Cài đặt lậu vBulletin gặp nhiều rủi ro

Phóng to

Danh sách các tập tin và thư mục bao gồm cả tập tin cơ sở dữ liệu (*.sql)

Trong các phiên bản vBulletin lậu đã xóa bỏ mã kiểm tra bản quyền thường được gọi là "null version" chứa một tập tin có thể bị khai thác để xem toàn bộ danh sách các tin tập và thư mục trong thư mục cài đặt.

Một trong các nhóm bẻ khóa thuật toán bảo vệ bản quyền vBulletin nổi tiếng nhất là DGT. Nhóm này thường xuyên phát hành các phiên bản "Nulled" chỉ sau vài ngày khi vBulletin chính thức có phiên bản mới.

Trong các gói "Nulled" được DGT phát hành rộng rãi trên mạng chứa một tập tin validator.php vốn dùng để kiểm tra lại toàn bộ dữ liệu trong gói phát hành có bị thay đổi bởi một "bàn tay thứ ba" nào hay không. Việc kiểm tra này của DGT nhằm giúp người dùng lậu tránh những tin tặc chèn thêm các tập tin chứa cửa hậu (backdoor) để hack diễn đàn.

Điều quan trọng ở đây là DGT khuyến cáo xóa đi validator.php ngay sau khi cài đặt forum thành công nhưng một số người dùng lậu "tay mơ" không đọc chỉ dẫn này và lưu lại tập tin trên máy chủ web cùng thư mục cài đặt.

Tập tin validator.php có thể truy xuất và thực thi qua trình duyệt khi có bất kỳ người dùng nào gõ đúng đường dẫn đến nó mà việc này có thể "nhờ cậy Google" khá dễ dàng và thế là toàn bộ đường dẫn của tất cả các tập tin trong thư mục cài đặt forum đều hiện ra. Tin tặc dày dạn kinh nghiệm có thể khai thác khá nhiểu thông tin nhạy cảm nếu một số thư mục quan trọng chưa được xóa mà chỉ đổi tên hoặc nắm rõ tên của tập tin sao lưu cơ sở dữ liệu (thường có dạng *.sql hay *.tar.gz) để tải về máy.

Validator và DGT không lạ với giới sử dụng vBulletin lậu. Tuy nhiên, khi sử dụng lậu bản quyền vBulletin, bạn có thể sẽ mất quyền điều khiển diễn đàn của mình kèm theo cả tài khoản lưu trữ web (hosting).