Статистика по взломам Invision Power Board

[Din2]

GiV

Гут. Спасибо.

[NeGaTiVe]

А меня ломали. Я админ ресурса GTAForums.ru. Злоумышленники sql-инъекциями удалили все категории и темы, хоть сообщения и пользователи остались. Правда я тогда использовал 1.3.1, но после этого происшествия купил тут лицензию. Вот сейчас мучаюсь с частичным переносом базы с 1.3.1 на 2.0.4.

[Song]

2NeGaTiVe

 

это ж какие лазейки нужно иметь в коде, чтобы SQL инъекциями удалить! данные

[NeGaTiVe]

Хех. Ну версия-то старая - 1.3.1. Да и не обновлял я давно, так как уехал на месяц. А второй админ, блин, даже бэкапы не делал

[Alex]

>>>Советы по безопасности форумов и ресурса в целом

 

В этой статье наоборот было сказано, что в более ранних версиях безопасность выше.

 

У вас как я понял 1.3.1

[GiV]

Alex, а это не значит что ее не возможно сломать =)

Для интереса возьмите статистику по уязвимостям с того же seclab'a с момента появления 2-ой версии, и посмотрите для какой версии находились ошибки чаще.

Даже не лень посчитаю. Отсчетный период с выхода IPB 2.0.0 (21.9.2004)

 

Поехали:

1.3.х - 1, 2, 3

 

2.х.х - 1, 2, 3, 4, 5, 6, 7

 

Более чем в 2-а раза... Язык цифр... Попробуйте опровергнуть.

[Alex]

>>>Попробуйте опровергнуть.

Да запросто. Если бы они захотели поимели 1.3.х точно также по всем семи пунктам и даже больше.

 

А чисто мое мнение пока Invision был бесплатным они его просто не трогали так тщательно.

 

А с 2.х.х стал платным, вот и показывают что рано деньги стали брать, сперва дыры заделайте.

 

А VBulletin изначально был платным и даже по моему подешевле.

Но там другой подход. Более качественный что ли?

 

В общем цифры то говорят, но общие выводы по ним сделать не получиться.

[GiV]

>>>Попробуйте опровергнуть.

Да запросто. Если бы они захотели поимели 1.3.х точно также по всем семи пунктам и даже больше.

 

А чисто мое мнение пока Invision был бесплатным они его просто не трогали так тщательно.

 

А с 2.х.х стал платным, вот и показывают что рано деньги стали брать, сперва дыры заделайте.

 

Вы точно, что то курите по утрам. Что ж у нас за взломщики то пошли робин гуды такие.

 

Всегда ломают то что стоит у большого кол-ва людей в сети. phpBB она что платная?!? А почему я сплойты вижу каждый месяц...

 

Едем дальше http://www.securitylab.ru (наш любимый пример). Поиск по слову invision выдает аж 3-и страницы. Видать ломали на предыдущих 2-х страницах и не плохо ломали.

 

P.S речь шла про версии, последняя версия на данный момент всегда будет более уязвимой чем предыдущая. Взять даже вашу любимую (и некогда мной) vBulletin. Линейку 2.х.х сейчас практически никто не ломает. Потому что

а) в ней уже исправлено огромное количество дыр, и новые найти очень и очень тяжело

б) есть линейка 3.х.х, которая этим похвастаться не может и все внимание приковано к ней. Хотя доля 2.х.х и 3.х.х в сети практически равная. Может с небольшим перевесом в сторону 3.х.х

[X@MиЛь]

А мой форум сломали падонки мне кажеться просто сейчас очень сложно профиксить все! если бы форум ставить с момента его появления то можно было бы шагать в ногу со временем а шас новичку профиксить все баги нереально поэтому я и предлогал ИПБ выпускать патч безопасности (хотя бы за лавэ)

[Mitos]

> поэтому я и предлогал ИПБ выпускать патч безопасности

Исправление уязвимостей форумов

[X@MиЛь]

Митос ты меня не так понял. Там самый фанарный патч в котором даже не заделана дырка связаная с автологином! Я имел в виду патч выпускаемый IBResorce включающий в себя заплатки всех найденых дыр! Могли бы его продавать. Если б он стоил 10 -15 баксов то я бы нашол на него деньги, ибо вешь стоящая! (это при том что я бедный студент и мне всего 17 лет, а как бы его раскупали более взрослые люди...)

[Mitos]

> в котором даже не заделана дырка связаная с автологином!

2е сообщение снизу

 

Чесное слово я не могу понять логику - что 6 патчей латают , что один большой - кол-во операций (редактирование кода) не изменится то

[X@MиЛь]

Так ты хочешь сказать что всего 6 патчей и все дырки заделаны? Если да то пожалуйста кинь ссылки на эти патчи. Я всего 2 или 3 видел их и устанавливал...

[Mitos]

6 - чисто произвольное, от фонарное число призванное показать, что нет раздницы между несколькими маленькими работами и одной большой , состоящей из этих кусков

 

 

а ссылку я дал выше

[X@MиЛь]

Митос. В той теме что ты дал всего 5 постов? Ты хочешь сказать что это все дырки заделывает которые пока были найдены?

[Mitos]

Это не я ХОЧУ сказать

это GiV ГОВОРИТ (точнее пишет - но суть понятна)

[X@MиЛь]

да мне кажеться что он слишком мало дырок там описал. в теме про Уязвимости форумов там помоему больше пишут. Или я ошибюсь. Если он действительно описал все найденые дырки всего в 5 постах то уважение ему и тебе за то что наставил меня на путь истиный. пойду залатывать дыры...

[Song]

X@MиЛь

там просто очень часто говорят об одном и том же или даже о том, что уже давно забыто.

[Aiwan]

Меня только что сломали...

2 августа я взломал ваш форум - можете увидеть следы у себя в админке.

Взлом был осуществлен с помощью дырки в IPB 1.3 - SQL-injection. Для

защиты обновите форум до версии  2.0.5 минимум

За взлом извините!

[nafigator]

Насчёт 2.0.5 прикольно

[Mystic]

Да вломать можно что угодно, тут даже дыры не замечанные разработчика ни при чём, если у человека знания этого дела хорошие, то поблемы сломать не составит, ломают даже серверы Майкрософта ...

[Elfet]

Да! СКЛ-инешники!

[funky]

Если все вовремя патчить и не только патчить но и самому следить за безопастностью то все будет ok

Хотя бывало и с такими мерами взломать ПЫТАЛИСЬ.. но не успели ШЕлл был вовремя выловлен..

[freeman85]

Через форум не ломали.

 

Но был случай года пол назад, через CMSэку загрузили шел, хостер словил и отписался мол так и так обнаружили и удалили. Удачного вам дня.))

 

По сторонам осмотрелся, вроде ничего не успели натворить... обновился

Изменено 12 Ноября 2006 пользователем freeman85

[PAIN2]

Ломали. Через уязвимость в 2.1.6...