изменить адрес админки

Другие признаки нельзя ликвидировать, это особенности любой CMS.

mvk1 писал(а):

Если закрыть через. htaccess, то как самому заходить в админку?))

В поисковой системе набрать "htaccess пароль" и ознакомиться.

HostCMS писал(а):

В поисковой системе набрать «htaccess пароль» и ознакомиться.

можно кроме этого еще ограничить доступ по ip

_goldblog.com.ua/2009/08/htaccess-sovety-i-osnovnye-oshibki/

а зачем вообще закрывать админку или менять ее адрес? сбрутфорсить пароль админа итак практически нереально. а общая взломоустойчивость зависит во многом не от разработчиков а от интеграторов. тем более зазендив большую часть системы разработчики защитили основные системные файлы от правки и себя от лишних разбирательств типа "я в модулях покопался и  у меня система работать перестала"

irbiss писал(а):

а зачем вообще закрывать админку или менять ее адрес? сбрутфорсить пароль админа итак практически нереально. а общая взломоустойчивость зависит во многом не от разработчиков а от интеграторов. тем более зазендив большую часть системы разработчики защитили основные системные файлы от правки и себя от лишних разбирательств типа «я в модулях покопался и у меня система работать перестала»

Многие админы общаются например на форумах. Это легко использовать

Порядок действий:
1. Узнать ник админа сайта, его имейл, icq или другие данные. Способов много - перечислять не буду.
2. Узнать где общается админ, получить доступ к БД форума. Форумы часто жутко дырявые.
3. Проверить хэш в основных базах => узнать пароль.
4. В случае если пасса там нет, то:
- Установить на компьютер и запустить (Windows) PasswordsPro => запустить PasswordsPro.
- В случае наличия сервера использовать john the ripper.
Подробности на forum.antichat.ru

P.S. Если нужны дополнительные советы - пишите, помогу=).

irbiss, а почему сбрутфорсить нереально?

whiteshadow,
1. Если админ нормальный, то хрена с два вы все это узнаете
2. Имеете ввиду Sql инъекцию, я правильно понял? Ну, во-первых форум не всегда есть на сайте, во-вторых что-то не слышал про уязвимости hostcms к этому типу взлома. Это же не джумла какая-нибудь)) тут другие ребята))

Пункт 4 вообще не понял. Это на сервер виндоус установить на котором сайт крутится?

whiteshadow whiteshadow писал(а):

P.S. Если нужны дополнительные советы — пишите, помогу=).

есть заказы на взлом hostcms на двух серверах, хотелось бы узнать примерные сроки и цену на работы.
info>namez.spb.ru

cпасибо

compaq, ну надо же, какое у вас обширное поле деятельности!

mvk1 писал(а):

irbiss, а почему сбрутфорсить нереально?

1. Существует ограничение на количество попыток правильного ввода связки логин/пароль.
2. Администратору моментально приходит уведомление о подобных попытках.
В этом плане HostCMS стоит отдать должное, молодцы .

mvk1 писал(а):

1. Если админ нормальный, то хрена с два вы все это узнаете

Ну а таких много? Я сам порой так косячу что реально стыдно. И у меня сайт буквально дня три назад взломали. И ведь знал об уязвимостях, и ведь все равно ничего не сделал - все откладывал на потом. Благо сайт клиента, а не собственный, и двиг у них самописный. Так что не мои проблемы, но все равно жалко падения в выдаче - залили троян, теперь я вынужден писать письма Платону/в саппорт Гугла дабы с сайта сняли фильтры.
Очень много косяков по невнимательности. Многие админы имеют одинаковые пароли на разных сайтах - даже опытные админы. Я вас уверяю.

mvk1 писал(а):

есть на сайте, во-вторых что-то не слышал про уязвимости hostcms к этому типу взлома. Это же не джумла какая-нибудь)) тут другие ребята))

Джумла - один из самых безопасных движков. Дырявые модули к ней. А без модулей Джумлу мало кто использует.
И я не говорил про взлом HostCMS. Это нереально Даже если хочется пострадать ерундой, то все равно есть дела поинтереснее и это неоправданно.
Можно попробовать мыслить шире.
Например если админ вебмастер, то многие вебмастера общаются например на форумах кодеров, сео-форумах, форумах широкого профиля и так далее. Так или иначе порой это можно использовать.
Если админ не вебмастер (клиент заказал создание сайта, получил заказ, попрощался с вебмастером), то может быть еще проще. Звоните в фирму чей например интернет-магазин, представляетесь какой-либо заинтересованной компанией, присылаете им на почту ваше предложение. В архиве. С криптованным пинчем. Может быть хоть внешняя ссылка в письме на любой сторонний ресурс с файлом, подойдет и бесплатный хостинг - никто не смотрит, расширение файла не важно - на него не обратят внимания. Повезет - повезет. Не повезет, значит не повезет. Зачем звонить? Если вы просто так письмо пришлете - его могут и не прочитать, прочитать потом, сначала как-либо проверить или мало ли чего еще. А хакеры не звонят, об этом даже мысли не будет что вам позвонили чтобы впарить троян. Симкарты без оформления и уже с балансом на счету по цене 45-100 рублей можно приобрести на любом рынке, например на Митинском (Москва).
Это я для примера написал. А так сходу идей 30 могу подкинуть что можно сделать Была бы фантазия. Ей люди в наше время почему-то предпочитают не пользоваться.
Ну и помимо прочего еще может быть кривой хостер, кривая панель хостинга, кривой биллинг, и все что угодно еще.

mvk1 писал(а):

Пункт 4 вообще не понял. Это на сервер виндоус установить на котором сайт крутится?

=)
Если у вас на рабочем компьютере стоит Windows, то можно использовать PasswordsPro. Если у вас также есть сервер под unix - можно использовать john the ripper.

compaq
В выходные отпишу на указанный вами имейл. А сроки и примерную цену в случае успеха можно узнать если предоставите url данных сайтов. Если дело относительно срочное, то мой имейл/jabber в профиле.