Хак :((

[Crazy Demon]

А вот с этой гадостью уже разобрались?
http://www.securitylab.ru/53117.html
---------------------------------------------------------------------------
Program: phpBB 2.0.13
Homepage: http://www.phpbb.com
Vulnerable Versions: phpBB 2.0.13 & Lower versions
Risk: Low Risk
Impact: bbcode, smilies, and html not bad filtered en usercp_register.php

phpBB 2.0.13 Bad filtered in usercp_register.php
-----------------------------------------------------------------------------
Меня вчера ломанули я вот не могу понять как

Хакер (zaebok) получил админские права (зашел админом), и покилял все сообщение.
В Админнку он не попал (.htaccess), а покилял все мессы через modcp.php (сейчас тоже на него поставил .htaccess).
Все последние обновления стоят.
Этот гад уже третий раз мой форум хачит.
Но хоть сейчас все бескровно прошло (почти), я делал бэкап 2 раза в сутки (ща 4 раза поставил)

[Димка]

Вотт это дааааааа.... Гуру Спасайте наши души

[Vladson]

Поиск товарищь, поиск, зачем плодить темы

(он мог зайти под паролем которы приобрёл зарание) дыра в usercp_register.php является XSS дырой, и её использование вероятно только в том случае если другого выхода нет... (официального фикса ещё нету, думаю он будет в 2.0.13а или в 2.0.14)

[Crazy Demon]

Ну не ручками-же я делал бэкап, что так угорать, а товарищ cron свою работу делает. А этот хакер уже достал... не пойму че ему надо. Главное оставляет свои координаты, но хрен его выцепишь (
"XaCkEd By ZaEbOk DSL Security Team server irc.ru | Channel: #Hackteam"

[Siava]

Нашёл только это:

usercp_register.php

FIND

Код: Выделить всё

if ( $mode == 'register' ) 
        { 
                $attachsig = ( isset($HTTP_POST_VARS['attachsig']) ) ? ( ($HTTP_POST_VARS['attachsig']) ? TRUE : 0 ) : $board_config['allow_sig']; 

                $allowhtml = ( isset($HTTP_POST_VARS['allowhtml']) ) ? ( ($HTTP_POST_VARS['allowhtml']) ? TRUE : 0 ) : $board_config['allow_html']; 
                $allowbbcode = ( isset($HTTP_POST_VARS['allowbbcode']) ) ? ( ($HTTP_POST_VARS['allowbbcode']) ? TRUE : 0 ) : $board_config['allow_bbcode']; 
                $allowsmilies = ( isset($HTTP_POST_VARS['allowsmilies']) ) ? ( ($HTTP_POST_VARS['allowsmilies']) ? TRUE : 0 ) : $board_config['allow_smilies']; 
        } 
        else 
        { 
                $attachsig = ( isset($HTTP_POST_VARS['attachsig']) ) ? ( ($HTTP_POST_VARS['attachsig']) ? TRUE : 0 ) : 0; 

                $allowhtml = ( isset($HTTP_POST_VARS['allowhtml']) ) ? ( ($HTTP_POST_VARS['allowhtml']) ? TRUE : 0 ) : $userdata['user_allowhtml']; 
                $allowbbcode = ( isset($HTTP_POST_VARS['allowbbcode']) ) ? ( ($HTTP_POST_VARS['allowbbcode']) ? TRUE : 0 ) : $userdata['user_allowbbcode']; 
                $allowsmilies = ( isset($HTTP_POST_VARS['allowsmilies']) ) ? ( ($HTTP_POST_VARS['allowsmilies']) ? TRUE : 0 ) : $userdata['user_allowsmile']; 
        }

REPLACE WITH

Код: Выделить всё

if ( $mode == 'register' ) 
        { 
                $attachsig = intval(( isset($HTTP_POST_VARS['attachsig']) ) ? ( ($HTTP_POST_VARS['attachsig']) ? TRUE : 0 ) : $board_config['allow_sig']); 

                $allowhtml = intval(( isset($HTTP_POST_VARS['allowhtml']) ) ? ( ($HTTP_POST_VARS['allowhtml']) ? TRUE : 0 ) : $board_config['allow_html']); 
                $allowbbcode = intval(( isset($HTTP_POST_VARS['allowbbcode']) ) ? ( ($HTTP_POST_VARS['allowbbcode']) ? TRUE : 0 ) : $board_config['allow_bbcode']); 
                $allowsmilies = intval(( isset($HTTP_POST_VARS['allowsmilies']) ) ? ( ($HTTP_POST_VARS['allowsmilies']) ? TRUE : 0 ) : $board_config['allow_smilies']); 
        } 
        else 
        { 
                $attachsig = intval(( isset($HTTP_POST_VARS['attachsig']) ) ? ( ($HTTP_POST_VARS['attachsig']) ? TRUE : 0 ) : 0); 

                $allowhtml = intval(( isset($HTTP_POST_VARS['allowhtml']) ) ? ( ($HTTP_POST_VARS['allowhtml']) ? TRUE : 0 ) : $userdata['user_allowhtml']); 
                $allowbbcode = intval(( isset($HTTP_POST_VARS['allowbbcode']) ) ? ( ($HTTP_POST_VARS['allowbbcode']) ? TRUE : 0 ) : $userdata['user_allowbbcode']); 
                $allowsmilies = intval(( isset($HTTP_POST_VARS['allowsmilies']) ) ? ( ($HTTP_POST_VARS['allowsmilies']) ? TRUE : 0 ) : $userdata['user_allowsmile']); 
        }

[Сергей Секирин]

В Админнку он не попал (.htaccess), а покилял все мессы через modcp.php (сейчас тоже на него поставил .htaccess).
)

Сочувствую. Подскажите чайнику код .htaccess и куда эти .htaccess засовывать, чтобы труднее было негодяям? :-))

[YarNET]

Подскажите чайнику код .htaccess и куда эти .htaccess засовывать, чтобы труднее было негодяям? :-))

Сергей Секирин
Здесь можно прочитать

Crazy Demon

покилял все мессы через modcp.php (сейчас тоже на него поставил .htaccess)

Как Ведь modcp.php находится в корневой дириктории, т.е. как установлена защита modcp.php через .htaccess & .htpasswd для него?

[Siava]

YarNET
у меня статический IP, поэтому я "режу" все другие, кроме своего

Код: Выделить всё

<Files modcp.php>
order deny,allow
deny from all
Allow from МОЙ IP
</Files>

Ну и т.д.. принцип думаю ясен

[YarNET]

Не совсем ясен, т.к. кроме тебя, наверное, есть еще модераторы, которым в данном случаи не воспользоваться панелью модерации.
Прав я или не прав? :wink:

[Siava]

YarNET
Если есть модераторы, то ниже добавляется ещё один Allow from IP_модера
и т.д.. список IP

[MiTrI]

YarNET
А разве модераторы могут зайти в админ панель?
А как пароль и логин сделать в .htpasswd?

[YarNET]

Есть универсальный тогда способ – пароль только на файл все тем же железным методом защиты:

<Files modcp.php>
AuthName "The limited access to the panel of the moderator"
AuthType Basic
AuthUserFile /www/.htpasswd
</Files>

[romutis]

А если модераторов много (20 человек) и IP у них динамичиские? Не канает способ для modcp

[YarNET]

romutis, все тип-топ в этом случаие. Смотри тут

[romutis]

Т.е. ты предлагаешь каждому модератору создать пароль? Каждому админу - тоже пароль?

Замаешься, ИМХО...