Атака спамеров

[Sheer]

установлен кеширующий веб-сервер nginx

Так я и думал... хреново.

Попробуйте добавить капчу при добавлении поста.

Не поможет.

[yur1k]

Таки вопрос остался:
Как новый пользователь может зарегистрироваться, обойдя активацию Администратором?

[Sheer]

Активация тут не причем. При регистрации учетная запись создается в любом случае, просто в таблицу users в поле user_type записывается 1 (учетная запись неактивирована). Проверь, так ли это. Если там 0, значит что-то накосячено в ./incudes/ucp_register.php
Если 1, но пользователь отправляет сообщения, то это странно.
Дал бы ссылку на форум свой + тестовый аккаунт.

[yur1k]

Активация тут не причем. При регистрации учетная запись создается в любом случае, просто в таблицу users в поле user_type записывается 1 (учетная запись неактивирована). Проверь, так ли это. Если там 0, значит что-то накосячено в ./incudes/ucp_register.php
Если 1, но пользователь отправляет сообщения, то это странно.
Дал бы ссылку на форум свой + тестовый аккаунт.

1. Проверил таблицу. Многие учетные записи спамеров, с user_type=0.
2. Есть user_type=1, но оставляли ли они посты еще не проверил.
3. Ссылка http://www.vodovoz.com.ua/forum/
4. Как оформить тестовый аккаунт? С благодарностью прийму помощь!

[Sheer]

еще не проверил.

Ну так проверь.

Как оформить тестовый аккаунт?

Зарегистрируйся сам, активизируй учетку и сообщи логин и пароль.

[Пчелкин]

3. Ссылка http://www.vodovoz.com.ua/forum/

Замени свою рульку с картинками на нормальную капчу хотяб...

[yur1k]

Замени свою рульку с картинками на нормальную капчу хотяб...

Капчу заменил. Сделать тестовый аккаунт сил не хватило. Сделаю - отпишусь.
Спасибо за поддержку.

[Пчелкин]

СлушЭй, дАрАгой...
А взять любого полузаброшенного юзера (тока не говори что их у тебя нема) и в админке заменить его ник на удобный типа test и его пароль на любой удобный типа test_my_2013 вера не позволяет? Делов на 4 секунды.. Ты чего голову морочишь про сил не хватило? Иль там при входе в админку бетонную стену в пол метра надо разбирать?

[yur1k]

СлушЭй, дАрАгой...
А взять любого полузаброшенного юзера (тока не говори что их у тебя нема) и в админке заменить его ник на удобный типа test и его пароль на любой удобный типа test_my_2013 вера не позволяет? Делов на 4 секунды.. Ты чего голову морочишь про сил не хватило? Иль там при входе в админку бетонную стену в пол метра надо разбирать?

Все сбросил в личку. Думал речь идет о хостинге...

Что заметил из таблицы phpbb3_users:
1. Учетная запись user_type=1, сообщений не оставляет.
2. Появляется новый клиент, user_type=1. Через пару минут, user_type=0 (стоит активация админом). И пошло-поехало.
3. Не у всех получается изменить user_type. Но в час, таких ребят с десяток.

[yur1k]

Продолжаю эксперименты:

Отключил регистрацию пользователей:
Активация учетных записей: Отключено.
Кэш регулярно чищу руками.
Регистрации продолжаются. Смотрю по таблице phpbb_users. user_tipe=0
Файл ./incudes/ucp_register.php - руками не трогал!

[Sheer]

Активация учетных записей: Отключено.
Регистрации продолжаются.

Ну это уже из области фантастики. Либо кто-то имеет доступ к БД напрямую, ибо как обойти вот это, я не понимаю

Код: Выделить всё

		if ($config['require_activation'] == USER_ACTIVATION_DISABLE)
		{
			trigger_error('UCP_REGISTER_DISABLE');
		}

[yur1k]

Ну это уже из области фантастики. Либо кто-то имеет доступ к БД напрямую, ибо как обойти вот это, я не понимаю

А я о чем! Заходят как к себе домой.
Отправил запрос хостеру.
Сменил пароль на Хостинг (на всякий пожарный)

user_id = 8950 и 8951
появились уже после отключения. Проверил и отключение пытаясь зайти по ссылке регистрации: http://www.vodovoz.com.ua/forum/ucp.php?mode=register - все работает замечательно. Не регистрирует.

[Sheer]

В качестве эксперимента (одно из трех или поочередно)
1. Отключить конференцию вообще (или в админке, или создать папку install - в этом случае форум будет недоступен всем кроме админа)
2. Переименовать или удалить ./incudes/ucp_register.php
3. Создать папку new, куда записать файлы из девственно чистого дистрибутива + config.php из папки forum. Папку forum переименовать в old, new переименовать в forum
Наблюдать результат.

[yur1k]

В качестве эксперимента (одно из трех или поочередно)
1. Отключить конференцию вообще (или в админке, или создать папку install - в этом случае форум будет недоступен всем кроме админа)
2. Переименовать или удалить ./incudes/ucp_register.php
3. Создать папку new, куда записать файлы из девственно чистого дистрибутива + config.php из папки forum. Папку forum переименовать в old, new переименовать в forum
Наблюдать результат.

1. Отключал конференцию - регистрация прекращалась.
2. Переименовал ./incudes/usp/ucp_register.php , кэш почистил - наблюдаю...

Добавлено спустя 44 минуты 7 секунд:
Проверка Хостера:
***
Проверили и отсортировали IP адреса, которые подключались к Вашему форуму и отсылали POST запросы:

1 109.201.102.86 - - [15/Jun/2013
1 222.187.222.120 - - [15/Jun/2013
1 31.184.238.17 - - [14/Jun/2013
1 31.184.238.17 - - [15/Jun/2013
1 91.207.5.28 - - [15/Jun/2013
2 91.236.74.152 - - [15/Jun/2013
3 188.163.18.227 - - [15/Jun/2013
4 195.182.194.110 - - [14/Jun/2013
4 95.25.234.151 - - [15/Jun/2013
5 178.19.251.5 - - [15/Jun/2013
5 87.244.133.42 - - [15/Jun/2013
5 91.214.48.54 - - [15/Jun/2013
6 91.231.40.51 - - [15/Jun/2013
8 46.183.162.40 - - [15/Jun/2013
8 89.189.170.57 - - [15/Jun/2013
8 95.25.234.151 - - [14/Jun/2013
9 82.193.120.55 - - [15/Jun/2013
15 46.118.152.217 - - [15/Jun/2013
117 195.182.194.202 - - [15/Jun/2013

Вот по логам страницы к которым обращались :

195.182.194.202 - - [15/Jun/2013:20:17:33 +0300] "POST /forum/ucp.php?mode=login HTTP/1.1" 200 4141 "http://www.vodovoz.com.ua/forum/ucp.php?mode=login" "Opera/9.80 (Windows NT 6.1; Win64; x64; Edition Yx) Presto/2.12.388 Version/12.15"
195.182.194.202 - - [15/Jun/2013:20:17:49 +0300] "POST /forum/adm/index.php?sid=e1fae53db337212c34f945b8a3034eb6 HTTP/1.1" 200 4058 "http://www.vodovoz.com.ua/forum/adm/ind ... b8a3034eb6" "Opera/9.80 (Windows NT 6.1; Win64; x64; Edition Yx) Presto/2.12.388 Version/12.15"
195.182.194.202 - - [15/Jun/2013:20:18:05 +0300] "POST /forum/adm/index.php?i=board&sid=78358ed950e2c4249a66ab2dbc186be6&mode=registration HTTP/1.1" 200 2965 "http://www.vodovoz.com.ua/forum/adm/ind ... gistration" "Opera/9.80 (Windows NT 6.1; Win64; x64; Edition Yx) Presto/2.12.388 Version/12.15"
195.182.194.202 - - [15/Jun/2013:20:18:14 +0300] "POST /forum/adm/index.php?i=main&sid=78358ed950e2c4249a66ab2dbc186be6&mode=main HTTP/1.1" 200 3217 "http://www.vodovoz.com.ua/forum/adm/ind ... 2dbc186be6" "Opera/9.80 (Windows NT 6.1; Win64; x64; Edition Yx) Presto/2.12.388 Version/12.15"
195.182.194.202 - - [15/Jun/2013:20:18:16 +0300] "POST /forum/adm/index.php?i=main&mode=main&sid=78358ed950e2c4249a66ab2dbc186be6&confirm_key=52W457K3SQ HTTP/1.1" 200 5839 "http://www.vodovoz.com.ua/forum/adm/ind ... &mode=main" "Opera/9.80 (Windows NT 6.1; Win64; x64; Edition Yx) Presto/2.12.388 Version/12.15"
195.182.194.202 - - [15/Jun/2013:20:21:28 +0300] "POST /forum/ucp.php?mode=login HTTP/1.1" 200 4045 "http://www.vodovoz.com.ua/forum/ucp.php?mode=login" "Opera/9.80 (Windows NT 6.1; Win64; x64; Edition Yx) Presto/2.12.388 Version/12.15"
195.182.194.202 - - [15/Jun/2013:20:22:32 +0300] "POST /forum/adm/index.php?sid=af674823663f5097ac5d9d55545e5810 HTTP/1.1" 200 3936 "http://www.vodovoz.com.ua/forum/adm/ind ... 55545e5810" "Opera/9.80 (Windows NT 6.1; Win64; x64; Edition Yx) Presto/2.12.388 Version/12.15"

Как можно увидеть это страницы регистрации либо авторитизации на форуме.

Так же про сканировали Ваш сайт антивирусным алгоритмом, вредоносного кода обнаружено не было.

[Sheer]

Как можно увидеть это страницы регистрации

Нет. Попытки входа, да

Код: Выделить всё

195.182.194.202 - - [15/Jun/2013:20:17:33 +0300] "POST /forum/ucp.php?mode=login

А это не регистрация,

Код: Выделить всё

195.182.194.202 - - [15/Jun/2013:20:18:05 +0300] "POST /forum/adm/index.php?i=board&sid=78358ed950e2c4249a66ab2dbc186be6&mode=registration

А настройки в админке -->ACP-->ОБЩИЕ-->Регистрация пользователей
Попыток регистрации в этой портянке нет.
Сдается мне у тебя там какой-то левый скрипт валяется. Может кто-то шелл залил, и теперь развлекается.