Взломал какой то гад :(

[borchuk]

Стоит 2.0.0

 

Были замечены факты мелкого хулиганства. Одному из админов подменили аватар, подпись... отредактирован 1 пост..

 

 

Полез в админку.

Первое что заметил, что появились два "лишних" админа.

Первый - юзер который был пару дней в статусе Валидейтинг (с явно невалидным мылом, но я пока не стирал его)

Второй - одна девушка, которую я знаю достаточно чтоб утверждать что ничего злостного она сделать не могла...

 

Кто сделал их админами?

В админлогах на эту тему чисто. Все записи там идут подряд - т.е. даже ничего не потёрто.

 

Вывод: кто то писал запросы с апдейтами в базу напрямую.

Тут два варианта: хмырь узнал данные доступа к БД или каким то образом влез в админку и оттуда запросы посылал.

 

В таблице inf_members у второй "лишней" админки (невиновной девушки) - в поле legacy_password стояли несколько цифр. У всех остальных юзеров - пусто. Вот это меня настораживает....

 

 

А теперь вопрос:

Что такое legacy_password и каким образом было свершено вышеописанное...?

 

 

Поиск на эту тему ничего дельного не дал.

 

Заранее благодарен

[d1pro]

SQL Injection вероятно... Вопрос - где?

[Taylor Reeze]

d1pro, интересно бы узнать, а то - нет гарантии, что других завтра так не уделают!

[David]

Версия 2.0.0 имеет несколько уязвимостей, но писали же, что они исправлены в последубщих версиях и апдейтах.

[borchuk]

David

 

Сменить файл index.php на тот что идёт в русской админке от Cepera - этого достаточно?

 

Там вроде как исправлено что то и доведено до 2.0.1....

[borchuk]

НЕ ДОСТАТОЧНО!!!!!

 

 

Опять влез гад

 

 

ХЕЛП !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

[lamozaver]

2.0.3 ставь и не будет проблем никаких...

[Iris]

borchuk, дело в том, что могут залезать через пхпМойАдмин и через панель хостинга.

Надо связатьяс с хостером, сменить все пароли и поставить защиту на разделы и на админку.

[borchuk]

Iris

пароль на фтп и на панель хостинга (Мажордомо) я сменил ещё вчера

и на БД тоже...

 

не помогло однако...

 

Ещё не исключаю версию что у одного из админов сидит кейлоггер или ещё какая то дрянь и тогда сколько пароли не меняй - бесполезно

 

ставить 2.0.3 не особо хочется

Хочу честно юзать триал и мне не мешает что внизу написано триал...

 

Задаю ещё раз вопрос: что такое legacy_password и каким макаром этот гад используя его нагадил?

 

И есть ли среди пофиксенных багов в 2.0.2 и 2.0.3 - баги относящиеся к секюрити?

[Iris]

IPB 2.x Обновление безопасности

 

Invision Power Board v2.0.1 (security update)

[borchuk]

Iris

спасибо...

 

всё это уже было пофиксено ранее......

[Наблюдатель]

что такое legacy_password

Это скорее всего, юзер на старой версии конфы просил восстановление пароля, но так его и не провёл, а ты в этот момент поставил новую версию - двушку... и экспортировал базу в новый формат (в формат двушки). Можешь смело забить эти цифры... Пусть юзер из новой версии конфы запрашивает восстановление пароля...

 

Здесь самое простое - у тебя на сервере лежит некий скрипт-дырка, через которую злоумышленник получает доступ к conf_global и выдирает оттуда пароль к базе данных, которую и изменяет. Это может быть не обязательно скрипт конфы... Проверь наличие посторонних файлов - сделай ревизию на сервере... Хм... всегда полезно иметь полную копию сервера у себя на винте и делать время от времени СИНХРОНИЗАЦИЮ. При этом ВСЕ лишние, пропавшие или изменённые файлы, будут выявлены...

[loosingar]

Могу поздравить - СекьюритиЛаб спасет отцов русской демократии и т.п.

http://www.securitylab.ru/49632.html

http://www.securitylab.ru/49631.html

http://www.securitylab.ru/49630.html

 

Или даже так - поиск по слову:

http://www.securitylab.ru/?ID=1671&Search_String=invision

[borchuk]

loosingar

Спасибо, но ничего нового в тех ссылках.

 

Описанные там уязвимости были пофиксены мной по мере их появления, о чём я уже писал выше отвечая Iris.

 

 

Наблюдатель

 

Старых версий не стояло.

Двушка с нуля.

И нафига ему делать админом ещё кого то.... ? Типа подставить хотел её? Детский сад ёлки палки..

 

На сервере чисто...

Основная версия о которой размышляю щас - это кейлоггер у кого то из остальных админов....

А если окажется что нет....? Что тогда?

[d1pro]

Эм. А если логи запросов поднять? Нету? Хук поставить?

[borchuk]

d1pro

 

просил уже у хостера.

не даёт он логи потому что не сохраняет их

[d1pro]

borchuk

Поставь хук н а драйвер . Правда боюсь может притормаживать начать. А ты логи админов смотрел? Может там есть инфа, кто мог менять? Поставь мод, который о каждом доступе в админке тебе мыло шлет, может и получишь инфу, имеет ли чел доступ в ACP или инъекцию использует?

[David]

просил уже у хостера.

не даёт он логи потому что не сохраняет их

а хостер-то хоть проверенный?

а то, может это он и играет от нечаделать...

[Valera]

Запаролить .htaccess oм, доступ к админке...

Так же давать доступ к админке только с определенных ip.

[Гость Salavat]

Valera

как ?

 

 

кстати посмотри на securitylab.ru может там можно будет узнать ....

Кстати ibproarcade не установлены ?

[warteam]

поставь доп пасс на админку в самый верх admin.php добавь

 

function authenticate() {

 

header('WWW-Authenticate: Basic realm="Admin Area"');

 

header('HTTP/1.0 401 Unauthorized');

 

echo "Введи правильный пароль!!!\n";

 

exit;

 

}

 

if( !isset($_SERVER['PHP_AUTH_USER']) || !isset($_SERVER['PHP_AUTH_PW']) )

 

authenticate();

 

if( !(($_SERVER['PHP_AUTH_USER'] == "тут логин") && ($_SERVER['PHP_AUTH_PW'] == "тут пароль")) ){

 

authenticate();

 

}

[loosingar]

borchuk

Спасибо, но ничего нового в тех ссылках.

Описанные там уязвимости были пофиксены мной по мере их появления, о чём я уже писал выше отвечая Iris.

Это оптимизм, или я чего-то не понял? На странице http://www.securitylab.ru/49630.html дословно написано "Способов устранения обнаруженной уязвимости не существует в настоящее время". Правда здесь - http://www.securitylab.ru/49632.html - ни слова о багфиксе, а в третьей - http://www.securitylab.ru/49631.html - все пофиксено. СекьюЛабу, в плане закрытия багов, я верю больше чем ИнвизБорду.

 

В общем - попробуй сам себя ломануть вот этим - http://www.securitylab.ru/49632.html - чтобы убедиться, что пофиксено...

[spirit202]

Здесь доступно описано как исправить вот этот баг: http://www.securitylab.ru/49630.html, и не только !