Bảo vệ AdminCP và thư mục Install bằng .htaccess

[PVS]

Việc bảo mật cho xenforo rất quan trọng nó sẽ giúp các bạn tránh xa những hacker và đảm bảo an toàn cho website của bạn hoạt động ổn định. Và bài này mình sẽ hướng dẫn các bạn cách bảo mật cho xenforo. Để tăng cường tính bảo mật cho AdminCP & thư mục Install của bạn, các bạn có thể sử dụng file .htaccess để tạo thêm 1 lớp bảo vệ cho chúng. Cụ thể như sau:

Bước 1. Bảo vệ file admin.php
Sau đây mình sẽ hướng dẫn tạo được file .htpasswd trên hai Hosting Controller thông dụng hiện nay là Cpanel & Directadmin.

Với cPanel:

• Đăng nhập vào cPanel
• Chọn "Password Protect Directories" >> "Web Root" >> Chọn thư mục gốc diễn đàn của bạn
• Tick vào "Password protect this directory"
• Trong ô "Name the protected directory" điền: Admin Control Panel Protected
• Nhấn vào Save.
• Trong phần "Create User" điền vào Username & Password của bạn.
• Nhấn "Add/modify authorised user"

Ok, như vậy bạn đã có 1 file passwd ở: /.htpasswds/public_html/ten_folder_dien_dan

Với Directadmin:

• Đăng nhập vào Directadmin
• Chọn "Password Protected Directories" >>"Find a Directory to Password Protect" >> chọn thư mục gốc diễn đàn của bạn.
• Tick vào ô "Protection Enabled".
• Điền lần lượt các thông số "Protected Directory Prompt" - "Set/Update User" - "Password" - "Re-Enter Password"
• Nhấn vào Save.

Ok, như vậy bạn đã có 1 file passwd ở: .htpasswd/public_html/ten_folder_dien_dan

Sau khi tạo file htpasswd ở trên. Các bạn mở file .htaccess (trong thư mục gốc forum của bạn) tìm đoạn sau:

AuthGroupFile /dev/****
AuthType Basic
AuthUserFile path/to/passwd/file
AuthName "ACP Protected"
require valid-user

Thay bằng:

<Files admin.php>
AuthType Basic
AuthName "ACP Protected"
AuthUserFile "path/to/passwd/file"
Require valid-user
</Files>

Chú ý: path/to/passwd/file sẽ có dạng
- /domains/ten_domian_cua_ban/.htpasswd/public_html/.htpasswd (với Directadmin)
- /.htpasswds/public_html/passwd (với cPanel)

Bước 2: Bảo vệ thư mục /install
Tạo 1 file .htaccess trong thư mục /install với nội dung như sau:

AuthType Basic
AuthName "Install Protected"
AuthUserFile "path/to/passwd/file"
Require valid-user

Ở đây path/to/passwd/file bạn có thể sử dụng lại đường dẫn file htpasswd bảo vệ admin.php ở trên hoặc tạo mới 1 tài khoản khác.

Bước 3: Sử dụng địa chỉ IP để bảo vệ thay cho passwd
Bạn có thể sử dụng địa chỉ IP để bảo vệ admin.php và thư mục /install của mình thay vì sử dụng passwd. Trong trường hợp này bạn cần sửa file .htaccess (trong thư mục gốc diễn đàn của bạn) để bảo vệ file admin.php như sau:

<Files admin.php>
Order Deny,Allow
Deny from all
Allow from 127.0.0.1
</Files>

Và tạo file .htaccess trong thư mục /install như sau:

Order Deny,Allow
Deny from all
Allow from 127.0.0.1

Thay 127.0.0.1 bằng địa chỉ IP hiện tại của bạn. Bạn có thể vào http://whoer.net để kiểm tra địa chỉ IP của bạn.

Chú ý: Bạn có thể thêm nhiều địa chỉ IP khác bằng cách thêm dòng sau:

Allow from 127.0.0.1

Có một vấn đề phát sinh ở đây, Code trên chỉ hoạt động tốt nếu địa chỉ IP của bạn là IP tĩnh. Nếu bạn sử dụng IP động, thay vì việc bạn phải cập nhật địa chỉ IP ở file .htaccess trên mỗi khi địa chỉ IP thay đổi. Bạn có thể thêm đoạn code sau vào file .htaccess.

Allow from 127.0

Trong đó 127.0 là 2 lớp đầu địa chỉ IP của bạn.

Chúc các bạn thành công.

Nguồn: congngheaz.com​