Взломали...?

Проблемы с установкой или работой phpBB 2.0.x? Ищите ответы здесь!
DJ Sample
phpBB 1.4.4
Сообщения: 156
Стаж: 20 лет 11 месяцев

Взломали...?

Сообщение DJ Sample »

Совершенно случайно сейчас зашёл на свой форум, и... вижу в админах совершенно мне незнакомого человека.
Началась паника. Сразу полез в админку, забанил по нику и IP, убрал все мыслимые привилегии.
В принципе - человек местный, в реале всегда найду, но...
Вспомнил, что, если правильно конечно вспомнил, пару дней назад на форуме была тема от гостя с текстом "обновите форум", смотрел тогда его IP, по-моему тот же ИП что и у сегодняшнего "админа".
В связи с чем тогда и полез смотреть смысл всех этих 2.0.12 и 2.0.13.
У меня 2.0.11 с модами.
Через чего мог обойти, чтобы так получить доступ, не понимаю... :oops: :cry:

Добавлено спустя 1 час 17 минут 46 секунд:

И ещё - ламерский вопрос - какие права должны стоять на файлах форума после установки? config.php - 644, папка files аттачмода - 777, папка upload фотоальбома - 777, а остальное? 755 что ли?
Hellraiser
phpBB 2.0.1
Сообщения: 258
Стаж: 21 год

Сообщение Hellraiser »

смотри acсess log сервера на предмет его ip, увидишь как и через что он это слелал.
И кстати может виноват мод, а не твоя версия phpBB.
Аватара пользователя
Coagulant
Former team member
Сообщения: 955
Стаж: 20 лет 4 месяца
Откуда: Москва

Сообщение Coagulant »

DJ Sample
В 2.0.11 если разрешена закачка автар, то зарегеный пользователь может прочитать любой файл на сервере, заюзав известную брешь в безопасности, которую пофиксили в 2.0.12 :?
BorisD
phpBB 1.0.0
Сообщения: 6
Стаж: 20 лет 2 месяца

Сообщение BorisD »

пофиксили одно, открыли другое - выпустили 2.0.13 :shock:
DJ Sample
phpBB 1.4.4
Сообщения: 156
Стаж: 20 лет 11 месяцев

Сообщение DJ Sample »

Может и мод, не спорю.
Будем обновляться.
Кстати, а что вы думаете насчёт этого -
http://www.securitylab.ru/53043.html
Аватара пользователя
YarNET
phpBB 2.0.6
Сообщения: 518
Стаж: 20 лет 5 месяцев

Сообщение YarNET »

И ещё - ламерский вопрос - какие права должны стоять на файлах форума после установки? config.php - 644, папка files аттачмода - 777, папка upload фотоальбома - 777, а остальное? 755 что ли?
config.php - только чтение всем группам :: 444
остальные .php :: 644
директории :: 755
avatars :: 777
Проверь, за что ты платишь деньги провайдеру?
Тестирование скорости соединения с INNTERNET
DJ Sample
phpBB 1.4.4
Сообщения: 156
Стаж: 20 лет 11 месяцев

Сообщение DJ Sample »

И, кстати, объясните пожалуйста мне тупому - если просто ручками поправить код в sessions.php и viewtopic.php, как указано в топике в ветке выше - уже нет нужды обновлять до 2.0.13?
И - если обновляешь до 2.0.13, глюки от 2.0.12 тоже уходят?
Аватара пользователя
YarNET
phpBB 2.0.6
Сообщения: 518
Стаж: 20 лет 5 месяцев

Сообщение YarNET »

если просто ручками поправить код в sessions.php и viewtopic.php, как указано в топике в ветке выше - уже нет нужды обновлять до 2.0.13?
Все верно.
И - если обновляешь до 2.0.13, глюки от 2.0.12 тоже уходят?
Да
Проверь, за что ты платишь деньги провайдеру?
Тестирование скорости соединения с INNTERNET
DJ Sample
phpBB 1.4.4
Сообщения: 156
Стаж: 20 лет 11 месяцев

Сообщение DJ Sample »

2.0.12 решает дыру 2.0.11 на тему закачки аватар.
А есть ли просто, чтобы код так же поменять, как в 2.0.13, без полного обновления форума?
Ну поймите меня - совершенно нет желания потом ещё и моды переустанавливать...

Кстати - а можно где-нибудь получать информацию о найденных в модах дырах? Или их там вообще не ищут?
Аватара пользователя
crash
Former team member
Сообщения: 6517
Стаж: 20 лет 10 месяцев
Откуда: Бердск

Сообщение crash »

DJ Sample http://www.phpbb.com/phpBB/catdb.php?cat=48
в самом низу
Как правильно задавать вопросы
Для особо одаренных: поиск - это есть круто.
FAQ v.2 | FAQ v.3 | Шаблон запроса
Аватара пользователя
OtherDima
phpBB 2.0.1
Сообщения: 294
Стаж: 20 лет 2 месяца
Откуда: Санкт-Петербург

Сообщение OtherDima »

DJ Sample
помниться гулял по сайтам
ну и нашел 2010 форум
снял дам памяти - SQL пароль оказался такой же как и у админа в форуме
никогда не делайте одиннаковые пароли
ну залез - оставил сообщение - поставьте патч
сносить форум не стал...я не хацкер :)
:)

Добавлено спустя 2 минуты 38 секунд:

ктстаи дамп памяти у меня снимается и с 2013 версии
как побороть ХЗ
создавал тему такую - никто не ответил
Аватара пользователя
Coagulant
Former team member
Сообщения: 955
Стаж: 20 лет 4 месяца
Откуда: Москва

Сообщение Coagulant »

ктстаи дамп памяти у меня снимается и с 2013 версии
как побороть ХЗ
Думаю, нужно апгрейдить php до 4.3.10 или 5.0.3 и всё. Или переписать ту часть кода, которая отвечает за unserialize().

Описание уязвимости
Аватара пользователя
crash
Former team member
Сообщения: 6517
Стаж: 20 лет 10 месяцев
Откуда: Бердск

Сообщение crash »

Coagulant
или 5.0.3
читали статью про phpBB и пхп5?
Как правильно задавать вопросы
Для особо одаренных: поиск - это есть круто.
FAQ v.2 | FAQ v.3 | Шаблон запроса
Аватара пользователя
Coagulant
Former team member
Сообщения: 955
Стаж: 20 лет 4 месяца
Откуда: Москва

Сообщение Coagulant »

crash
Нет, а что? Я знаю, что php 5 официально не поддерживается, если вы об этом. Вопрос был про то, как побороть дамп.
Аватара пользователя
crash
Former team member
Сообщения: 6517
Стаж: 20 лет 10 месяцев
Откуда: Бердск

Сообщение crash »

Coagulant
ну вариант поборим дамп, но не будет работать другое))
Как правильно задавать вопросы
Для особо одаренных: поиск - это есть круто.
FAQ v.2 | FAQ v.3 | Шаблон запроса

Вернуться в «Поддержка phpBB 2.0.x»