Zmiana zapisu logów administracyjnych

[DawPi]

Zaprezentuję dość przydatną zmianę zapisu logów administracyjnych. Wiadomym jest, że każdy z nas ma 'jakieś' hasła na różne strony internetowe. Jedni mają jedno hasło na kilka stron, inni na każdą oddzielne ( jak ja ). jednak wiadomo też, że pierwsze zjawisko jest o wiele częściej spotykane.

Może nie wszyscy wiedzą, ale w IP.Board zaimplementowano mechanizm zapisywania danych używanych do logowania do ACP. System zapamiętuje ilość znaków w haśle ( o zgrozo! ) i pokazuje jawnie ostatni znak ( ! ) hasła.

Dla przykładu, screen z mojego logowania:

Jakie skutki tego mogą być? Przeróżne. Załóżmy, że na forum jest kilku adminów, podejrzenie takich danych i znajomość admina może skutkować odgadnięciem hasła, a jeśli admin używa tego samego hasła na różnych stronach to skutki mogą być nie przewidywalne. To tylko jedno z wielu 'zastosowań' znajomości takich danych.

Pokażę niżej jak w prosty sposób zmienić ten sposób na taki by zapisywało tylko trzy gwiazdki i zero jawnych znaków hasła, czyli w ten sposób:

Zatem do dzieła.

Otwórz plik: sources/action_admin/login.php

Znajdź:

			if ( $k == 'password' )
		{
			$v = str_repeat( '*', strlen( $v ) - 1 ) . substr( $v, -1, 1 );
		}

Zamień na:

			if ( $k == 'password' AND $flag == 'fail' )
		{
			$v = str_repeat( '*', strlen( $v ) - 1 ) . substr( $v, -1, 1 );
		}
		else 	$v = "***";

Zapisz i wyślij.

Dzięki temu logowania zakończone sukcesem będą skutkować zapisaniem trzech '*' w logach ( tak jak na drugim screenie ), a nieprawidłowe logowania czyli zakończone niepowodzeniem będą skutkować wpisaniem hasła wg standardowego schematu - ilość znaków i jawny ostatni znak. Dzięki temu możesz sprawdzić czy na konta adminów logował się ktoś obcy - próbując odgadnąć hasło czy po prostu ktoś się pomylił.

Myślę, że to bardzo korzystna zmiana i daje kolejne narzędzie Administratorowi do pełnego monitoringu bezpieczeństwa forum.

Na zakończenie dopowiem i doradzę - by te zmiany odniosły skutek warto wyczyścić tabelę w której zapisywane są owe logi. Czyli wykonaj poniższe zapytanie na Twojej bazie danych ( poprzez PhpMyAdmin ):

truncate ibf_admin_login_logs;

Pamiętaj by zastąpić ibf_ prefixem Twojej bazy danych.

Nie znasz prefixu bazy danych?

Otwórz plik: conf_global.php

Znajdź:

$INFO['sql_tbl_prefix']			=	'PREFIX';

w miejscu PREFIX jest to ,czego szukasz

Autorem tutoriala jest DawPi. Zabrania się kopiowania, powielania. W szczególności na inne fora bez zgody autora.

Tutorial wykonany dla www.IPSlink.pl