系統升級及安全性修正：phpBB 3.0.7 PL1

夏紫薇

前幾天我接到阿維的訊息，告知目前已有新版本的系統釋出。阿維傳給我的討論我看過了，衡量過後覺得新版新增的功能對目前的閑雅來說可能不是那麼需要，但除了新功能之外，新版也修正了一些Bug，有些 Bug 如果沒有修正，也是會變成可能被駭客入侵的原因之一 (過去有案例發生過)，因為這樣 phpBB 官方才會定期釋出安全性修正，為的就是盡量避免這類事件的發生。

其實在去年系統升級之後，論壇曾有幾次被人張貼惡意留言的情況(這部份可能有會員知道)，原因我不是很清楚，也許是系統漏洞，也許是人為，不管如何，在看過阿維的解釋之後，為了系統的安全著想，紫薇決定請阿維再幫論壇升級。

此次升級的費用為250元，至於時間會再另外公佈。大家對此事若有什麼疑問或想法，也請提出。

阿維

還會被機器人留言的原因,是因為目前設定的 GD 3D Captcha 在設計上,還是容易被機器人破解
不過,只要選擇「CAPTCHA 問答集」或是「reCaptcha 模組」即能夠有效防止,但由於 reCaptcha 在辨識上較為複雜才未採用
我是建議設定"問答集"透過中文問答就相當足夠

例如:
哪些東西可以用來計時？

答案:
電子錶
碼錶
鬧鐘
手錶
手機
時鐘

這樣的問答,應該是較為簡單也不會有太困難的註冊門檻才對,以上是我的看法

天天乐

不懂

Nop

聽起來是惠而不費的升級。感謝阿維爺和紫薇版主。

阿維

天天乐寫:

不懂

現在如果要註冊新帳號不是要輸入亂數的英文跟數字嗎?
我說的「CAPTCHA 問答集」就是把那樣的確認碼變成中文問答,只要回答正確答案就能夠註冊成功,只是這樣的東西罷了
那像 reCaptcha 模組,它所顯示的亂數英文跟數字,對不太會電腦的朋友很難辨識成功,如果只是要避免機器人帳號就用問答集即可

夏紫薇

其實現在註冊需輸入的代碼本身就不好讀取了(當初我自己也試了好幾次才成功)，只是沒想到這仍然會被機器人破解。

問答集是個方式，沒有選擇這方式是因為我推測那些留言也有可能是人為的，再者留言的次數已減少很多，而且新系統的功能讓我處理事情的效率提高不少。只要會員不要亂點選連結，基本上應該不會有問題的。所以我才想再觀察看看，如果真有必要，再換個方式來做。

米氏

支持

閒人

贊成系統跟著升級
以免將來又要花大錢維修

夏紫薇

既然大家都同意
那麼我就直接請阿維幫論壇升級
後續若有什麼問題或建議
仍然歡迎大家隨時提出來討論

阿維

我已經升級好了,升級過程一切順利! ;-)

leept

小妹剛來一點小建議:
因為自己也有經營 phpbb論壇 6 年
其實再怎麼定時論壇版本安全性升級
都還是高風險
因為 phpbb 太容易 hack
如果怕被註冊機器人註冊亂發言亂打廣告
一個簡單的方法就是
帳號啟用不要由會員自行啟用
而改為由系統管理員開啟
而系統管理員一般可以從註冊者註冊的資訊得知
可否放心開啟或是直接刪除帳號
例如
名字沒規則的
email 是一些外國網域的
這種方式比 CAPTCHA 或問答都有用

夏紫薇

leept 寫:

小妹剛來一點小建議:
因為自己也有經營 phpbb論壇 6 年
其實再怎麼定時論壇版本安全性升級
都還是高風險
因為 phpbb 太容易 hack
如果怕被註冊機器人註冊亂發言亂打廣告
一個簡單的方法就是
帳號啟用不要由會員自行啟用
而改為由系統管理員開啟
而系統管理員一般可以從註冊者註冊的資訊得知
可否放心開啟或是直接刪除帳號
例如
名字沒規則的
email 是一些外國網域的
這種方式比 CAPTCHA 或問答都有用

謝謝您的建議！

在之前舊系統的論壇裡
有很長一段時間都是由系統管理員(我)來開啟帳號
就像您說的，我從會員的資料中一一篩選、過濾
確實也可以避免機器人帳號的問題
但有時如果註冊的資料太多
長期下來對於管理員來說是很大的負擔
所以當新系統建立後，就全面開放由會員自行開啟帳號

目前論壇採用代碼輸入的方式讓新生註冊
實際留言的機器人帳號已不多了
所以我才沒考慮使用問與答來處理

如果真的要徹底杜絕機器人帳號的問題
除了您和阿維建議的方案之外
紫薇也有懂程式的朋友曾經建議過不錯的方式
我個人甚至認為朋友的方式更好
只不過這需要修改程式來做
我不懂程式，怕牽涉到的問題太複雜
所以也就沒跟大家說了

閑雅書法論壇

系統升級及安全性修正：phpBB 3.0.7 PL1

誰在線上