أنا بصراحة لا أحب أن أركب هاكات كهذه ...
# تدمير معلومات قاعدة البيانات (Config) حتى لايتم استدعاءه من مصادر أخرى.
من الأفضل أن يكون هذا على
كود PHP:
$config['Database']
$config['MasterServer']
$config['SlaveServer']
$vbulletin->config['Database']
$vbulletin->config['MasterServer']
$vbulletin->config['SlaveServer']
لأننا إن فقدنا
كود PHP:
$config['Misc']['admincpdir']
أو
كود PHP:
$config['Misc']['modcpdir']
فهذا سيؤدي إلى روابط خاطئة بالنسبة لروابط لوحة التحكم ... وروابط الـ modcp داخل الـ admincp (خاصة بالإشراف)
بالنسبة للحماية من الـ XSS المحتملة ... فمع مرور الوقت سيصبح لهذه الثغرات قيمة مساوية للصفر ..
فهي لا تعمل مع Firefox .. ربما تعمل فقط مع IE وأيضاً بدءاً من PHP 5.2 هناك خاصية http only للـ cookies حيث لا يقوم المتصفح بالسماح للـ javascript أن تستخدم قيم هذه الـ cookies في أكواد الجافا ... وأظن أن IE يدعم هذه الميزة بدءاً من الإصدار السادس أو الخامس منه ...
انظر الدالة setcookie
شكراً لمجهودك ولاحترامك للعقل .. ولعدم وضع أشياء لا فائدة منها .. فكل شيء في هاكك له تبرير ... ولكن كما قلت أنا لا أقتنع بهذه الحلول ... وهناك خطوات بسيطة يمكن عملها للحصول على حماية قصوى ... لا تتمثل بإجراء فحص للـ query string في كل صفحة ... وعلى فكرة أظن الـ mod_security يقوم بذلك أصلاً ...
بالتوفيق
رد مع اقتباس
المشاركة الأصلية كتبت بواسطة .:: مجهوول ::. 
