common.php situ? ? la racine du forum et faites:
#-----[ OPEN ]------------------------------------------------
#
common.php
#
#-----[ FIND ]------------------------------------------------
#
include($phpbb_root_path . 'config.'.$phpEx);
#
#-----[ REPLACE WITH ]----------------------------------------
#
include($phpbb_root_path . 'gaylife/config.'.$phpEx);
#
#-----[ SAVE/CLOSE ALL FILES ]--------------------------------
#
# EoM
le r?pertoire
gaylife est ? changer par le nom que vous avez donn? ? votre nouveau r?pertoire contenant le fichier
config.php.
Enregistrez le fichier
common.php.
Ces quelques conseils et manipulations permettent d'augmenter la s?curit?, en aucun cas cela est infaillible
