Вопросы, а так же полная паника!

[VEO]

есть один вопрос... как можно просматреть файл config.php? и исправлены ли все дырки в файлах db.php, install.php, common.php, и там по моему в privmsg.php?...

откуда взялся этот вопрос... всё очень просто, взломали сайт (точнее sql), то ли хостера, то ли фарум.... т.к. больше вариантов нет...

[Vladson]

Всех дырок закрыть невозможно, в версии 2.0.10 они так-же есть, но а где их нет ?

А те дырки о которых ты говоришь (и о которых мы знаем), конечно исправлены...

[VEO]

Vladson
могут быть дырки в модах?...

Добавлено спустя 2 минуты 10 секунд:

и вообще, возможно ли как нить получить доступ к sql?

[Vladson]

могут быть дырки в модах?...

Ясен пень могут, они везде могут быть, даже в самом PHP или Apache, а моды это вообще форт-нокс для хакера

[Xpert]

VEO
Данные этого файла можно просмотреть, только получив доступ к ftp.
Возможно, что против твоего форума или другого скрипта была применена sql-инъекция. Следует изучить логи.

[VEO]

Xpert *****ий хостер не ведёт логи на SQL, а на ftp там это логами нельзя назвать!... Просто IP и когда был вход, вот и все логи....

Есть ли какие нибудь известные дырки в:
Атач моде
Квик реплау
PAFileDB
Фаворитс
да наверное и всё...

Просто хостер вчера заявил, что ему лень ваще этим заниматься, и что дырка в скриптах...

Весь ресурс был проверен XSpider'ом 7й версии... дырки были только в SSH и в SSL на хостинге... В скриптах ни одной ошибки... Может кто посоветует какой нибудь сканер получше?...

И ещё, если PHPMyAdmin при выполнении SQL запроса, пишет что нет пра на выполнение этого запроса, это хостинг?...

Короче у меня на форуме все админы... и это не исправить, т.к. не заменить переменные в SQL'е... =о(((

Короче паника продолжается!..

[Vladson]

VEO
Нужен стандартный лог апача

там идёт
ip [ дата ] "http://aдрес" (обозреватель) и рефёрер

Такой лог ведётся везде, если хост платный то у тебя должен быть доступ из панели управления
если бесплатный то можешь попросить и они могут дать

[VEO]

Возможно, что против твоего форума или другого скрипта была применена sql-инъекция. Следует изучить логи.

Можно об этом поподробнее... И как это теоретически можно сделать, и что можно узнать?...

[Xpert]

VEO
У тебя у всех пользователей права "Администратор"? Это можно убрать.
Из всех вышеперечисленных думаю подвести мог только paFileDB, да и то врядли.

Добавлено спустя 1 минуту 52 секунды:

Чтобы это узнать необходимо смотреть логи на предмет странных передаваемых параметров.

Хорош хостер однако.

[VEO]

Xpert пробовал убрать через PHPMyAdmin... не даёт выполнить команду, говорит, что нет прав... пытались через php, скриптом, то же самое, нет прав...

Как это можно убрать?

[Xpert]

VEO
Попробуй так:

Код: Выделить всё

<?php 

define('IN_PHPBB', true); 
$phpbb_root_path = './'; 
include($phpbb_root_path . 'extension.inc'); 
include($phpbb_root_path . 'common.'.$phpEx); 

$sql = 'UPDATE ' . $table_prefix . 'users SET user_level=0 WHERE 1'; 

   if (!$db->sql_query($sql)) 
   { 
      $res = $db->sql_error(); 
      echo "Failed: $res[message]"; 
      exit; 
   } 
    
   echo "Completed succesfully!"; 
   exit; 

?>

Это скрипт сделает всех пользователей обычными.

Далее вот это:

Код: Выделить всё

<?php 

define('IN_PHPBB', true); 
$phpbb_root_path = './'; 
include($phpbb_root_path . 'extension.inc'); 
include($phpbb_root_path . 'common.'.$phpEx); 

$sql = 'UPDATE ' . $table_prefix . 'users SET user_level=1 WHERE user_id=2'; 

   if (!$db->sql_query($sql)) 
   { 
      $res = $db->sql_error(); 
      echo "Failed: $res[message]"; 
      exit; 
   } 
    
   echo "Completed succesfully!"; 
   exit; 

?>

Этот скрипт сделает пользователя с нужным номером админом (номер редактируется здесь: WHERE user_id=2.

[VEO]

Xpert Спасибо! =о) этот скрипт поменял все параметры...

А что такое sql-инъекция?..

[Xpert]

VEO
Вкратце: это внедрение собственных произвольных инструкций в SQL-запрос, соответственно злоумышленнику открываются невиданные просторы по манипулированию содержимым БД. Более подробную информацию, думаю, выдаст любой поисковик.

[VEO]

Vladson, Xpert спасибо большое за помошь!.. а куда если что дындочки писать? или за помощью обращаться?

[VEO]

Вроде все траблы разрулили... но теперь форум не показыват сколько гостей сейчас на форуме (хотя админская чать работает на ура)...

Не подскажете где это смотреть?