/hvaonline/posts/list/6.html JForum - http://www.jforum.net /hvaonline/posts/list/13046.html#77293 /hvaonline/posts/list/13046.html#77293 GMT 1) trang chủ: không nên dùng 1 flash quá lớn cho một nơi host không có băng thông rộng. Người dùng sẽ cảm thấy khó chịu khi phải đợi trang flash load quá lâu. 2) trang thông tin: dùng joomla nên tôi sẽ không kiểm tra. Bạn nên cập nhật bản vá của Joomla thường xuyên. Tổng quát mà nói, bạn đang dùng phiên bản php trên máy chủ bị lỗi "session fixation" và lỗi này có thể nhân nhượng Joomla dễ dàng nếu không cập nhật phiên bản mới nhất. Trang thông tin cũng dùng quá nhiều flash với kích thước khá lớn nên load ì ạch. 3) trang diễn đàn: - các thử nghiệm chèn tags vào URI đều được wwwect đến trang chính của diễn đàn. Chứng tỏ có một cơ chế kiểm soát thông tin request. Tôi không test sâu phần này. - phần đăng nhập (dùng POST) có thể bị blind sql inject. Xem kỹ lại giá trị user_pass. Nó cho phép chèn "cái gì cũng được". - apache 1.3.37 là phiên bản đang dùng. Nó không có cơ chế cản lọc hoặc phân tích các thông tin được inject vào HTTP header nên có khả năng bị exploit theo dạng chèn code vào logs (xem chủ đề của Quan Van Truong trong phân mục "thâm nhập"). - cẩn thận với php-fusion vì nó đã dính khá nhiều lỗi bảo mật hết sức nghiêm trọng trong quá khứ. 4) server: - share hosting ở Digipower. - cho phép dùng ftp và phiên bản ftp này có lỗi bảo mật. Nên yêu cầu nhà cung cấp dịch vụ cập nhật càng sớm càng tốt. - php phiên bản quá cũ. Phiên bản này bị dính từ DoS đến việc thực thi code từ xa. Nên yêu cầu nhà cung cấp dịch vụ cập nhật càng sớm càng tốt. - php cũng bị "session fixation" (như đã đề cập ở trên). PHPSession không control trường hợp này nên có thê bị qua mặt. Good luck.]]> /hvaonline/posts/list/13046.html#78046 /hvaonline/posts/list/13046.html#78046 GMT /hvaonline/posts/list/13046.html#78120 /hvaonline/posts/list/13046.html#78120 GMT /hvaonline/posts/list/13046.html#78248 /hvaonline/posts/list/13046.html#78248 GMT /hvaonline/posts/list/13046.html#78851 /hvaonline/posts/list/13046.html#78851 GMT