12 cara Melindungi keamanan forum MyBB

Saya akan berbagi sedikit cara sederhana mengamankan forum MyBB , untuk para master security, jangan di baca karena ini hanya untuk newbie seperti saya.

1. Gunakan password yang KUAT dan selalu di Update

yang pertama pasti kekuatan password kita dan jangan lupa harus selalu di update.pastikan password anda memiliki minimal 8 karakter dng kombinasi angka, huruf dan karakter spesial.

2. Cek CHMOD permission anda.

Untuk sekedar jaga-jaga, pastikan anda mengecek CHMOD permission pada file manager. Direktori haruslah 755, dan file 644. File Config.php bisa anda ubah menjadi 444 jika mau. Adapun struktur nya yaitu sbb:

Required – ./inc/settings.php – 666
Required – ./inc/config.php – 666 (install) 444 (after installation)
Required – ./cache/ – 777
Required – ./cache/themes/ – 777
Required – ./uploads/ – 777
Required – ./uploads/avatars/ – 777
Optional – ./admin/backups/ – 777
Optional – ./inc/languages/*language*/*all files*/ – 666
Optional – ./inc/languages/*language*/admin/*all files*/ – 666

3. Lindungi file Config.php.

Untuk mencegah akses langsung ke file config.php, ada baiknya anda membuat aturan dalam .htaccess. Buat file .htaccess pada direktori /inc, dan isikan sbb:

[php]</p>
<files config.php>
Order deny,allow
deny from all
</files>
<div>
<div>[/php]

Dengan begini jika ada yang mencoba mengakses langsung file config.php, maka akan di alihkan ke halaman 403 Forbiden Error.

4. Lindungi halaman admin dengan .htaccsess.

membuat aturan dalam .htaccess agar hanya IP tertentu saja yang bisa mengakses halaman admin. Ini mungkin cara yang sangat baik untuk melindungi halaman admin, buat file .htaccess di dalam direktori ./admin, lalu isikan kode berikut

RewriteEngine On
RewriteBase /
RewriteCond %{REMOTE_HOST} !^12\.345\.678\.9
RewriteRule .* http://www.pengalihan-ke.com [R=301,L]

Di situ ada warna hijau , ganti dng IP kamu, dan yg warna merah ganti dengan alamat dimana orang orang lain akan di alihkan jika IP nya tidak match. Sedangkan untuk multi admin atau multi IP, ini kode nya:

ErrorDocument 403 http://www.di-alihkan-ke.com
Order deny,allow
Deny from all
Allow from 123.45.67.899
Allow from 998.76.54.321

Aturan nya masih sama dengan yang sebelum nya.

5. Rename direktori admin.

Ini sangat penting utk menyembunyikan direktori admin. Secara default direktori admin yaitu adalah /admin. Utk mencegah atacker-atacker yang tidak bertanggung jawab, kita harus merubah nama direktori admin, caranya: Edit file /inc/config.php, lalu cari baris berikut:

[php]</p>

<div>
<div><code>$config</code><code>[</code><code>'admin_dir'</code><code>] = </code><code>’admin’</code><code>;</code></div>
<div>[/php]

Ganti ‘admin’ menjadi direktori apa saja yg kira2 tidak mudah di tebak. Setelah selesai, lalu save. Eitt, belum selesai. Jangan lupa mengganti nama direktori /admin menjadi nama yang sudah kita tentukan sebelum nya di config.php.

6. Sembunyikan link Admin Control Panel (ACP).

Secara default MyBB akan menampilkan link menuju halaman admin. Biasanya terletak di bagian atas forum, dng link “ACP”. Nah, ada baiknya kita juga menyembunyikan link ini. Jadi kalau misalnya ada yang berhasil masuk akun admin kita, dia tetap tidak bisa menemukan halaman admin nya. Adapun caranya adalah sebagai berikut : Buka file /inc/config.php, lalu cari baris:

[php]</p>

<div>
<div><code>$config</code><code>[</code><code>'hide_admin_links'</code><code>] = 0;</code></div>
<div>[/php]
Lalu ganti nilai 0 menjadi 1
[php]</div>
<div>
<div>
<div><code>$config</code><code>[</code><code>'hide_admin_links'</code><code>] = 1;</code></div>
<div>[/php]

Lalu save. Dengan begini link menuju halaman admin akan di sembunyikan.

7. Matikan HTML dalam posting.

Tau kan HTML Injection? pasti tau lahh… nah, secara default MyBB memang mem-filter kode-kode HTML dalam postingan, tapi ada baiknya kita “yakinkan” lagi agar MyBB tidak akan pernah memperbolehkan HTML masuk dalam postingan, atau dengan kata lain MyBB harus mem-filter dengan baik setiap kode HTML yang di input oleh member/user. Bagaimana caranya?, oke buka PhpMyAdmin lalu run query berikut:

[php]</p>

<div>
<div><code>UPDATE</code> <code>`mybb_forums` </code><code>SET</code> <code>`allowhtml` = </code><code>’0′</code><code>;</code></div>
<div>[/php]

Setelah itu, masuk ke ACP > Tools & Maintenance > Cache Manager > forums > Rebuild Cache. Yup, MyBB tidak akan mempedulikan HTML yg di input user.

8. Sembunyikan versi MyBB.

Memberitahukan versi forum kita sama saja dng berkata “Hey hacker, ini loh versi forum saya. Cari sana bug nya” haha… nah, kita wajib menyembunyikan versi dari forum kita. Caranya, masuk ke ACP > Configuration > General Configuration > Show Version Numbers > Off. Selesai deh…

9. Tetap up-to-date dengan mengikuti Milis MyBB.

MyBB selalu meng-update CMS nya jika di temukan bug. Tapi kadang masih saja ada admin yg lengah atau terlalu malas utk mencari tau. Salah satu cara utk mengetahui perkembangan dari MyBB termasuk security update adalah, dng mengikuti milis dari MyBB itu sendiri. Milis nya bisa di lihat di sini: MyBB Mailing List.

10. Pastikan anda menggunakan versi terbaru dari MyBB.

Ayolahh… jangan malas utk meng-upgrade forum anda. Kan sudah saya jelaskan pada poin 9. Jika MyBB merilis versi baru CMS nya, bisa di pastikan ada Bug yang telah di temukan pada versi sebelum nya. Dan tentu saja anda WAJIB utk meng-upgrade nya! caranya bisa anda lihat di Wiki MyBB

11. Jangan terlalu banyak menggunakan Plugin!.

Saya tidak melarang anda untuk menggunakan Plugin, anda sah-sah saja mau pake plugin apa saja yang menurut anda bagus. Tapi ingat, plugin di develop oleh pihak ketiga! bukan oleh developer resmi MyBB. Bisa saja terdapat Bug pada plugin yang anda gunakan sekarang! oleh karena itu, pastikan plugin yang anda gunakan itu secure dan bersih dari segala macam bug. 1-2 plugin saja sudah cukup, itu pun yang di rasa penting saja. Seperti anti-spam misalnya. Makin kompleks suatu plugin, makin besar juga kemungkinan ada bug nya!

12. BACKUP

yang terakhir jangal lupa untuk selalu mem-backup database anda secara berkala, minimal dua minggu sekali untuk. Pepatahnya “sedia payung sebelum hujan”. File, mods atau template bisa di ganti dengan yang baru, tetapi database tidak!