Сообщаем об ошибках phpBB 3.0.x разработчикам

[Палыч]

Но вот вопрос - причем здесь данная тема?

Согласен, почищу.

[Eduard]

Eduard писал(а):Если сейчас это проще, можно вывести строку сообщения: "На конференции есть важное объявление!!!" или подобное. Перед списком форумов.

А вот это правильная мысль. Только она не ваша.

Я сделал замечания об обнаруженных мной недостатках работы форума. То, что это не ошибки - понятно всем. Поэтому мои сообщения и ответы на них можно с чистой совестью убрать из этой темы.
Хотя исправление этих недостатков облегчит работу с форумом как администратору, так и пользователю. Иначе люди не писали бы и не поддерживали моды.
Очевидно, что практическая реализация такого исправления зависит в первую очередь от разработчиков phpBB, а не от пользователей. Хотя никто не мешает пользователям высказывать правильные мысли на эти темы.
Меня "мировая новизна" моих предложений в данном случае не беспокоит, а вот реализация их - да. Это - мой подход к предложениям. Такой подход я увидел и у Палыча, прочитав несколько десятков его сообщений. Поэтому и применил это слово - "подход" в своем сообщении по другому вопросу.

[Pazh]

Если юзера удалить из группы по-умолчанию и не назначать ему принудительно другую группу по-умолчанию (например просто добавить его в другую группу, и удалить из группы по-умолчанию), то в таблице phpbb_users в колонке group_id остается id старой группы по-умолчанию.

[Alecto]

а разве группа по умолчанию не переназначается автоматически? в базу не заглядывал, но делал эту операцию десятки раз и проблем не замечал.

[Feeling]

Здравствуйте. Вчера на одной из площадок взломали хостинг через форум (текущая версия: 3.0.11).
Куда можно отправить информацию? Не хотелось бы выкладывать ее в открытый доступ.

Update:

Извините, пожалуйста. Похоже, что взломали форум через веб шелл. Не знаю, как удалить это сообщение.

[МайскийЖук]

Сомневаюсь, что есть взаимосвязь. Я бы даже сказал, это бред какой-то — взломать хостинг через phpBB3. Так что выкладывайте в открытый доступ, вместе посмеемся.

[Sheer]

взломали хостинг через форум

Не верю! Скорее всего кто-то пароли от FTP хранит в клиенте. Информацию в ЛС.

[Feeling]

Похоже, что форум ни при чем и ломали через веб шелл, который завелся в его скриптах:

/faq.php?fun=assert&id=echo%28a%29 (пример запроса)

Извините, пожалуйста за ложную тревогу. Уже не могу удалить сообщение.

[Sheer]

форум ни при чем и ломали через веб шелл

ЧИТД

[rxu]

Вопрос в том, через что залили шелл. Скорее всего, через сайт, или прямиком на фтп.

[Feeling]

Через ФТП на площадку посторонних в ближайшем прошлом не заходило. Это первое, что проверяли.

На форуме было два пользователя с правами администратора. Анализ логов показал, что злоумышленник зашел под паролем одного из них (сами потеряли или где-то украл). Под ним и хозяйничал - менял шаблоны для faq.php через панель управления, после чего через faq.php творил безобразия (смотрел phpinfo, заливал новые файлы в корень домена). Борьба с вебшеллами идет уже третью неделю. Боюсь, что первоисточников давно уже не найти. Извините, пожалуйста, я не уверена правильно ли я пишу в этой теме. Похоже, что придется все переставлять с нуля, менять пароли и хостинг на какой-нибудь, где вебшеллы не смогут так вольготно размножаться по всем доменам площадки из под панели управления...

[rxu]

Тема, конечно, не та. Здесь обсуждаются ошибки в работе ядра phpBB.
Менять все пароли, пока есть работающие шеллы, смысла большого нет - утекут.
Сначала надо всё зачистить, а для этого вообще закрыть доступ к домену, например.
Но лучше это обсуждать в отдельной теме в другом форуме, например, во флейме.

[Pazh]

При установке разрешении вложений и установки значений "Максимум вложений в одном сообщении" или "Максимум вложений в личном сообщении" в 0 (ноль) при ответе или ЛС (соответственно) остается активным возможность добавить вложение и потом получить такое сообщение об ошибке Вложение невозможно, так как в сообщении достигнуто их максимальное количество: 0. для не модераторов и не админов. ИМХО, в данном случае должна быть проверка на "Максимальные" вложения и форма добавления вложений вообще не показываться.

[МайскийЖук]

Я так думаю, разработчики предположили, что тем, кто хочет выставить разрешенное количество вложений в ноль, будет проще и логичнее вообще запретить вложения установкой соответствующей опции.

[Pazh]

Фишка в том что ты можешь установить максимальное кол-во для ЛС в 0, а для простых сообщений в Х или наоборот, тогда запрет вложений вообще будет некорректен, а иначе народ будет получать вышеуказанную ошибку