Взломали phpBB 2.0.13

[True Star]

В пятницу вечером я заметила, что на форуме само сменилось оформление на стандартное, хотя и стояла нами сделанная шкура.

Поправили.
В 2 часа ночи форум взломали. Создали новый форум и написали, что это был дружественный взлом и ничего в БД не нарушено.
При этом разослали всем зарегистрированным на форуме письма:

Приглашаем Вас посетить новый портал о сетевой безопастности и взломе, где Вам помогут познать азы информационной безопастности и взломать Ваших конкуретнов, противников или сообщить о новых найденных багах в их проекте Вашим друзьям. Приятная администрация, знающие модераторы и грамотные пользователи, а также много раздач, конкурсов и призов - все это на Hack-all Forum
У вас нет красивого номера ICQ? Красивого форума?
У Вас все будет, заходите по адресу http://www.hack-all.net/forum или http://www.hack-all.net/
C уважением и наилучшими пожеланиями

Все убрали. Часов в 20.00 в субботу вся БД упала и при попытке зайти на форум начала писать:

phpBB : Критическая ошибка

Could not query config information

DEBUG MODE

SQL Error : 1226 User 'forumname' has exceeded the 'max_questions' resource (current value: 36600)

SELECT * FROM phpbb_config

Line : 206
File : /www/vhosts/sitename.ru/html/forum/common.php

Были выходные до хостинга не достучались. Днем в воскресенье все заработало само. Проработало весь понедельник и вчера ночью все повторилось. БД упала и стала выдавать ту же SQL Error : 1226

Нас пытаются взломать и падает БД или что это???
Помогите пожалуйста разобраться

Заранее спасибо!

[Vladson]

Стало быть вас сломали 2 раза, один "дружественно" один "не совсем" могу посоветовать переустановить файлы форума (включая все моды) восстановить БД, сменить все пароли администраторов и модераторов...

[BorMan]

восстановить БД,

Желательно восстановить БД по состоянию до момента первого взлома и сразу сменить пароли...

[Xpert]

True Star
Нет в 2.0.13 на данный момент дыр, через которые его можно было бы взломать. Точно у вас стоял 2.0.13?

[newest]

да возможно.. доступ получили раньше.. а сломали сейчас..

[Xpert]

В 2 часа ночи форум взломали. Создали новый форум и написали, что это был дружественный взлом и ничего в БД не нарушено.

Самонадеянно вы поступили, просто восстановив все. Вам указали на уязвимость, причем вы отделались очень малой кровью, а вы даже не поинтересовались у взломщиков, как же им это удалось.

[Merera]

А еще очень полезно глянуть в базу, в таблицу пользователей, не появилось ли там новых неизвестных админов. Некоторые дыры позволяли такие фокусы. Поможет phpMyAdmin.

[infaz]

http://hack-all.net/forum/index.php?showtopic=171

[The-eBook]

Какая прелесть! Оригинально.

[Merera]

то есть форум ни при чем - просто дырявый мод...
поклонники журнала "ксакеп" бегали по форумам и стучали скриптом - где стоит download mod, и где у админа глупый пароль, так понимаю.

[oika]

Да. У нас тоже была подобное. Стиль перескочил на стандартный. Что у них не вышло, что не получилось, почему не взломали окончательно - не знаю. Но факт в том что пробовали.

[Alexgraf]

А что за мод имеет файл downloads.php ?
И обращения идут как downloads.php?cat=-1..., что за категории скачивания ???
У меня

Код: Выделить всё

## MOD Title: File Attachment Mod v2 
## MOD Author: Acyd Burn < N/A > (Meik Sievertsen) http://www.opentools.de 

файл там download.php и вызов выглядит как download.php?id=xxx
Вывод из этого эксплойта - пароль администратора должен быть очень не простой, это раз, и шифровать его хорошо бы дважды (недавно тут мод пробегал и обсуждение было). ИМХО.
PS да, еще, хорошо бы юзеру id=2 не иметь администраторских прав (это хоть чуть-чуть отсечёт ламеро-крякеров, которые тупо копируют действия с видео по взлому)

[Siava]

Alexgraf
Я уже об этом писал и это не мод File Attachment Mod v2!!!
Гляньте внимательно, файл downloads.php
http://phpbbguru.net/community/viewtopi ... 1497#21497

[Thoral]

возможно, ломалщики просочились ещё до критического апдейта и завели себе админа, который спокойно сидел и ждал своего часа. когда все успокоились - тут-то и началось..

рекомендую регулярно просматривать список администраторов выборкой из майсиквела

[True Star]

Все пароли мы поменяли в т.ч на БД. Проверили, новых админов не появилось.

Большое спасибо всем за советы.