Атака спамеров

[yur1k]

В качестве эксперимента (одно из трех или поочередно)
1. Отключить конференцию вообще (или в админке, или создать папку install - в этом случае форум будет недоступен всем кроме админа)
2. Переименовать или удалить ./incudes/ucp_register.php
3. Создать папку new, куда записать файлы из девственно чистого дистрибутива + config.php из папки forum. Папку forum переименовать в old, new переименовать в forum
Наблюдать результат.

1. Если отключить конференцию, регистрация спамеров прекращается.
2. Переименование ./incudes/ucp/ucp_register.php - ничего не изменила. Регистрируются свободно. Активируются самостоятельно(Регистрация на форуме закрыта.)
3. Буду пробовать вариант с девственно чистыми дистрибутивами.

За ночь, по данным FROM `phpbb3_users` - 40 новых регистраций из них, половина user_type=0, половина = 1.
Чищу. Интересно, а из таблицы phpbb3_users, чистить можно?

Сдается мне у тебя там какой-то левый скрипт валяется. Может кто-то шелл залил, и теперь развлекается.

Как это проверить?
Еще раз спасибо за помощь!

[Sheer]

2. Переименование ./incudes/ucp/ucp_register.php - ничего не изменила.

Ну вот, картина маслом. Никакой антиспам и антибот не поможет. Насчет шелла навряд ли, так как отключение конференции решает проблему, значит либо левый скрипт, либо кто-то где-то проделал дыру в скриптах phpBB.
Начсет шелла, если интересно Интересный руткит
Пробуй третий вариант, либо установив Анибот, либо отключив регистрацию или включив активацию админом. Если регистрации не прекратятся, значит нужно искать левый скрипт на стороне.

а из таблицы phpbb3_users, чистить можно?

Можно, но не желательно, потом придется еще и посты удалять, и делать синхронизацию статистики.

[max2012]

спамеров вроде сейчас у меня нет, но случайно в папке моего шаблона обнаружил подозрительный файл с таким названием "китайские иероглифы" (как только сюда вписываю у сообщения выходит ошибка бд у вас).... я так понимаю - это не мой файл), проверил оригинал шаблона там его естественно не было.
потом такой же китайский файл обнаружил и в папке форума.
в итоге удалить, открыть и тд я его не могу, но самое интересное то, что через фтп хоста этих файлов нет, я их вижу только через тотал коммандер.
так что если кто знает как удалить файл, пишите.

[Sheer]

с таким названием

С каким?

удалить, открыть и тд я его не могу

Почему?

[max2012]

как только я здесь пишу название файла у вас на форуме выходит ошибка

• Общая ошибка
  SQL ERROR [ mysqli ]
  Incorrect string value: '\xF0\xAD\xB3\xB8t ...' for column 'post_text' at row 1 [1366]

при попытке удалить файл через тотал выходит ошибка - невозможно удалить файл

[Zhenjka]

Через Тотал посмотрите какие права у этого файла стоят. (CHMOD)
попросите хостера удалить файл.

[max2012]

атрибуты у файла не меняются, и хотелось бы узнать каким способом файлы заливаются ко мне в фтп сайта? доступ только у меня...
да и как "хостер" удалит этот файл? у них что видны скрытые файлы, а у меня не виден он через фтп хоста... еще что не будь не то удалят)

[Zhenjka]

Хостер может удалить, на то он и хостер.
У файла может доступ на чтение пользователя, а для админа сервера полный доступ (ROOT)

[Gudvin]

Попробуйте откатить файлы форума (которые не менялись) до даты, с которой начались проблемы.

[max2012]

видимых проблем у меня с этим файлом нет, просто обнаружил его в корне форума.
забыл еще сказать про дату создания этого файла - дата стоит как и у всех файлов (день создания), но это конечно не правда.... так как у меня есть копия всего форума не давняя и там этого файла нет, так же и копия шаблона и там его нет.
завтра попробую написать в поддержку хоста чтобы удалили...

[Sheer]

доступ только у меня.

Откуда такая уверенность? Запросто могли увести пароль...

[max2012]

Откуда такая уверенность? Запросто могли увести пароль...

это понятное дело, я имел ввиду своих модераторов и тд, может среди них есть какие злодеи)
какие есть самые популярные способы взлома и как их избежать?

[Sheer]

Самый популярный - это вы храните логин и пароль к FTP в клиенте. Потом шаритесь по порносайтам и ловите оттуда какую-нибудь хрень, которая незаметно от вас уводит все доступы к FTP.
Если я получу такой доступ, то дальше... все ограничивается только пределами моей фантазии.

Добавлено спустя 1 минуту 15 секунд:
Есть и другие, вот тут описан Интересный руткит

[yur1k]

В качестве эксперимента (одно из трех или поочередно)
1. Отключить конференцию вообще (или в админке, или создать папку install - в этом случае форум будет недоступен всем кроме админа)

Для чистоты эксперимента, уточню: cтавил блокировку по IP, но поскольку (на сервере установлен кеширующий веб-сервер nginx, в качестве фронтенда.), то IP, был IP сервера на котором установлен форум.
В этом случае регистрации прекращались.

3. Создать папку new, куда записать файлы из девственно чистого дистрибутива + config.php из папки forum. Папку forum переименовать в old, new переименовать в forum
Наблюдать результат.

Приступаю к Варианту 3. О результатах доложу.

Дакладываю:
Установка чистых дистрибутивов - не помогла. Такое ощущение, что регистрируются прямо в базу.

Отключил конференцию. Смотрю результат:
Регистрация продолжается!!! Пишут распрекрасные сообщения.

Утомили они меня. Запретил IP своего сервера.

Вопросы:
1. Когда пользователь активирован, то ему присваивается user_type=0
А сложно ли изменить это условие, скажем на 5?
В таблице пользователей, это можно изменить и руками. А как по тексту? Много ли файлов прийдется менять?

2. Ну или табличку phpbb3_users переименовать.
Другими словами, пока будем искать дырку, активировать пользователей по другому.

3. И так, навскидочку, что это может происходить?

[владимир1983]

yur1k какие ещё скрипты стоят "рядом"? База данных принадлежит только форуму?
Подробней расскажи про распределение прав на сервере.

переименовать.

Форум упадет. Смени префикс лучше.

Установка чистых дистрибутивов - не помогла

Как устанавливал? Заливал поверх?
Надо снести все файлы забекапив предварительно и залить чистый дистрибъютив.
Посмотри в сторону Apache MPM-ITK