Несанкционированный доступ в админку

[Safo]

Есть форум на версии 3.0.8. Один из зарегистрированных юзеров периодически заходит в админку форума, хотя доступа у него туда нет, и присваивает себе права юзера admin. После чего он ессно получает доступ ко всем скрытым от него разделам форума, и, фактически, может сделать с форумом абсолютно все, что вздумается. Утечка пароля с компа админа абсолютно исключена, это было проверено неоднократно. Явно используется какая-то дыра в phpBB. Это лечится?

[Пчелкин]

Явно используется какая-то дыра в phpBB

Фигня...обычно причина - руки (кривые)

[Sheer]

хотя доступа у него туда нет

Вы в этом абсолютно уверены? То что пользователь

присваивает себе права юзера admin

(не присваивает, а "примеряет" на себя права) говорит об обратном. Этот пользователь имеет права администратора или супермодератора. Проверьте его права хотя бы на себе. В профиле пользователя есть такая ссылочка "Проверить права пользователя", которая ведет кhttp://ваш_форум/ucp.php?mode=switch_perm&u=_ID_пользвателя&hash=хеш_администратора

Добавлено спустя 1 минуту 28 секунд:

Явно используется какая-то дыра в phpBB

Если это дыра, то явно вы ее сами продырявили.

[Pazh]

Во-первых, указанное на скрине говорит не о входе в Админку, при входе формируется другое сообщение Лога "Успешный вход в качестве администратора"
Во-вторых, чтобы получить сообщение со скрина достаточно иметь Права Администратора (Может просматривать права доступа) и через список пользователей у юзера нажать на "[ Проверить права пользователя ]", т.е. применить права доступа проверяемого юзера себе.
Разбирайтесь со своей системой прав - где-то кто-то выдал право "Может просматривать права доступа" для юзера

[Safo]

Его права я примерял на себя не раз. Это права обычного пользователя. В админке, после его заходов туда, остается только запись на скрине. Никаких "успешный вход....", как это отображается когда я сам вхожу в админку. Права юзеров в админке проверены не раз.

[Safo]

Проверил права юзеров и групп. У проблемного юзера право "может просматривать права доступа" стоит "никогда". Выбираю его шкурку через "Проверить права пользователя", и вижу, что у него по-прежнему есть возможность "проверить права пользователя". Что может быть не так? Ни у одной группы нет прав просмотра прав доступа.

[Safo]

Через админку - управление пользователями- выбираю проблемного пользователя - выбираю проверить права пользователя. Перекидывает на форум, вхожу в список пользователей, и вижу, что при выборе любого пользователя есть возможность выбрать "проверить права пользователя". Насколько я знаю, функция "Может просматривать права доступа" доступна только при настройке "права администратора". Там выставлено "никогда". И это выставлено у всех пользователей, я проверил. Но абсолютно все пользователи после нажатия на ник любого пользователя, кроме получения информации о нем, почему-то еще и имеют возможность нажать на "проверить права доступа". Мануал на эту тему я перелопатил, но что-то ничего там не нашел на эту тему. Если верить мануалу, то все должно быть в порядке, а по факту имеется проходной двор, а не ограничение прав доступа. Ткните, плз, носом, может я где-то чего-то не увидел в настройках доступа?

Один из пользователей мне сообщил, что в приватной беседе, проблемный юзер ему говорил, что с помощью какого-то то-ли эксплоита, то-ли скрипта, он может сделать с форумом все, что ему угодно. Гугл подобную возможность вроде подтверждает. Насколько это реально?

[Sheer]

ACP-->ГЛОБАЛЬНЫЕ ПРАВА ДОСТУПА-->Права групп-->Выбор группы: Зарегистрированные пользователи-->Выберите тип: Права доступа администратора-->Расширенные права-->Права доступа-->Может просматривать права доступа--> Да/Нет

ACP.jpg

[Safo]

Именно так все и было выставлено.

[Sheer]

Ну не знаю... Моды какие-то стоят? Для начала обновись до 3.09
Найди в таблице acl_options значение auth_option_id , где auth_option равноa_switchperm,

Код: Выделить всё

SELECT auth_option_id  FROM `phpbb_acl_options` WHERE `auth_option` LIKE 'a_switchperm'

допустим будет 79
Затем

Код: Выделить всё

SELECT *  FROM `phpbb_acl_roles_data` WHERE `auth_option_id` = 79

Если среди увиденных результатов увидишь
role_id равно 5 или 6, то Пользователи с полным доступом (ROLE_USER_FULL ) или Пользователи со стандартными возможностями (ROLE_USER_STANDARD) могут применять на себя права пользователей.

[Safo]

Модов никаких не стоит.
Если я правильно понимаю, то

SELECT auth_option_id FROM `phpbb_acl_options` WHERE `auth_option` LIKE 'a_uauth'

относится к phpmyadmin, о котором я только вчера узнал, так что выполнить рекомендации пока нет возможности. Если не трудно, ткните носом, плз, в хороший мануал по установке phpmyadmin, буду весьма признателен.

[Sheer]

Не надо ничего устанавливать. Спросите у хостера доступ к своей БД.