бывший администратор с правами просмотра привата

Браток · Сообщение **Браток** » 14.01.2008 20:49

Стояла 2.0.21 версия форума, обновил до 2.0.22
Есть аккаунт с id=2, который давно снят с админства.
Сейчас у видел, что он имеет возможность просматривать спрятанные приватные форумы и писать в них тоже.

Этот пользователеь акка, теоритически мог иметь доступ к базе данных форума на сервере уже после того, как его понизили в правах.

Стандартные средства админ панели "Права доступа" - отображабт его как пользователь...
Staff_mod так же не выводит в инфо окно информацию о нём.

Как избавится?

RedNaxi · Сообщение **RedNaxi** » 14.01.2008 20:55

исправить его права доступа к форумам

Браток · Сообщение **Браток** » 15.01.2008 1:49

RedNaxi писал(а):исправить его права доступа к форумам

Все права ограничены, закрыто всё.

Сейчас зделал с помощью мода Reset User Level коррекцию.
Понаблюдаю за просмотрами тем и отпишу. Но не надеюсь, если честно, что исправлено.

Добавлено спустя 2 часа 11 минут 37 секунд:

НЕ помогло! ХЕЛП

Таблицы изучал юзеров, заметил что у этого поле user_newpasswd пустое - у других либо NULL, либо в хэше пароль. Кроме него ещё с пустым полем Аноним.

Balamut · Сообщение **Balamut** » 15.01.2008 2:08

Браток
попробуйте поменять его user_id на любое другое.

Браток · Сообщение **Браток** » 15.01.2008 2:31

Для начала я изменил пароль юзверя на свой (предварительно сохранил его пароль, что бы вернуть), зашёл под ним и не увидел расширенных прав. Всё в точности соответствует проставленным в админке флажкам.
Напомню, что юзер тот совершенно точно просматривал приватные темы, размещал там сообщения и даже удалил пользователя.

Вернул ему пароль, изменил id на свободное, обнулил user_newpasswd на NULL.
Буду ждать его активности снова, провоцируя на просмотр закрытых тем.

RedNaxi · Сообщение **RedNaxi** » 15.01.2008 2:36

может ему известен ваш пароль?

Добавлено спустя 39 секунд:

или он пока был админом создал себе левого юзера ftp|mysql и теперь доволен

Браток · Сообщение **Браток** » 15.01.2008 2:40

RedNaxi писал(а):может ему известен ваш пароль?

после обнаружения злостных деяний, свой пароль я изменил - после чего они повторились
моё присутствие заметили бы те, кто в это время был на форуме.

мм, предположим:
Юзер читает темы под своим логином - это фиксирует мод "кто смотрел".
Если только он заходит мной, проставляет себе админские права, читает, снова заходит мной что бы их убрать.. не очень похоже, т.к. он несколько раз просматривал как-то темы с кратким перервом.

RedNaxi писал(а):или он пока был админом создал себе левого юзера ftp|mysql и теперь доволен

левых юзеров удалил и изменил на оставшихся пароли.

Браток · Сообщение **Браток** » 15.01.2008 19:14

безполезно! Где-то дыра.. он снова читает

Палыч · Сообщение **Палыч** » 15.01.2008 20:31

Браток писал(а):Где-то дыра.. он снова читает

Читать можно прямо из базы

Браток писал(а):Этот пользователеь акка, теоритически мог иметь доступ к базе данных форума на сервере уже после того, как его понизили в правах.

А может доступ остался? (подключиться к БД можно не заходя на форум, если знать пароль к БД)