Идентификация на Форуме/доступ в Панель Администрирования.

[povod]

Скачал последний РЦ7, поставил его, все замечательно.

Первый запуск, нажимаю "Вход", ввожу пароль, Мне высвечивается сообщение, что тут нужна регистрация (как буд-то я и не входил).

Захожу снова, Ввожу пароль, ставлю Галочку о том, чтобы меня пускало Автоматом - форум меня начинает узнавать.

Пытаюсь перейти в раздел Администрирования... Меня каждый раз по новой и по новой спрашивают пароль, но в раздел Администрирования не пускают. Пароль проходит проверку, говорится что сейчас будет Редирект.. если ткнуть на Ссылку для перехода - эффект один - Поле с запросом пароля.

Помогите пожалуйста разобраться.

Ставил форум у Хостера и на Домашнем дистрибутиве Денвера.. Эффект один и тот же.

При установке форума единственный параметр, который рекомендуют переключить - Регистрация Глобальных переменных.

Ответ: в первую очередь необходимо убедиться в правильности настроек куки (cookies) на форуме, в администраторском разделе. В phpBB2 и phpBB3 правила настройки куки идентичны, читаем этот пост.

[rxu]

forfreedom
Эта "бяка" в вашем случае совершенно не причем.

Уже проверил на практике через луковицу – выходит, что можно!

Я не знаю, как вы проверяли. Если бы дело обстояло так, все форумы на phpBB были бы давно взломаны. Если вам кажется, что вы первым в мире додумались подменять sid - не льстите себе
В phpBB нет такой дыры в безопасности.

[Dbonz]

Я не знаю, как вы проверяли. Если бы дело обстояло так, все форумы на phpBB были бы давно взломаны. Если вам кажется, что вы первым в мире додумались подменять sid - не льстите себе
В phpBB нет такой дыры в безопасности.

Это шутка? Если Вам кажется, что Вы сумели проследить ход мысли оппонента – не льстите себе, делая скоропалительные выводы.
Зачем подменять, когда можно нечаянно подарить имеющийся ID сессии из-за того, что он так открыто маячит в адресной строке. На 2-ух пальцах объяснил, как, что и за чем делал и какие настройки выключил. И Вы сами подтвердили, что так можно. Конечно, сессия имеет свой срок жизни и она ясное дело просто так не заканчивается при закрытии браузера, тут либо при выходе с конференции, либо через установленное время. И ссылкой с ID исходя из этого, может воспользоваться любой желающий, если выключены эти настройки:

Проверка IP-адреса сессии: Нет
Проверка браузера: Нет
Проверять рефёрер: Нет

Весь вопрос, зачем этот ID или sid, вообще нужен в адресной строке. Понимаю, если б без кук вообще нельзя бы было зайти на конференцию, а это что? В чём защита, если сама сгенерированная ссылка является ключом?

В phpBB нет такой дыры в безопасности.

Звучит как мантра. Остаётся повторять себе это чаще и чаще…

[Sheer]

Dbonz
Что ж ты хочешь, если отключил всю защиту.
Это примерно, как уйти из дома, оставить ключ под ковриком, и сообщить об этом всему свету.

[Dbonz]

Что ж ты хочешь, если отключил всю защиту.
Это примерно, как уйти из дома, оставить ключ под ковриком, и сообщить об этом всему свету.

Я, к примеру, как неопытный админ могу вообще ничего не хотеть. А вот "Вася" или"Петя", вполне могут быть обеспокоены угоном их акков. В данном случае им очень бы помогли куки и чистый адрес без sidов.

А по поводу проверки IP-адреса, мне, полагаю, можно и не включать, т.к. сделал так:
[РЕШЕНО] IP администратора сделать 127.0.0.1

Вот и обеспокоился. Думал, что на уровне кук будет прикрыто, а тут они вообще не нужны, как выяснилось. Ну ладно, включу проверку браузера, но и здесь странно, как Пчелкин сумел вбить моего sida и авторизироваться тут Идентификация на Форуме/доступ в Панель Администрирования.

Я-то без претензий к движку, но просто от полученной информации появились некоторые сомнения...

[rxu]

как Пчелкин сумел вбить моего sida и авторизироваться тут

Где он там авторизовался под вами?

В данном случае им очень бы помогли куки и чистый адрес без sidов.

Как вы собираетесь идентифицировать пользователя, если он отключит куки в браузере?

[Sheer]

Dbonz
Дарю свой

Код: Выделить всё

http://www.phpbbguru.net/community/?sid=ac122a95193e99fd70d34fed12c579a4

Попробуй авторизоваться.

[Dbonz]

Где он там авторизовался под вами?

Но допустим не подо мной. но по sidu явно авторизировался, судя по тому что в шапке написано "выход".

Как вы собираетесь идентифицировать пользователя, если он отключит куки в браузере?

А никак, пусть идёт мимо, так же, как и в случае с отключенным яваскриптом при антибот10500. Ради его же безопасности.

[Пчелкин]

rxu Вбил в адресную строку его сид и нажал ентер...
Я был на этом форуме под его сидом...но только до первого движения...до первого малейшего мыхой...и все...опять стал я...

[rxu]

Попробуй авторизоваться.

Не получится, ибо секурные проверки не выключены.

Я был на этом форуме под его сидом

Что такое под сидом? Не под его аккаунтом, это точно. А сам сид в адресе ни о чем не говорит.

[Sheer]

Не получится

И я от том же

sid.jpg

А никак, пусть идёт мимо

Мил друг, тогда никто не сможет авторизоваться, никто, понимаешь?

[Пчелкин]

А сам сид в адресе ни о чем не говорит.

Так и я о том-же...что с того сида...
Щас под Шеровским был...толку...Шером то я не стал...
Во - Шеровский...стою...не шевелюсь...

snap799.jpg

Первое же движение и сида нет...

snap800.jpg

И чего товарисч такую возню поднял...Заняться нечем? Сходи на улицу, по фотай воробушков...Интереснейшее занятие...

[Dbonz]

Мил друг, тогда никто не сможет авторизоваться, никто, понимаешь?

Ну так пусть с проверкой. Идёт запись куки? – заходи. Не идёт? – ну и сам иди мимо. А это и без кук можно авторизироваться и ходить по сайту, сколько там sidов тогда должно будет вылезти и в каких местах?

Первое же движение и сида нет..

->

Здесь другая ситуация. Jomla + мост jfusion
С вытекающими последствиями.

А на чистом?

[Пчелкин]

Так же до первого движения...Я это еще года полтора назад пробовал...
Все переживал что в загранпоездках в хотелевских компах что-то остается, что позволит после меня быть кому-то там, где не надо...Фигня....не пролезет ни у кого...

[Dbonz]

Так же до первого движения...Я это еще года полтора назад пробовал...

Опять же, смотря какие настройки. Я ж писал пример, что после первого перехода из админки на главную страницу, на чистом форуме, брал sida и вставлял его в луковицу – и сразу с двух браузеров на форуме под одним логином. И через луковицу нажимал ссылку в амдмин. панель – тут же в неё спокойно попадал и бродил без проблем.

[rxu]

Опять же, смотря какие настройки.

Происходит только при отключении проверок по браузеру и адресу сессии. Кстати, зачем это надо отключать?