XenForo Shell & RCE Koruması

Forumunuz ne kadar popülerse, script kiddie'lerin ve botların o kadar hedefi olur.
En yaygın saldırı yöntemi, bir eklenti veya upload açığı bulup içeriye "Shell" (zararlı PHP dosyası) atmak ve sunucuda komut çalıştırmaktır.

1. PHP Fonksiyonlarını Kısıtlamak

Saldırgan bir şekilde içeriye .php dosyası atsa bile, sunucu üzerinde komut çalıştıramamalıdır.
Shell dosyaları genelde Linux komutlarını çağırmak ister.
Biz bu çağrıları php.ini seviyesinde engelleyeceğiz.

Yapılması Gereken:Sunucundaki php.ini dosyasını aç ve disable_functions satırını bul. Aşağıdaki listeyi oraya ekle:

CODE Copy

1disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source

DİKKAT



Bu işlemden sonra PHP servisini yeniden başlatmalısın.

Not: XenForo'nun resim işleme (ImageMagick) veya bazı yedekleme eklentileri exec fonksiyonuna ihtiyaç duyabilir. Eğer hata alırsan sadece exec i listeden çıkarabilirsin, ancak shell_exec ve system kesinlikle kapalı kalmalıdır.

2. Dizin Kilitleme (En Kritik Hamle)

1234location ~ ^/(data|internal_data)/.*\.php$ {
    deny all;
    return 403;
}

1234<Files *.php>
    Order Deny,Allow
    Deny from all
</Files>

3. Dosya Yazma İzinleri (CHMOD)

• Klasörler: 755 (Sadece sahibi yazabilir)
  
• Dosyalar: 644 (Sadece sahibi yazabilir)
  
• Config Dosyası: src/config.php dosyasını yapılandırdıktan sonra izinlerini 444 yapın. Böylece PHP üzerinden bile bu dosya değiştirilemez.

4. Admin Paneli (ACP) Güvenliği

• Config ile Editörü Kapatın: src/config.php dosyasına şu kodu ekleyerek Admin panelinden şablon ve dosya düzenlemeyi tamamen kapatın. Bu, admin şifreniz çalınsa bile saldırganın tema içine shell kodu gömmesini engeller.
  
  CODE Copy

  1$config['designer']['enabled'] = false;