Nhờ kiểm tra website http://tinhockg.com

English | Vietnamese

Rules

Main Forum

Portal

Member Listing

Statistics

Search

Reading Room
[Register]

Login [ | https ]

Forum Index

Kiểm tra bảo mật

Nhờ kiểm tra website http://tinhockg.com

[Question] Nhờ kiểm tra website http://tinhockg.com	27/06/2007 18:55:44 (+0700) \| #1 \| 66672

thanhbinhkgg
Member

Joined: 19/11/2004 15:51:49
Messages: 5
Offline

Chào BQT!

Tôi là admin của tinhockg.com, Tôi đã đọc qua quy định và đã soạn thảo file html để xác nhận chủ quyền website của mình.
Link: http://tinhockg.com/xacnhan.html

Rất mong BQT và các Mod bỏ chút thời gian TEST dùm Tôi xem site của tôi có bị lỗi không?

Chân thành cảm ơn!

[Question] Re: Nhờ kiểm tra website http://tinhockg.com	28/06/2007 18:42:44 (+0700) \| #2 \| 67477

thanhbinhkgg
Member

Joined: 19/11/2004 15:51:49
Messages: 5
Offline

Càm ơn BQT đã quan tâm và đăng bài.

Không hiểu sao khoảng 2 tuần nay IP của http://tinhockg.com bị chặn bởi fpt, viettel, ...
Hic, ngay cả khi ngồi tại máy chủ tôi cũng khong vào được fpt.vn or vnexpress.net

Do vậy, các bạn khi truy cập vào http://tinhockg.com nếu không đc thì truy cập qua proxy nhé.

[Question] Re: Nhờ kiểm tra website http://tinhockg.com	28/06/2007 20:34:18 (+0700) \| #3 \| 67498

conmale
Administrator

Joined: 07/05/2004 23:43:15
Messages: 9353
Location: down under
Offline

Chào thanhbinhkgg,

Tôi có vài nhận xét sau:

1. Mặt trình bày:
- truy cập site này đôi khi rất khó khăn. Thỉnh thoảng bị HTTP 403 (denied) mặc dù chỉ duyệt bình thường - không biết lý do tại sao.

- site trình bày trang nhã, hợp lý. Cấu trúc gọn gàng, logic. Code cẩn thận và sạch sẽ. Nhiều site lớn ở VN vẫn chưa đạt được điểm này.

2. Mặt bảo mật:
- Site được host trên một server khá bảo mật, chạy Windows và các dịch vụ nguy hiểm được filtered cẩn thận.

- Nên quan tâm cập nhật các bản vá cho pop3, smtp và ftp.

- Web service dùng apache 2.2.0, bản này bị một số lỗi khá nặng và lỗi trực tiếp bạn đang dùng đó là chức năng rewrite. Nếu kẻ thâm nhập xác định được rewrite pattern bạn dùng, họ có thể tạo shellcode để thâm nhập server. Nên đề nghị nhà cung cấp cập nhật lên apache 2.2.4 càng sớm càng tốt.

- URI trên trang web được filter các dạng TAG chèn vào chặt chẽ (cho cả ASCII và URLEncoded) nên các dạng chèn TAG đều bị vô tác dụng. Well done.

- URI trên trang web được paremeterize như thế sẽ vô hiệu hóa các công cụ tìm lỗi tự động hóa. Well done.

- Tôi chưa thử manipulate trong POST payload nên chưa biết kết quả thế nào. Tuy nhiên GET thì gần như là an toàn.

- Phiên bản PHP bạn dùng quá cũ và có rất nhiều lỗi nghiêm trọng (từ cross site scripting lên tới buffer over flow đều bị). Nên cập nhật tối thiểu lên bản 5.2.1.

- Bạn cho phép upload (file đính kèm) trên một trang và có moderate nội dung trước khi cho phép hiển thị. Đây là điều tốt. Tuy nhiên nên cẩn thận vì nếu "lỡ quên" thì nó có thể làm điểm khởi đầu để exploit. Trang này nên kèm theo captchar để tránh dạng automated spam.

- không nên để bản "manual" của apache trên PRODUCTION server. Nên bỏ nó đi vì nó giúp xác định foot print dễ dàng.

Thân mến.

What bringing us together is stronger than what pulling us apart.

[Question] Nhờ kiểm tra website http://tinhockg.com	29/06/2007 01:23:05 (+0700) \| #4 \| 67543

thanhbinhkgg
Member

Joined: 19/11/2004 15:51:49
Messages: 5
Offline

Xin chào BQT

Trước hết xin chân thành cảm ơn Moderator conmale đã kiểm tra thật kỹ càng, bài trả lời rõ ràng, xúc tích và đầy đủ thông tin. Điều này chứng tỏ các MOD và BQT của HVA làm việc rất có trách nhiệm, nhiệt tình, ....

Trong ngày hôm nay tôi sẽ nâng cấp Apache lên phiên bản Apache 2.2.4 và PHP 5.2.1

Xin cảm ơn BQT, các MOD, Mod conmale

[Question] Nhờ kiểm tra website http://tinhockg.com	03/07/2007 22:19:14 (+0700) \| #5 \| 68200

thanhbinhkgg
Member

Joined: 19/11/2004 15:51:49
Messages: 5
Offline

Hiện nay Tôi đã nâng cấp webserver lên Apache 2.2.4 và PHP Version 5.2.3

Rất mong BQT, Mod sắp xếp thời gian kiểm tra lại dùm Tôi một lần nữa xem còn vấn đề gì cần chỉnh sửa không?

Rất mong nhận được hồi âm.

Cảm ơn

Go to:

Users currently in here
1 Anonymous