Уязвимости форумов Invision Power Board

[GiV]

скобка там лишняя в конце была.

[Song]

Да.. гадкая бага оказалась..

наверняка не в одном скиновом файле есть уязвимость.

[AngelBoY]

кто то поставил на маем форуме аватар и тот ето прочтет его пост cookie будут у него сначала не поверил потом этот парен зашел в админку под моим ником сейчас я отклячил аватар к всех как я могу предвратит это подругому

[Dr.Freddy]

как я могу предвратит это подругому

Прочитать тему, конечно. Здесь есть фикс этой уязвимости.

[Dekker]

[iPB 1.3.x и 2.0.x] Обновление безопасности

[Anna]

В таблице ibf_members есть поле legacy_password, которое содержит md5() от пароля - это по всей видимости пережиток конвертации с 1.3.х линейки.

Посмотрела исходники, нигде никаких обращений к этому полю я не нашла (только создание поля в инсталлере). Могу я его занулить от греха подальше? А то мало ли какая инъекция - все слишком просто.

[kolorom]

Специально для Anna

 

_http://docs.invisionpower.com/kb/article.php?id=194

[Anna]

Мне кажется, что это не совсем ответ на мой вопрос. Как происходит авторизация, я и так знаю. Меня волнует поле legacy_password, о котором по вышеупомянутой ссылке не сказано ни слова.

Соответственно можно ли его зануллить?

[nafigator]

Насколько я помню, это поле нужно для пользователей, сконвертированных с версии 1.* - их хэши пишутся в это поле.

Если у вас изначально стоял 2.*, то это поле не нужно.

 

PS А чего вы опасаетесь, если не секрет? Эти поля ведь пустые...

[Anna]

Нет. У меня они не пустые. У меня конвертенный форум с 1.3 до 2.0. Часть старых пользователей, что регилось когда была 1.3 имеют в этих полях мд5 от их пароля - это сликшом легко расшифровать, вот я и пытаюсь выяснить могу ли я там все занулить.

[d1pro]

Anna

Всегда ведь можно проверить на локале

[SAT]

хм... неприятным открытием для меня стало то что модератор не имея админ панели, а имея все лишь warn панель может разбанить пользователя, один забанил другой разбанил не дело....

 

кому надо можете профиксить

./sources/misc/warn.php

находим

 

        if ( ! $this->warn_member['id'] )
       {
      	 $std->Error( array( LEVEL => 1, MSG => 'no_such_user') );
       }

 

 

добавляем после

 

  if ( strlen($this->warn_member['temp_ban']) > 1  )
      {
 $std->Error( array( LEVEL => '1', MSG => 'banned_mem') );
      }

 

 

и в языки добавляем текст ошибки

/lang/*/lang_error.php

 

добавляем

 

$lang['banned_mem']  = "Этому пользователю сейчас невозможно изменить рейтинг. Участник на данный момент забанен.";

[X@MиЛь]

GiV

Я перелопатил все обновления и заплатки для 2.0.х и совместил их в один файл. Помоему очень хорошую вешь сдел. Типа патча безопасности Тока вот незнаю всё ли там. Надо с тобой связаться, мне а поскольку у тебя в подписи написано "на ПМ не отвечаю", то подскажи пожалуйста как это сделать...

[inK]

Срочно!!! Мегатрабл!!! v. 2.0.4. Когда юзвери заходят на форум (при этом у них куксы форум уже есть) они заходят под чужим (!!!) уже авторизованным акком. Конешн не всегда такое случается, но все же...

 

Попроси хостера отключить кеширование.

[Dr.Freddy]

inK, а проксиком они не пользуются? Который соответственно и выдаёт последнюю загруженную страницу вместе реальной?

[GiV]

GiV

Я перелопатил все обновления и заплатки для 2.0.х и совместил их в один файл. Помоему очень хорошую вешь сдел. Типа патча безопасности Тока вот незнаю всё ли там. Надо с тобой связаться, мне а поскольку у тебя в подписи написано "на ПМ не отвечаю", то подскажи пожалуйста как это сделать...

<{POST_SNAPBACK}>

по таким вопросам я отвечаю.

[X@MиЛь]

GiV

я тебе скинул масагу. кстати напиши как тебе можно сам файл скинуть...

[Aiwan]

X: Aiwan, нашел следы взлома?

Aiwan: сдохли все посты одного форума

Aiwan: в логах нет...

X: А в логах нет - я использовал атаку CSS

X: CSS - куки подменил за 3 минуты

Aiwan: и это не лечится?

Х: нет!

Х: все IPB ниже 2.0.4

Объясните мне, что мне надо пропатчить?

[nafigator]

Юзай eye patch.

 

Или вот ещё есть темка: Исправление уязвимостей форумов

[Aiwan]

Стоит все.[1123088051:1123088102]А что за патч такой? Можно ссылку?

[nafigator]

Стоит все.

Видимо не всё, раз тебя взломали.

 

А что за патч такой? Можно ссылку?

Модераторы пропишут. Если поиском не будешь пользоваться.

[-co-]

http://www.securityfocus.com/archive/1/407471

 

есть ли патч?

[d1pro]

ИМХО фигня, ну сработает оно и что? Заполучить данные из форума не получится же. Они же на другой странице объявлены...

[Joker]

Кстати вопрос к локализаторам, т.е. к русской команде, поддерживающей и продающей форум.

 

Вот все эти дыры и уязвимости фиксятся в дистрибутиве форума?

Или пока IPS не выпускает очередную версию или патч, все так и остается? т.е. сам ищи и исправляй?

[Anna]

ИМХО фигня, ну сработает оно и что? Заполучить данные из форума не получится же. Они же на другой странице объявлены...

<{POST_SNAPBACK}>

 

А пользовательские куки (те что от форума) на это странице будут недоступны разве?