آموزش عوض کردن پوشه ادمین

[سعید]

باز هم این کد کار نمی تونه کار بکنه !

RewriteCond %{REQUEST_URI} ^/administrator

شما URL سراغ دارید که با administrator/ شروع بشه؟

بنا به انتفای مقدم، این کدی که نوشتید از این خط به بعد در نظر گرفته نمی شه.

[dj_ahmad]

میشه تست کنید و نتیجه رو به ما بگید
من همین الان این روش رو روی aspt.ir اجرا کردم و به درستی کار میکنه
انتفای مقدم رو نمیدونم ولی بنا به اصل علت و معلولی کار میکنه!!!
ضمنا دفع خطر احتمالی عقلا واجب هست بنا بر این منتظر تست کردن شما هستیم تا اگه جواب نداد در بحر htaccess بیشتر شناور بشیم

[سعید]

هر چند نیاز به تست نبود، اما تست کردم روی لوکال جواب نداد.

با حذف همون خط، از پذیرش درخواست بدون کوکی جلوگیری می کنه.

منتها در نهایت کاری که می کنه اینه که اگر بدون کوکی وارد پشه /administrator/ بشیم، خطای 403 رو برمی گردونه و اصل پوشه رو مخفی نگه نمی داره.

کاری که با پسورد گذاشتن روی این پوشه انجام میشه و ضمنا سایر فایل ها هم به طرز بهتری محافظت میشن.

[dj_ahmad]

sسعید جان من رو دوتا سرور تست کردم ارور 404 داریم نه 403!!!!!

Forbidden
You don't have permission to access /administrator/ on this server

لوکال هاست شما ویندوز هست دیگه؟!!

[سعید]

Forbidden = 403

[dj_ahmad]

Forbidden

You don't have permission to access /administrator on this server.

Additionally, a 404 Not Found error was encountered while trying to use an ErrorDocument to handle the request.

[سعید]

سر چی دارید بحث می کنید دوست عزیز؟

[مهمان/کاربر گرامی برای دیدن لینک ها ابتدا باید عضو سایت شوید و لاگین کنید برای ثبت نام اینجا کلیک کنید]

[left]
403

"Forbidden" - this generally indicates the server software itself cannot accesos the location where the file would be found, or that access to that location is not permitted from the internet under any circumstance - login or authorization infrmation will not change things
[left]

به پیام توجه کنید:

You don't have permission to access /administrator on this server.

در مورد 404 هم ترجمه کنید همون خط رو متوجه خواهید شد که مربوط به چیه.

Additionally, a 404 Not Found error was encountered while trying to use an ErrorDocument to handle the request

این خطا مربوط به - هست که شما به اونجا ریدایرکت کردید. به جای - از index.php استفاده کنید تا ببینید که 404 هم در کار نیست!

RewriteRule .* index.php

با توجه به اینکه بعد از درخواست آدرس پوشه مدیریت مشخص هست که پوشه وجود داره، این کار ضمن اینکه هیچ مزیتی نسبت به پسورد گذاشتن روی پوشه مدیریت نداره، یک اشکال دیگه هم ایجاد می کنه که اگر کسی متوجه پوشه /yashar/ بشه می تونه به مدیریت دسترسی داشته باشه !

بنابراین بهترین راه برای محافظت از بخش مدیریت همون پسورد گذاشتن روی/administrator/ هست و همین روش رو توصیه می کنیم.

یا علی

[dj_ahmad]

سعید جان صحبت سر محافظت از پوشه ادمین نیست گرچه عوض کردن این آدرس شاید به امنیت هم کمک کنه
خیلی از شرکت ها هستن که دوست دارن آدرس ورود به بهخش مدیریت رو بیی دردسر خصوصی سازی کنن و یا ... حی کسایی که مشکل پسند هستن هم ازین روش استفاده میکنن
خوب به نظر شما کد ها به چه شکل اصلاح بشه بهتر هست؟ البته میشه هم پسورد گذاشت و هم به این شکل در مسیر ورود دخل و تصرف کرد

[سعید]

من کاملا متوجه منظور شما هستم.

منتها ضرب المثل "چرخوندن لقمه دور سر" مصداقی از این بارز تر نداره!

1- بعد از وورد به پوشه فرضا /yashar/ ، کاربر بلافاصله به پوشه /administrator/ هدایت میشه ! یعنی فقط لقمه یک دوری می زنه و چیزی عوض نمی شه.

2- حتی ورود نام کاربری و رمز عبور هم در مسیر administrator/index.php انجام میشه !

3- این کار نه تنها باعث افزایش امنیت نمی شه، بلکه یک حفره جدید خودش بوجود میاره. دو اصل پنهان سازی و محرمانگی در این کار رعایت نشدن. اگر به هر دلیلی مقدار کوکی در موقع باز بودن پوشه مدیریت دیده بشه، بعدا می تونه بطور دائم روی مرورگر ست بشه تا بدون ورود به آدرس /yashar/ هم امکان دسترسی به پوشه /administrator/ وجود داشته باشه.

4- اگر صحبت از محافظت هم نیست، پس این شرط بررسی کوکی برای چی هست؟ اگر صرفا وجود یک آدرس اختصاصی برای ورود کفایت می کنه، خوب خیلی ساده یک پوشه بسازید و ریدایرکت کنید به /administrator/ ! اگر هم می خواید بگید که دوست ندارید ریدایرکت بشه، خوب این کد شما ریدایرکت می کنه و هیچ کاری در پوشه /yashar/ انجام نمی شه.

هیچ توجیه و مزیتی بری استفاده از این کد وجود نداره و هیچ چیزی رو عوض نمی کنه. فقط همون ضرب المثل که ...

[dj_ahmad]

از تحلیل زیبای شما ممنونم
ولی به هر دلیلی نمیشه مقدار کوکی رو خوند !!!چون اگه بشه با دسترسی به فایل ها این کار رو کرد نفوذگر یه راست میده سراغ فایل کانفیگ و نام کاربری و کلمه عبور دیتابیس رو میخونه دیگه چیکار داره که بیاد کوکیه ما رو بخونه!!! درثانی این کار رو میشه علاوه بر پسورد گذاشتن روی پوشه ادمین انجام داد یعنی امنیت کم نمیشه
و این که پوشه ادمین به صورت مستقیم در دسترس نیست و قبلش باید وارد پوشه مورد نظر بشه و ...
رابعا میشه این مسئله رو تعمیم داد و این کد رو گسترش داد.
خمسا اگر مشکل شما با دیده شدن مسیر /administrator/ هست اونم میشه با یه کد در همین فایل htaccess درستش کرد تا آدرس overwirte بشه و همه تصور کنن که در پوشه دیگری هستن ضمنا یه حلقه if در index پوشه مدیریت کمی امنیت رو از اینی هم که هست بیشتر ارتقا داد

if ($_COOKIE['MamboAdminSess ion'] != "1234567890")
{
header("Location: ../index.php");

سادسا : از این روش در خیلی جا ها استفاده میشه