Уязвимости форумов Invision Power Board

[Sannis]

Или болия жестокий

<?php
$filename = "C:\WINDOWS\explorer.exe";
unlink ($filename);
?>

Ну второй это токо для виндовс

И состандартным путем

Решили пошутить? В курсе, что php код на сервере выполняется? Так что хакеру ничего страшного php сделать не может, а вот если у хостера админы плохие или у вас собственный сервер...

[U-N-O]

Или болия жестокий

<?php
$filename = "C:\WINDOWS\explorer.exe";
unlink ($filename);
?>

Ну второй это токо для виндовс

И состандартным путем

Решили пошутить? В курсе, что php код на сервере выполняется? Так что хакеру ничего страшного php сделать не может, а вот если у хостера админы плохие или у вас собственный сервер...

Ну так это пример

[Asmodey]

А как исправить в баг с доступностью метода "TRACE"?

http://www.cgisecurity.com/articles/xss-faq.shtml

 

 

1) Запретить выполнение этого метода. В httpd.conf установить директиву

TraceEnable off

Правильное ли это решение?

 

 

А то моему сайту угрожают таким образом...

 

У вас на форуме есть уязвимости... одна из них - Доступность метода "TRACE"... именно этим я наверно и воспользуюсь...

Описание:

Удаленный пользователь может выполнить XSS нападение, используя HTTP TRACE запросы

С помощью использования метода TRACE в протоколе HTTP возможно выполнение атаки межсайтовый скриптинг.

подробней можете узнать зайдя по ссылке http://www.cgisecurity.com/articles/xss-faq.shtml

[Arhar]

имхо дурят тебя, подсовывая красивый текст про xss на английском языке, правда про trace там ни слова нет

[Tim]

в сегодняшнем обновлении ошибка - не хватает закрывающейся скобки в function check_xss_infile()

[GiV]

Исправлено, спасибо.

[zeny773]

в сегодняшнем обновлении ошибка

Ясно. А я то думаю, почему после установки патча, при загрузке файлов стало выдавать "неудачная загрузка. Обратитесь к Админу за помощью".

[vov41k]

У меня вот такая проблема: я создал сайт и поставил форум 2,1,7

Мой пользователь находится в группе администрации, но там еще есть такая группа как Root Admin , я же должен быть в той группе! И у меня нет пару прав на редактирования форума! Как переместить мой акаун у группу Root Admin???

[lirta]

У меня вот такая проблема: я создал сайт и поставил форум 2,1,7

Мой пользователь находится в группе администрации, но там еще есть такая группа как Root Admin , я же должен быть в той группе! И у меня нет пару прав на редактирования форума! Как переместить мой акаун у группу Root Admin???

Продвижение группы? потому что выше тебя на форуме никого. Двигать некуда..

[Fox Mulder]

захожу сегодня в админку а там в хаметках написано:

Здорово, для начала поменяйте все пароли, и вернись к линейке 2.1 (2.1.7 она самая надёжная) все версии 2.2.x легко ложатся.

 

PS.Никаких спам рассылок я не осуществлял бд и нах не нужна, так что не беспокойся, обнови пароли в базе, админ и модер состава, сделай рассылку юзерам, что нужно сменить пасс и переходи к 2.1.7.

 

Будь бдителен уделяй больше внимания безопасности форуму ну и ресурсу в целом

Я позавчера делал чистку папок и случанйо убрал .хтацесс. Вот результат, незнаю как он сломал конечно... ИП с которого он логинился в админку не сопоставляется ни с одним юзером.

 

У меня вопрос что делать, несмотря на то что он типа просто предупредил, он же мог подсунуть в любой скин, файл да вообще куда угодно "сюрприз" или еше чота натворить в админке и теперь меняй или не меняй пароли толку 0...

 

подскжаите плиз

 

Что особенно интересно, он сначала авторизовался с логиным равным имени моей базы и ее пароля!!! де он их взял - хз!

а потмо уже под моим логином админа и пароля того же, он просто у меня такой же как и от базы

[Arhar]

напугали тебя имхо

подобрал чувак твой пароль, и версия не причем тут

[Fox Mulder]

напугали тебя имхо

подобрал чувак твой пароль, и версия не причем тут

да вряд ли... он имя моей базы мускула знал до того как зашел первый раз в админку...

[Arhar]

1. В базе пароли хранятся в хэшированом виде, если у тебя пароль состоял не из одних цифр и был длинным, то он не мог его получить через уязвимости, мог только войти на индекс, но никак не в админку.

2. Имя базы еще ничего не дает.

[Fox Mulder]

был только из цифр - 7 штук) но не облом ли подбирать .. это ж времени сколько...

 

ну понятно что не дает... но узнать его не так и легко тоже.

[Arhar]

только из цифр, 7 штук - подбирать минут 5

[dfc_darkman]

Пароль из цифр - это же нужно додуматься. )) он получил мд5 хеш твоего пароля через дырку, наверное и просто подобрал в программке. А реаел - это 5 минут для пароля из цифр.

[Zions]

У меня вот такая проблема: я создал сайт и поставил форум 2,1,7

Мой пользователь находится в группе администрации, но там еще есть такая группа как Root Admin , я же должен быть в той группе! И у меня нет пару прав на редактирования форума! Как переместить мой акаун у группу Root Admin???

Продвижение группы? потому что выше тебя на форуме никого. Двигать некуда..

 

Всё делай в своей базе через phpmyadmin находишь таблицу `ibf_members` в ней свой ник (name) правь его третье поле с верху mgroup должно быть 4 если после этого ты до сих пор не root admin зайди в директорию твоего форума найди и открой файл conf_global.php проверь $INFO['admin_group'] там выстави 4

[SplideX]

у меня форум 2.1.7

какая-то сволоч лазит под поим ником, оскорбляет пользователей и удаляет сообщения.

как это лечить?

[Arhar]

сменить себе пароль для начала

на длинный (>8 символов) типа QhRx123ytu

 

 

P.S. да, неслабо сказал....

[Sannis]

у меня форум 2.1.7

Тот что в подписи? Приведите сначала копирайты в порядок. (Не поверю что купили за $275)

 

как это лечить?

Ставить все исправления безопасности и соблюдать осторожность.

[SplideX]

я пароль меняю - всё равно такая же фигня

я поставил все обновления, что тут публиковались.

 

злоумышленник не может попасть в админку, видимо у него только хеш пароля, но как он его достает?

[Arhar]

так...

есть ли подозрительные файлы на сервере?

есть ли подозрительные аватары в темах(красный крестик)?

узнай ип адрес злоумышленника

[Denny]

IBRes молчит, а у IPS уже третьи сутки информация о межсайтовом скриптинге висит.

 

Источник

[SergOZ]

Ещё одна http://forums.invisionpower.com/index.php?showtopic=235316

[Arhar]

а все из-за того, что защиту от дурака никто не думает делать

именно эта уязвимость - халатность