Есть одна лазейка в DLE, которая позволяет скачивать файлы из новости, даже если эта новость находится в скрытом разделе.

Давайте для начала рассмотрим ту защиту, которая собственно и не дает нам свободно скачать файл по прямой ссылке /engine/download.php?id=123

Преграда №1.
Настройки групп пользователей. Т.е. скачивать файлы могут только те пользователи, которым это разрешено в настройках группы. Остальные получают ошибку "Access denied".

Преграда №2.
Скорее чисто символическая, защита от не продвинутого пользователя. Проверяется реферер, т.е. файл будет доступен только в том случае, если пользователь кликнул по ссылке на сайте. Но нам же ничего не мешает самому подправить код странички и вставить туда ссылок с любым ID.

А теперь вспомним еще о 2х параметрах, которые так же следовало бы учесть:
Параметр №1.
При добавлении новости, в закладке "доступ" можно определенной группе выставить уровень доступа "запретить просмотр". Но если в новости находится ценный файл который доступен только перечисленным группам, то злоумышленник все равно сможет получить доступ к файлу простым перебором.

Параметр №2.
В настройках групп пользователей в параметре "Доступные разделы" можно перечислить список категорий к которым будет открыт доступ. Получается та же ситуация. Простым методом перебора ID файлов можно будет скачать любой файл, даже не имея доступа в закрытый раздел.




Со вступлением разобрались. Теперь, собственно, решение данной проблемы:
Открыть файл engine/download.php
Найти строку:

    $row = $db->super_query ( "SELECT name, onserver FROM " . PREFIX . "_files WHERE id ='$id'" );
Заменить на (Для DLE 9.6 и старше):
    $row = $db->super_query ( "SELECT name, onserver, access, category FROM " . PREFIX . "_files f LEFT JOIN ".PREFIX."_post_extras e ON e.news_id=f.news_id LEFT JOIN ".PREFIX."_post p ON f.news_id=p.id WHERE f.id ='$id'" );

if($row['access']){
    $row['access'] = explode(",",$row['access']);
    if(!in_array($member_id['user_group'],$row['access'])) die("Access denied");
}
if($user_group[$member_id['user_group']]['allow_cats'] AND $user_group[$member_id['user_group']]['allow_cats']!='all'){
    $allow_cats = explode(",",$user_group[$member_id['user_group']]['allow_cats']);
    $deny = true;
    if(strpos($row['category'],",")!==false){
        $row['category'] = explode(",",$row['category']);
        foreach($row['category'] as $cat) if(in_array($cat,$allow_cats)) $deny = false;
    }else{
        $row['category'] = intval($row['category']);
        if(in_array($row['category'],$allow_cats)) $deny = false;
    }
    if($deny) die("Access denied!");
}

Для младших версий DLE вставить:

    $row = $db->super_query ( "SELECT name, onserver, access, category FROM " . PREFIX . "_files f LEFT JOIN ".PREFIX."_post p ON f.news_id=p.id WHERE f.id ='$id'" );

if($row['access']){
    $row['access'] = explode(",",$row['access']);
    if(!in_array($member_id['user_group'],$row['access'])) die("Access denied");
}
if($user_group[$member_id['user_group']]['allow_cats'] AND $user_group[$member_id['user_group']]['allow_cats']!='all'){
    $allow_cats = explode(",",$user_group[$member_id['user_group']]['allow_cats']);
    $deny = true;
    if(strpos($row['category'],",")!==false){
        $row['category'] = explode(",",$row['category']);
        foreach($row['category'] as $cat) if(in_array($cat,$allow_cats)) $deny = false;
    }else{
        $row['category'] = intval($row['category']);
        if(in_array($row['category'],$allow_cats)) $deny = false;
    }
    if($deny) die("Access denied!");
}

Оф. сайт: sаndev.prо