[ВАЖНО] Как избежать взлома на версиях phpBB до 3.3.17

[rxu]

Как уже известно из новостей о выходе phpBB 3.3.17, все версии до указанной (вплоть до 3.1.0) подвержены уязвимости, связанной с возможностью простого обхода авторизации и входа с использованием только имени аккаунта (без пароля) любого пользователя. Включая администратора или модератора. Злоумышленники смогут произвести любые действия от имени такого пользователя, на которые у этого пользователя есть соответствующие права, за исключением входа в админраздел.
Уязвимость найдена с помощью ИИ.

Чтобы предотвратить данный сценарий до того, как появится возможность обновить конференцию, необходимо:

Способ 1: 

1. Переключить аутентификацию на Db в админразделе (Главная страница админраздела - Средства связи - Аутентификация).
2. Отредактировать файл \config\default\container\services_auth.yml, удалив блоки

   Код: Выделить всё

       auth.provider.apache:
           class: phpbb\auth\provider\apache
           arguments:
               - '@config'
               - '@dbal.conn'
               - '@language'
               - '@request'
               - '@user'
               - '%core.root_path%'
               - '%core.php_ext%'
           tags:
               - { name: auth.provider }
   
       auth.provider.ldap:
           class: phpbb\auth\provider\ldap
           arguments:
               - '@config'
               - '@dbal.conn'
               - '@language'
               - '@user'
           tags:
               - { name: auth.provider }
   

3. Удалить с сервера следующие файлы:
   • /phpbb/auth/provider/apache.php
   • /phpbb/auth/provider/ldap.php
4. Очистить кэш конференции.

Способ 2: 

Без переключения метода аутентификации и удаления файлов: Re: [ВАЖНО] Как избежать взлома на версиях phpBB до 3.3.17

ВНИМАНИЕ:
Есть сообщения о том, что в некоторых случаях атакующие добавляли новые аккаунты в группы с повышенными привилегиями, например, в группы администраторов, супермодераторов, модераторов.
В этом случае, после взлома, даже с учетом применения патча выше или обновления до 3.3.17, злоумышленники могут и дальше наносить вред, используя такие аккаунты.
Поэтому имеет смысл проверить, не появились ли неавторизованные учетные записи в группах пользователей с повышенными привилегиями.

[Татьяна5]

Да и https://cabinetadmina.ru/ тоже смотрю ломанули, а админ похоже и не в курсе

Никто не помнит, какой у него тут ник?
Письмо отправить несложно

[Perfecthus]

Татьяна5, Я уже позабыл...

[xaocZ]

а админ похоже и не в курсе

Уже в курсе, спасибо

[southklad]

а админ похоже и не в курсе

Уже в курсе, спасибо

Да не за что, все старался ник вспомнить, да не смог, а с сайта нигде не давало отправить письмо

[Guitaristka]

Здравствуйте! Не могу найти, как обновить с phpBB 3.3.10 до phpBB 3.3.17. Есть ли такое обновление ?

[rxu]

[FAQ] Обновление phpBB 3.2.x/3.3.x to phpBB 3.2.x/3.3.x

[ps7]

Michel, это про взломанные. Надо проверять нет ли лишних администраторов и модераторов, а то их тихо могли добавить до обновления

а где это можно ТОЧНО узнать? если в группах админов и модераторов никого лишних нет.
но можно же сделать пользователей с правами "основателя" и т.п. как таких вычислить ?

нашел у себя парочку юзеров с айпи 77.111. как ни странно со старой регистрацией.. у одного даже сообщение было что-то про Киев.

и еще вопрос
как сменить пароль админа?? чтобы при этом не заблокировать самого себя...

[Michel]

Заканчивается четвёртая страница обсуждения про взлом и пошёл третий месяц после выхода патча. Ну не уже-ли так сложно обновиться? Благо это не 201* год, где нужно было всё править ручками, сейчас всё намного проще.

и еще вопрос
как сменить пароль админа?? чтобы при этом не заблокировать самого себя...

Если админ только Вы, то как обычно - личный раздел профиль регистрационные данные. Если хотите изменить пароль другому админу, то через админку - управления пользователями.

а где это можно ТОЧНО узнать? если в группах админов и модераторов никого лишних нет.
но можно же сделать пользователей с правами "основателя" и т.п. как таких вычислить ?

Если пользователей много и взломщик ещё не получил права основателя, то проще перепроверить роли и повторно назначить их группам.
Если же получил права основателя, то тут танцы с бубном.
Проверить количество и список основателей (Founders) на форуме phpBB через стандартную панель администратора напрямую нельзя, так как основатели не привязаны к конкретной группе и скрыты из общего списка администраторов.
У основателей форума в таблице пользователей всегда стоит особый тип аккаунта (user_type = 3).Зайдите в панель управления вашим хостингом и откройте phpMyAdmin.Выберите базу данных, которую использует ваш форум. Перейдите во вкладку SQL в верхнем меню. Введите следующий запрос (если у ваших таблиц префикс отличается от phpbb_, замените его на свой):

Код: Выделить всё

SELECT user_id, username, user_email FROM phpbb_users WHERE user_type = 3;

Нажмите Вперед (Go). На экране отобразится точное количество строк (это и есть число основателей) и список их ников.

Войдите в Администраторский раздел (ACP). Перейдите на вкладку Пользователи и группы. В левом меню выберите Управление пользователями. Введите имя взломанного основателя и нажмите Отправить. На открывшейся странице найдите строку Основатель форума: Переключите ползунок/чекбокс в положение Нет. Нажмите кнопку Отправить внизу страницы. После этого пользователь станет обычным зарегистрированным аккаунтом (или останется в группе "Администраторы", если он там состоял, но уже без критических прав основателя).
phpBB активно кэширует права. Чтобы изменения из базы данных вступили в силу немедленно: Подключитесь к сайту по FTP или через Файловый менеджер хостинга. Откройте корневую папку форума, а затем папку /cache/ (в новых версиях /cache/production/).Удалите все файлы из этой папки, кроме файлов .htaccess и index.htm (если они там есть).

Отправлено спустя 5 минут 8 секунд:
Перед всеми танцами с бубном ВСЕГДА ДЕЛАЙТЕ ПОЛНЫЙ БЭКАП (резервное копирование базы данных и файлов)

Отправлено спустя 10 минут 29 секунд:
Если Вас скинули с основателей, то тут только манипуляции через Базу данных:
Зайдите в phpMyAdmin на вашем хостинге. Откройте вкладку SQL.
Введите запрос, который даст вам права основателя (замените ИМЯ_ПОЛЬЗОВАТЕЛЯ на ваш ник):

Код: Выделить всё

UPDATE phpbb_users SET user_type = 3 WHERE username = 'ИМЯ_ПОЛЬЗОВАТЕЛЯ';

Введите запрос, который сбросит статус основателя до обычного пользователя (замените ИМЯ_ВЗЛОМАННОГО_ПОЛЬЗОВАТЕЛЯ на его ник):

Код: Выделить всё

UPDATE phpbb_users SET user_type = 0 WHERE username = 'ИМЯ_ВЗЛОМАННОГО_ПОЛЬЗОВАТЕЛЯ';

После этого так же не забудьте почистить кэш.

Отправлено спустя 4 минуты :
После того как все права восстановлены, проверяйте все настройки на форуме. Разрешённые/запрещённые айпи и мыло и т.д.
И обновитесь наконец уже до стабильной/защищённой версии phpBB

[ps7]

Michel, спасибо!
лето "веселенькое" выдалось, редко сюда заглядывал.

[ps7]

только бэкап и спас ситуацию

[Michel]

только бэкап и спас ситуацию

Регулярно делаю бэкапы, 2-4 раза в месяц. Храню последние 10 копий. Данные действия спасали ситуацию много раз, особенно в старые добрые времена когда всё делалось ручками. Да и недавно была ситуация с обновлением одного расширения, когда всё посыпалось. Где для устранения проблемы пришлось восстанавливать несколько раз. Раньше конечно было проще в плане железа, был локальный тестовый сервер на котором всё тестировалось и дорабатывалось. Сейчас лишних железок нет к сожалению. А так бэкапчики очень полезная вещь.