[Tutorial] Protegendo seu Gesior e XAMPP!

Erimyth · Julho 15, 2013

Galerinha todo mundo sabe que o Gesior é uma bosta no quesito segurança e o XAMPP também tem suas falhas, porém muitos ainda utilizam o Gesior e o XAMP por diversos motivos, até mesmo por afinidade. Hoje eu vim aqui dar algumas dicas valiosas para que você possa tornar seu querido Gesior e seu XAMPP um pouco mais seguro.

1 - Se você utiliza XAMPP, siga os passos abaixo para tornar-lo mais seguro:

Crie um senha relativamente boa e segura para o seu xampp/phpMyAdmin.
Exclua completamente a pasta webdav.
Vá até o seu phpMyAdmin > Privilégios e exclua o usuário pma.

Vá até a pasta phpMyadmin/config.inc.php e procure pela seguinte tag:

$cfg['blowfish_secret'] = 'xampp';

E mude a palava xampp por algo completamente sem sentido, exemplo:

$cfg['blowfish_secret'] = 'hsdewu1721has1au';

Ainda em config.inc.php e procure pela seguinte tag:

$cfg['Servers'][$i]['auth_type'] = 'config';

E mude-a para:

$cfg['Servers'][$i]['auth_type'] = 'cookie';

Agora vá até php/php.ini e procure pela seguinte tag:

Safe_mode = Off

Ative-o, deixando assim:

Safe_mode = On

Prontinho, seu XAMPP está bem mais seguro!

2 - Bom agora vamos ao Gesior, vá até o arquivo config/config.php e faça as edições nas seguintes tags:

$config['site']['access_news'] = 6; // access level needed to edit news
$config['site']['access_tickers'] = 6; // access level needed to edit tickers
$config['site']['access_admin_panel'] = 6; // access level needed to open admin panel

Mude todas para 6 para não termos problemas com invasões ao sistema de tickers, porém lembre de por page_acess 6 na sua account pelo phpMyAdmin para você administrar seu site.

3 - Vá até layouts/sua-skin/layout.php e procure a tag <body e substitua por essa:

<body onBeforeUnLoad="SaveMenu();" onUnload="SaveMenu();" oncontextmenu="return false" onselectstart="return false" ondragstart="return false">

Agora, logo abaixo da tag <body>, você adicionará o seguinte código:

<?php
{
$sql = preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables|#|\*|--|\\\\)/"),"",$sql);
$sql = trim($sql);
$sql = strip_tags($sql);
$sql = addslashes($sql);
return $sql;
}
 
function protect($str)
{
if( !is_array($str) ) {
$str = preg_replace("/(from|select|insert|delete|where|drop table|show tables)/i","",$str);
$str = preg_replace('~&amp;#x([0-9a-f]+);~ei', 'chr(hexdec("\\1"))',$str);
$str = preg_replace('~&amp;#([0-9]+);~e', 'chr("\\1")',$str);
$str = str_replace("<script","",$str);
$str = str_replace("script>","",$str);
$str = str_replace("<Script","",$str);
$str = str_replace("Script>","",$str);
$str = trim($str);
$tbl = get_html_translation_table(HTML_ENTITIES);
$tbl = array_flip($tbl);
$str = addslashes($str);
$str = strip_tags($str);
return strtr($str,$tbl);
}
else return $str;
}
 
$nome = anti_injection($_POST["nome"]);
$senha = anti_injection($_POST["senha"]);
 
$link = htmlspecialchars($_POST['link'], ENT_QUOTES);
echo $link; 
 
header("Content-Type: text/html;  charset=ISO-8859-1",true)?>

Ainda em layout.php logo abaixo da tag <head>, você adicionará o seguinte código:

<script type="text/javascript">
function click() {
if (event.button==2||event.button==3) {
oncontextmenu='return false';
}
}
document.onmousedown=click
document.oncontextmenu = new Function("return false;")
</script>

Esses códigos te ajudarão a se previr contra SQL Injection, mas eu afirmo logo que isso não é 100% seguro.

4 - Vá até o arquivo guilds.php e localize a seguinte tag:

$guild_logo = $guild->getCustomField('logo_gfx_name'); if(empty($guild_logo) || !file_exists("guilds/".$guild_logo)) $guild_logo = "default_logo.gif";

Agora substitua por isso:

foreach (array("/", "\\", "..") as $char) {
    $guild_logo = str_replace($char, "", $guild->getCustomField('logo_gfx_name'));
}
if (empty($guild_logo) || !file_exists("guilds/".$guild_logo)) {
    $guild_logo = "default_logo.gif";
}

Pronto, seu guilds.php está seguro agora.

5 - Exclua completamente o arquivo houses.php, ele é um arquivo muito inutilizado e ainda muito vulnerável, pessoas maliciosas podem conseguir ver sua config.lua através dele, portanto apenas exclua.

Pronto, por enquanto é só, se você tiver mais dicas para deixar o Gesior e o XAMPP mais seguro, poste nesse tópico que você com certeza estará ajudando muitas pessoas necessitadas!

Créditos:

Matheus
gpedro
Red
Stian

Você gostou deste conteúdo!? Este conteúdo te ajudou!? Isso será realmente útil pra você!?

Então, se possível, faça uma doação (de qualquer valor) que estará me ajudando também!

Tiag017 · Julho 15, 2013

Muito, bom cara agora podemos ter um pouco mais de privacidade sem invasões rsrs'

Sammy · Julho 15, 2013

Bom Tutorial Chaamps! (:

3visan · Julho 15, 2013

Eu particulamente não gosto de Gesior, mas o tutorial é bom Matheus.

157kolosso · Julho 15, 2013

Bom, só espero que funcione
Rep+

Erro fatal : não é possível redeclare anti_injection () (anteriormente declarados em C: \ xampp \ htdocs \ layouts \ tibiacom \ layout.php

Fiz alguma merda
kkkkkkkkkkk

Ata deixa pra la, o meu já tem o anti_injection kkkkkkkkkkkkkkkkkkkkkk

mals ai

Editado Julho 15, 2013 por 157kolosso (veja o histórico de edições)

warbaby · Agosto 9, 2013

Matheus ...peguei uns dois tutoriais seu graças a vc consegui colocar meu site online mais precisava de mais uma ajuda especializada tipo um cara que entende mesmo, eu até mandei um convite no skype não sei bem se é o seu tipo eu to apanhando pra caramba a que sabe eu sou barriga verde na areá se tive algum meio de nos comunicarmos melhor eu te taria passando mais detalhes se você poder dar essa força ai e se poder ja estou muito feliz de ter conseguido oque consegui até agora se fosse possivel fazer uma conexão via "teamviewer" pra vc dar uma ajeitada a qui..... ja agradeço "cara essa letra vermelha veio na atualização do tk?? não consegui escrever de outra cor não desculpa ai qualquer coisa"

pbotgame · Setembro 29, 2013

Está dando um erro quando coloco a parte de sql injection, a minha página fica totalmente preta, sabes me dizer o que é e como resolver? Obrigado!

Lyon · Janeiro 10, 2014

Tbm tenho mesmo problema,fica tudo preto!,alguem pode ajudar?

Digoshow · Março 8, 2014

Pagina completamente preta com erro no fundo bem escondida

Erro:

Citar
deprecated: Function sql_regvase() is deprecated in C:xampp\htdocs\tibiacom\layout.php on line 39
Mostrar mais

dominicky · Abril 27, 2014

matheus, quando eu adiciono o seguinte código:

Citar

<?php
{
$sql = preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables|#|\*|--|\\\\)/"),"",$sql);
$sql = trim($sql);
$sql = strip_tags($sql);
$sql = addslashes($sql);
return $sql;
}

function protect($str)
{
if( !is_array($str) ) {
$str = preg_replace("/(from|select|insert|delete|where|drop table|show tables)/i","",$str);
$str = preg_replace('~&#x([0-9a-f]+);~ei', 'chr(hexdec("\\1"))',$str);
$str = preg_replace('~&#([0-9]+);~e', 'chr("\\1")',$str);
$str = str_replace("<script","",$str);
$str = str_replace("script>","",$str);
$str = str_replace("<Script","",$str);
$str = str_replace("Script>","",$str);
$str = trim($str);
$tbl = get_html_translation_table(HTML_ENTITIES);
$tbl = array_flip($tbl);
$str = addslashes($str);
$str = strip_tags($str);
return strtr($str,$tbl);
}
else return $str;
}

$nome = anti_injection($_POST["nome"]);
$senha = anti_injection($_POST["senha"]);

$link = htmlspecialchars($_POST['link'], ENT_QUOTES);
echo $link;

header("Content-Type: text/html; charset=ISO-8859-1",true)?>
Mostrar mais

o meu gesior fica inteiro azul, na bgcolor... pode me ajudar a resolver?

Switz · Maio 26, 2014

dominicky, uma das possibilidades deste erro estar ocorrendo é porque ele já deve ter sido adicionado no index.php ou no layout.php,

e você pode estar "duplicando" ele...

Editado Maio 26, 2014 por Switz (veja o histórico de edições)

Rafals · Agosto 26, 2014

bem útil essa parte do xampp coisas que desconhecia sobre a segurança dele

Thayam · Novembro 24, 2014

Muito Útil, parabéns!

eddybrow · Maio 24, 2015

[ ]

Editado Junho 3, 2015 por eddybrow (veja o histórico de edições)

Jose Peterson · Dezembro 2, 2015

Fiz tudo certinho e não gerou nenhum bug... VLW!

Maiiis como e onde vou para editar o " Page_acess 6" pra eu poder fazer login com o admin ? Eu sei que é no phpmyadmin mais explica o local detalhadamente rsrs esqueci onde é

Editado Dezembro 2, 2015 por Jose Peterson (veja o histórico de edições)

Gorpao · Abril 11, 2016

Meu banco de dados do meu otserv sumiu.

Está funcionando a criação de char no site normal, e os players consegue logar.

Acredito que nao tenha sido deletada, porém acho que esta oculta...

E verifiquei que estou sem privilégios..

information_schema

So tem isso no meu phpadmin help plx

Digoshow · Agosto 22, 2016

Depois que fiz esse procedimento de apagar o usuario pma deu este erro na minha database phpmyadmin

consulta SQL:

SELECT `comment`
FROM `phpmyadmin`.`pma_column_info`
WHERE db_name = 'xxxxx'
AND table_name = ''
AND column_name = '(db_comment)'

Mensagens do MySQL :

#1142 - SELECT command denied to user ''@'localhost' for table 'pma_column_info'

Tem alguma mandeira de eu criar este pma colum info de volta?

Preciso da ajuda para arrumar isso, obrigado Abraços!

@Edite

Lá em baixo tem uma mensagem dizendo o seguinte!

Nota: O phpMyAdmin recebe os privilégios dos usuário diretamente da tabela de privilégios do MySQL. O conteúdo destas tabelas pode divergir dos privilégios que o servidor usa se alterações manuais forem feitas nele. Neste caso, você deve usar RELOAD PRIVILEGES antes de continuar..

Editado Agosto 24, 2016 por Digoshow (veja o histórico de edições)

mestereod · Março 7, 2017

Quando ligo o safe_mode=On no xampp mais recente acaba crashando o apache

Citar

[Tue Mar 07 10:55:05.626725 2017] [ssl:warn] [pid 11944:tid 608] AH01909: www.example.com:443:0 server certificate does NOT include an ID which matches the server name
[Tue Mar 07 10:55:05.728054 2017] [core:warn] [pid 11944:tid 608] AH00098: pid file C:/xampp/apache/logs/httpd.pid overwritten -- Unclean shutdown of previous Apache run?
[Tue Mar 07 10:55:05.819616 2017] [ssl:warn] [pid 11944:tid 608] AH01909: www.example.com:443:0 server certificate does NOT include an ID which matches the server name

Mostrar mais

ArielZeRah · Dezembro 4, 2022

Em 15/07/2013 em 07:12, Erimyth disse:
Galerinha todo mundo sabe que o Gesior é uma bosta no quesito segurança e o XAMPP também tem suas falhas, porém muitos ainda utilizam o Gesior e o XAMP por diversos motivos, até mesmo por afinidade. Hoje eu vim aqui dar algumas dicas valiosas para que você possa tornar seu querido Gesior e seu XAMPP um pouco mais seguro.

1 - Se você utiliza XAMPP, siga os passos abaixo para tornar-lo mais seguro:

Crie um senha relativamente boa e segura para o seu xampp/phpMyAdmin.

Exclua completamente a pasta webdav.

Vá até o seu phpMyAdmin > Privilégios e exclua o usuário pma.

Vá até a pasta phpMyadmin/config.inc.php e procure pela seguinte tag:
$cfg['blowfish_secret'] = 'xampp';
E mude a palava xampp por algo completamente sem sentido, exemplo:
$cfg['blowfish_secret'] = 'hsdewu1721has1au';
Ainda em config.inc.php e procure pela seguinte tag:
$cfg['Servers'][$i]['auth_type'] = 'config';
E mude-a para:
$cfg['Servers'][$i]['auth_type'] = 'cookie';
Agora vá até php/php.ini e procure pela seguinte tag:
Safe_mode = Off
Ative-o, deixando assim:
Safe_mode = On
Prontinho, seu XAMPP está bem mais seguro!

2 - Bom agora vamos ao Gesior, vá até o arquivo config/config.php e faça as edições nas seguintes tags:
$config['site']['access_news'] = 6; // access level needed to edit news
$config['site']['access_tickers'] = 6; // access level needed to edit tickers
$config['site']['access_admin_panel'] = 6; // access level needed to open admin panel
Mude todas para 6 para não termos problemas com invasões ao sistema de tickers, porém lembre de por page_acess 6 na sua account pelo phpMyAdmin para você administrar seu site.

3 - Vá até layouts/sua-skin/layout.php e procure a tag <body e substitua por essa:
<body onBeforeUnLoad="SaveMenu();" onUnload="SaveMenu();" oncontextmenu="return false" onselectstart="return false" ondragstart="return false">
Agora, logo abaixo da tag <body>, você adicionará o seguinte código:
<?php
{
$sql = preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables|#|\*|--|\\\\)/"),"",$sql);
$sql = trim($sql);
$sql = strip_tags($sql);
$sql = addslashes($sql);
return $sql;
}
 
function protect($str)
{
if( !is_array($str) ) {
$str = preg_replace("/(from|select|insert|delete|where|drop table|show tables)/i","",$str);
$str = preg_replace('~&amp;#x([0-9a-f]+);~ei', 'chr(hexdec("\\1"))',$str);
$str = preg_replace('~&amp;#([0-9]+);~e', 'chr("\\1")',$str);
$str = str_replace("<script","",$str);
$str = str_replace("script>","",$str);
$str = str_replace("<Script","",$str);
$str = str_replace("Script>","",$str);
$str = trim($str);
$tbl = get_html_translation_table(HTML_ENTITIES);
$tbl = array_flip($tbl);
$str = addslashes($str);
$str = strip_tags($str);
return strtr($str,$tbl);
}
else return $str;
}
 
$nome = anti_injection($_POST["nome"]);
$senha = anti_injection($_POST["senha"]);
 
$link = htmlspecialchars($_POST['link'], ENT_QUOTES);
echo $link; 
 
header("Content-Type: text/html;  charset=ISO-8859-1",true)?>
Ainda em layout.php logo abaixo da tag <head>, você adicionará o seguinte código:
<script type="text/javascript">
function click() {
if (event.button==2||event.button==3) {
oncontextmenu='return false';
}
}
document.onmousedown=click
document.oncontextmenu = new Function("return false;")
</script>
Esses códigos te ajudarão a se previr contra SQL Injection, mas eu afirmo logo que isso não é 100% seguro.

4 - Vá até o arquivo guilds.php e localize a seguinte tag:
$guild_logo = $guild->getCustomField('logo_gfx_name'); if(empty($guild_logo) || !file_exists("guilds/".$guild_logo)) $guild_logo = "default_logo.gif"; 
Agora substitua por isso:
foreach (array("/", "\\", "..") as $char) {
    $guild_logo = str_replace($char, "", $guild->getCustomField('logo_gfx_name'));
}
if (empty($guild_logo) || !file_exists("guilds/".$guild_logo)) {
    $guild_logo = "default_logo.gif";
}  
Pronto, seu guilds.php está seguro agora.

5 - Exclua completamente o arquivo houses.php, ele é um arquivo muito inutilizado e ainda muito vulnerável, pessoas maliciosas podem conseguir ver sua config.lua através dele, portanto apenas exclua.

Pronto, por enquanto é só, se você tiver mais dicas para deixar o Gesior e o XAMPP mais seguro, poste nesse tópico que você com certeza estará ajudando muitas pessoas necessitadas!

Créditos:

Matheus

gpedro

Red

Stian

Você gostou deste conteúdo!? Este conteúdo te ajudou!? Isso será realmente útil pra você!?

Então, se possível, faça uma doação (de qualquer valor) que estará me ajudando também!
Expand Mostrar mais

tão bom, que nem da pra inspecionar, fonte, ou copiar nada. no meu site kkkk

Entrar

[Tutorial] Protegendo seu Gesior e XAMPP!

Posts Recomendados

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Link para o post

Compartilhar em outros sites

Participe da conversa

Quem Está Navegando 0 membros estão online

Conteúdo Similar

TibiaKing

Open Tibia Server

Redes Sociais

Anuncie no TibiaKing

Informação Importante