phpBB software - hacking

[Haldor]

Hei folkens.

Vi på 404 Not Found har blitt utsatt for hacking av vårt diskusjonsforum to ganger siste 6mnd. Første gang var november 2005 og forumet vårt lå da nede en stund før vi fikk det opp igjen i februar 2006. I går ble vi hacket på nytt.

Selve hackingen går ut på å erstatte vårt foruminnhold med ett nytt oppsett med en del religiøse antydningner. Gjenoppretting skjer som regel veldig greit når man har en fersk backup men kjedelig er det uansett.

Det har også siden oppstart i februar blitt registrert mange spam-melding på forumet vårt samt mange brukernavn-registreringer som linker til diverse pornorelaterte steder. Også kjedelig...

Så kommer jeg til spørsmålet mitt, er det noen som har god kjennskap til vbulletin sitt phpBB software som kan hjelpe oss med å gjøre stedet vårt sikrere? Jeg tenker da på tips/kjappe råd om hvordan vi kan bygge opp ett bedre immunforsvar slik at de siste hendelser blir en saga blott.

Jeg vet ikke om hackingen har skjedd via administrator login eller via bakdører i software. Vi kjører en gammel versjon..

Er det noen som vet hva det går i?

Mvh Haldor
404 Not Found

[Guest]

Dette kan jeg mye om

Du kan evt. ringe meg, tlf: 99 56 55 16. Lettere å ta en muntlig informasjon enn all denne skrivingen.

[Sam]

Vi er flere som har slitt med phpBB sikkerhet ...
Hos Notodden Modellflyklubb | Notodden Modellflyklubb er det implementert såpass mye ekstragreier at det har vært mindre arbeid å sikre installasjonen enn det er å oppgradere, for ikke snakke om installere annen software. Vi har blant annet SMS varsling som bruker phpBB's brukerautentisering hvor medlemmene kan varsle andre om når/hvor de er og flyr, HTML/Javascript/Iframe posting osv.

Før du gjør noen endringer har du selvfølgelig backup av filene du skal endre, ikke sant ??
Ormene(boter?) som lager nye brukere og poster porno/casino/sigarett reklame er veldig enkle å sperre ute, de poster direkte til profile.php hvor $_GET[agreed]="true", bytter du ut alle "true" med f. eks "spamfree_true" eller noe annet er du fiks rimelig fort. Neste problemet oppstår når botene blir smartere og sjekker hvilke variabler som finnes, i det tilfelle sjekker du for REFERER_URL, og nekter adgang til profile.php om referer er annen enn serveren selv.

For admin hackene, de som erstatter innhold, er en sikker og grei fiks en .htaccess fil (om du kjører Apache) hvor du setter passord på server nivå for katalogen, evt bare slipper inn enkelte IP adresser.

[caravelle]

har tatt i bruk ett nytt forum for Bodø Modellfly klubb og som er gratis . Du kan enkelt legge til div addons som bruker registering må skrive en tall kode . Og guest må være logget inn og skrive samme tallkode hvis dem skal poste . Hadde PHPBB en tid og var plaget med det samme porno reklamen . Nå har jeg ikke testet det så veldig mye , men hitill ser det bra ut .
Nå har vi ikke vært plaget med noe hackin sånt sett , bare den irriterende porno reklamen , casino saken . Men håper nå at jeg har blitt kvitt dem .

http://forum.bodomfk.net/index.php

Home of Open Source Free Forum Community Software

[esmel]

Vi på gomfk.com hadde også slike spam-boter som registrerte seg med diverse hjemmesider en kunne besøke... Dette ordnet seg etter at vi satte på den funksjonen hvor brukeren må "tyde" hva som står på et bilde (bokstaver og tall) i tillegg til den vanlige registreringen.

Det er ikke veldig vanskelig å bli kvitt dette bare en bruker de funksjoner som er anbefalt samt holder seg oppdatert og ikke minst oppdaterer forumet dersom det kommer ut slike sikkerhets patcher. De tar gjerne bare noen min å implementere.

Vi bruker simplemachines på kampforum.com med over 1000 brukere og har ikke problemer med slike spam-bot'er. Kan trygt anbefale simplemachines, men der også: sørg for å holde deg oppdatert mtp. sikkerhetshull osv.

En god host er også alfa og omega...

[Alfalfa]

Vi på gomfk.com hadde også slike spam-boter som registrerte seg med diverse hjemmesider en kunne besøke... Dette ordnet seg etter at vi satte på den funksjonen hvor brukeren må "tyde" hva som står på et bilde (bokstaver og tall) i tillegg til den vanlige registreringen.

Jepp.. Dette er en god løsning.. Teknikken kalles CAPTCHA..
(Et akronym for "Completely Automated Public Turing test to tell Computers and Humans Apart")...
Dette finnes som plugins til de fleste bb-systemer... Vet at phpBB v2.0.11 og nyere har det som standard...Oppgradere evt?? Mener å huske at det er mulig på vBulletin også..

[Haldor]

Takker for svar, venter nå på at de som drifter webserver skal gjenopprette databasen før jeg kan begynne å gå inn og mekke. Oppgradring av software er også under vurdering.

Mvh Haldor

[Haldor]

Da er forumet oppe igjen, måtte det vare lenge denne gang. Webhotell leverandøren fikk restaurert DB'n fra en backup de kjører. Jeg kjører selv backup men av en eller annen grunn så får jeg "No file was uploaded" når jeg går via MySQLAdmin. Gamle backuper fra 2003 funker derimot men her er jo det mye data som mangler. Filstørrelsen er også betydelig mindre, kanskje det har noe å si? (300-400kB anno 2003 vs 10MB idag)

Av software vi bruker så er det en gammel phpBB v.2.0.1 som ligger i bunn - dette er en ferdig pakke vi fikk via webhotell leverandør. Dvs at forumet er satt of via dem's brukerpanel. Mao jeg er blank på hvordan man går i dybden..

Hvordan oppdaterer man f.eks phpBB software når dette ligger på en ekstern server?

Hvis noen har kjappe tips for phpBB så del med deg

[Guest]

Du får mye hjelp på phpBB.no - Hovedside

[esmel]

Regner med at du har ftp tilgang...?
I såfall er det ikke så vanskelig å oppgradere det hele...om en bare vet hvordan..hehe Gå i såfall til hjemmesiden til phpBB og last ned siste versjon og les "Read Me" fila som følger med. Evnt. last ned såkalte patcher og installer en og en... De er ofte slik at en må innom alle versjonene, dvs om en skal fra versjon x.x.1 til x.x.5 så må en innom de foregående "releasene". Men dette står som regel forklart i "read me" filene som følger med.
HUSK BACKUP før du starter.

mysql er dårlig på håndtering av filer større enn 2MB (som oftest)

Dersom du kun har tilgang til forumets admindel kan du kanskje kontakte leverandøren og be de oppgradere phpBB for deg...

[Haldor]

Gikk inn på phpBB • Free and Open Source Forum Software i går og det finnes gode veiledninger der ja. Klubbmøte stod derimot på timeplanen så jeg hadde ikke sjangs til å sette ting igang da. Prøver igjen i kveld.