---

....af Bytehexx.
http://www.721.dk/phpBB2/index.php

Nu kan man jo sige at sikkerheden hos udbyderen ikke har været i orden, men
åbenbart ej heller forum softwaren

Er der nogen af jer sikkerheds gutter der er støt på det her før og kan
hjælpe mig igang igen ?


--
Rea721 AKA Leon Andrea

Scooter 45 sælges:
http://www.721.dk/scooter/scooter.doc

---

On 2005-08-28, Rea721 <skod3> wrote:
>
> Nu kan man jo sige at sikkerheden hos udbyderen ikke har været i orden, men
> åbenbart ej heller forum softwaren

Mener du at din udbyder skulle have forhindret dig i at bruge phpbb?

--
Andreas

---

I news:slrndh4an9.m30.apj@irq.dk
skrev Andreas Plesner Jacobsen følgende tekst:

> Mener du at din udbyder skulle have forhindret dig i at bruge phpbb?

Tåbeligt svar.

Jeg håber at der er andre der kan komme med lidt seriøs hjælp.

--
Rea721 AKA Leon Andrea

Scooter 45 sælges:
http://www.721.dk/scooter/scooter.doc

---

On 2005-08-28, Rea721 <skod3> wrote:
>
>> Mener du at din udbyder skulle have forhindret dig i at bruge phpbb?
>
> Tåbeligt svar.

Aha. Det var faktisk et spørgsmål.
Hvem har installeret softwaren?
Hvem har ikke opdateret softwaren da der blev fundet sikkerhedshuller i
den?

--
Andreas

---

I news:slrndh5lnu.m30.apj@irq.dk
skrev Andreas Plesner Jacobsen følgende tekst:

>> Tåbeligt svar.

> Aha. Det var faktisk et spørgsmål.

Det var et af de sædvanlige arrogante svar (modspørgsmål?) som _ikke_
hjælper spørgeren (mig) med det akutte problem.

> Hvem har installeret softwaren?

Det har jeg.

> Hvem har ikke opdateret softwaren da der blev fundet sikkerhedshuller
> i den?

Det har jeg, ikke at jeg var bekendt med sikkerheds problemet, men det er jo
igen min egen skyld.

De to spørgsmål kendte du jo udemærket svaret på med 99,9 % sikkerhed og for
mig at se er den type arogante og tåblige svar ikke noget der hjælper mig og
andre der stiller spørgsmål i den her gruppe når det står alene.

Har dit svar / spørgsmål hjulpet mig med mit problem ? Nej.
Sider jeg med en følelse af at du blot Pi**** mig op og ned ad ryggen? Ja.

Jeg er interresseret i at få forummet op at stå igen da jeg kan se at data
umiddelbart virker intakte. En løftet pegefinger (heads up) om at holde den
slags opdateret ville være passende _efter_ en konkret hjælp.


--
Rea721 AKA Leon Andrea

Scooter 45 sælges:
http://www.721.dk/scooter/scooter.doc

---

On 2005-08-29, Rea721 <skod3> wrote:
>
>>> Tåbeligt svar.
>
>> Aha. Det var faktisk et spørgsmål.
>
> Det var et af de sædvanlige arrogante svar (modspørgsmål?) som _ikke_
> hjælper spørgeren (mig) med det akutte problem.

Er jeg da forpligtet til dette i en _debat_gruppe?
Jeg blev forarget over at du som udgangspunkt stillede spørgsmålstegn
ved sikkerheden hos din udbyder uden at have nogen grund til dette.

>> Hvem har ikke opdateret softwaren da der blev fundet sikkerhedshuller
>> i den?
>
> Det har jeg, ikke at jeg var bekendt med sikkerheds problemet, men det er jo
> igen min egen skyld.

Præcis. Hvor kommer "Nu kan man jo sige at sikkerheden hos udbyderen
ikke har været i orden" så fra?

> De to spørgsmål kendte du jo udemærket svaret på med 99,9 % sikkerhed og for
> mig at se er den type arogante og tåblige svar ikke noget der hjælper mig og
> andre der stiller spørgsmål i den her gruppe når det står alene.

http://www.catb.org/~esr/faqs/smart-questions.html

> Sider jeg med en følelse af at du blot Pi**** mig op og ned ad ryggen? Ja.

Lad mig forsikre dig om at det ikke var hensigten.

> Jeg er interresseret i at få forummet op at stå igen da jeg kan se at data
> umiddelbart virker intakte. En løftet pegefinger (heads up) om at holde den
> slags opdateret ville være passende _efter_ en konkret hjælp.

Som de sagde i en af Alien-filmene: "Nuke the site from orbit! It's the
only way to be sure." - få din udbyder til at genskabe det fra den
seneste ikke-kompromitterede backup (som du selvfølgelig ikke kan være
sikker på), opdater til en sikker version af phpbb, og gennemgå alle
brugerrettigheder for at se om der evt skulle have sneget sig en ny
superbruger ind.

Hvis du vil være helt sikker, så slet hele lortet og start forfra. Når
du først er kompromitteret er det for sent at sikre systemet.

--
Andreas

---

I news:slrndh65bg.m30.apj@irq.dk
skrev Andreas Plesner Jacobsen følgende tekst:

>> Det var et af de sædvanlige arrogante svar (modspørgsmål?) som _ikke_
>> hjælper spørgeren (mig) med det akutte problem.

> Er jeg da forpligtet til dette i en _debat_gruppe?

Næh, bare du heller ikke havde følt dig forpligtiget til at svare med et
modspørgsmål som ikke hjælper overhovedet.

> Jeg blev forarget over at du som udgangspunkt stillede spørgsmålstegn
> ved sikkerheden hos din udbyder uden at have nogen grund til dette.

Så skriv da for pokker det, jeg er ikke tankelæser.
Men du har da ret i at det formentligt ikke har noget med udbyderen at gøre
og at jeg derfor ikke burde ha antydet at det kunne være tilfældet. Men jeg
er kun en dum bruger der ikke anede hvor nøjagtigt problemet var eller
er. I princippet er jeg ej heller interresseret i de tekniske detaljer, blot
at få forummet op at stå igen og måske nogle råd til hvad _jeg_ kan gøre for
at det ikke sker igen.

> Præcis. Hvor kommer "Nu kan man jo sige at sikkerheden hos udbyderen
> ikke har været i orden" så fra?

Uvidenhed?

> http://www.catb.org/~esr/faqs/smart-questions.html

Smart site, og hvis du lever eller svare efter den ånd forstår jeg godt dit
svar. Det er bare lidt ærgeligt at dumme brugerer som mig ikke kan stille et
åbenbart forkert og dumt spørgsmål.

>> Sider jeg med en følelse af at du blot Pi**** mig op og ned ad
>> ryggen? Ja.

> Lad mig forsikre dig om at det ikke var hensigten.

Okay, måske ramte du blot ved siden af, for jeg er stadig våd.

> Som de sagde i en af Alien-filmene: "Nuke the site from orbit! It's
> the only way to be sure." - få din udbyder til at genskabe det fra den
> seneste ikke-kompromitterede backup (som du selvfølgelig ikke kan være
> sikker på), opdater til en sikker version af phpbb, og gennemgå alle
> brugerrettigheder for at se om der evt skulle have sneget sig en ny
> superbruger ind.

Ja, det må jeg lige ha checket.

> Hvis du vil være helt sikker, så slet hele lortet og start forfra. Når
> du først er kompromitteret er det for sent at sikre systemet.

Det svar var ikke liiiige det jeg havde håbet, men det kan være at det blir
resultatet, tak for svaret.

Også til andre svar i tråden.

--
Rea721 AKA Leon Andrea

Scooter 45 sælges:
http://www.721.dk/scooter/scooter.doc

---

Den Mon, 29 Aug 2005 17:11:25 +0200 skrev Rea721:
> I news:slrndh65bg.m30.apj@irq.dk
> skrev Andreas Plesner Jacobsen følgende tekst:
>
> Næh, bare du heller ikke havde følt dig forpligtiget til at svare med et
> modspørgsmål som ikke hjælper overhovedet.
>
>> Jeg blev forarget over at du som udgangspunkt stillede spørgsmålstegn
>> ved sikkerheden hos din udbyder uden at have nogen grund til dette.
>
> Så skriv da for pokker det, jeg er ikke tankelæser.

Det er Andreas nok heller ikke, derfor spørger han INDEN han påstår
at at du ikke havde nogen grund.

> Men du har da ret i at det formentligt ikke har noget med udbyderen at gøre
> og at jeg derfor ikke burde ha antydet at det kunne være tilfældet. Men jeg
> er kun en dum bruger der ikke anede hvor nøjagtigt problemet var eller
> er. I princippet er jeg ej heller interresseret i de tekniske detaljer, blot
> at få forummet op at stå igen og måske nogle råd til hvad _jeg_ kan gøre for
> at det ikke sker igen.
>
>> Præcis. Hvor kommer "Nu kan man jo sige at sikkerheden hos udbyderen
>> ikke har været i orden" så fra?
>
> Uvidenhed?

Det har jeg svært ved at erklære mig enig i, havde det været uvidenhed
skulle vi have forklaret dig hvorfor det ikke havde noget med udbyderen
at gøre. Men det klarede du jo fint selv at forklare.

>> Hvis du vil være helt sikker, så slet hele lortet og start forfra. Når
>> du først er kompromitteret er det for sent at sikre systemet.
>
> Det svar var ikke liiiige det jeg havde håbet, men det kan være at det blir
> resultatet, tak for svaret.

Medmindre du kan sige med sikkerhed hvad de har ændret og hvad de ikke
har (hvilket nok kræver at det er muligt at logge ind med en ikke-
kompromiteret konto for at checke), er det eneste udvej. Ellers er
der stor sandsynlighed for at du har overset en bagdør, og de vil være
tilbage kort efter oprydningen.

Mvh
Kent
--
Hard work may pay off in the long run, but laziness pays off right now.

---

On Mon, 29 Aug 2005 15:50:43 +0200, "Rea721" <skod3[remove]@721.dk>
wrote:

>
>Jeg er interresseret i at få forummet op at stå igen da jeg kan se at data
>umiddelbart virker intakte. En løftet pegefinger (heads up) om at holde den
>slags opdateret ville være passende _efter_ en konkret hjælp.

Hvis du skal have det op at køre igen, er det første du skal gøre at
tage en backup af databasen, så du ikke risikerer at miste mere.

Hvis du ikke har moddet noget ved din gamle installation, bør du bare
kunne installere forfra, og til slut indlæse database backuppen, hvis
den nye installation skulle finde på at slette den gamle database.

Altså, backup inden du gør nogen som helst forsøg.
Tag også backup af det der stadig er af php filer.

--
Jens G
IP telefoni med www.musimi.dk - slet ikke så svært.

---

Rea721 wrote:
> Det var et af de sædvanlige arrogante svar (modspørgsmål?) som _ikke_
> hjælper spørgeren (mig) med det akutte problem.

Jeg var også fristet til at stille sammespørgsmål, specielt pga. din
påstand omkring din udbyders manglende sikkerhed, samtidigt med
du ikke evner at kikke på www.phpbb.com for at finde information om
problemet.

>> Hvem har installeret softwaren?
> Det har jeg.

Godt, så er det jo dig der skal rette fejlen.

>> Hvem har ikke opdateret softwaren da der blev fundet sikkerhedshuller
>> i den?

> Det har jeg, ikke at jeg var bekendt med sikkerheds problemet, men det
> er jo igen min egen skyld.
>
> De to spørgsmål kendte du jo udemærket svaret på med 99,9 % sikkerhed og
> for mig at se er den type arogante og tåblige svar ikke noget der
> hjælper mig og andre der stiller spørgsmål i den her gruppe når det står
> alene.

Din påstand om udbyderens manglende sikkerhed, medføre man ikke er 100%
med i hvad du mener.

> Har dit svar / spørgsmål hjulpet mig med mit problem ? Nej.
> Sider jeg med en følelse af at du blot Pi**** mig op og ned ad ryggen? Ja.

Ja. Det er nok ikke udbyderen der har et problem.

> Jeg er interresseret i at få forummet op at stå igen da jeg kan se at
> data umiddelbart virker intakte. En løftet pegefinger (heads up) om at
> holde den slags opdateret ville være passende _efter_ en konkret hjælp.

Slet alt på sitet...det er for nemt at lave en bagdør.

I teorien er det nok at slette script baseret filer, men på en IIS kan
du fx gemme bagdøren i ADS filstrukturen i fx et GIF-image.

Installere derefter den nyeste version, se evt.
http://www.phpbb.com/security/

Tilmeldt deres nyhedsbrev, så du får besked næste gang:
http://www.phpbb.com/downloads.php

Personligt ville jeg nok vælge et andet mere simpelt system.

---

Rea721 wrote:
> Jeg er interresseret i at få forummet op at stå igen da jeg kan se at
> data umiddelbart virker intakte. En løftet pegefinger (heads up) om at
> holde den slags opdateret ville være passende _efter_ en konkret hjælp.

Nogen ville nok også mene at ordentlig korrekt beskrivelse af problemts
beskaffenhed ville være passende _inden_ hjælp kan opnås.

Når du siger at sikkerheden hos udbyderen ikke har været i orden, og det
så tydeligvis ikke har noget med sagen at gøre, gør du det heller ikke
nemmere at hjælpe dig.

Peter

---

Rea721 wrote:
> I news:slrndh4an9.m30.apj@irq.dk
> skrev Andreas Plesner Jacobsen følgende tekst:
>
>> Mener du at din udbyder skulle have forhindret dig i at bruge phpbb?
>
>
> Tåbeligt svar.

Det er da ikke et tåbeligt svar. Hvad får dig til at tro at det er i
PHP-installationen og ikke i PHPBB problemet ligger? Du er da muligt at
det er rigtigt, men hvis det er, så har du da ikke fortalt hvor du ved
det fra.
Hvem har installeret PHPBB?

Peter

---

In article <43122a71$0$179$edfadb0f@dtext01.news.tele.dk>, Rea721 wrote:
> ...af Bytehexx.
> http://www.721.dk/phpBB2/index.php
>
> Nu kan man jo sige at sikkerheden hos udbyderen ikke har været i orden, men
> åbenbart ej heller forum softwaren
>
> Er der nogen af jer sikkerheds gutter der er støt på det her før og kan
> hjælpe mig igang igen ?

Ja, softwaren er ikke opgraderet, og det er utilgiveligt sjusk.
Du beder udbyderen om at lægge den seneste backup tilbage, og patche
systemet.

Hvis han ikke har en backup kopi, så har du konstateret det er en useriøs
udbyder, og du bør finde en anden.

---

Povl H. Pedersen <povlhp@acomputer.home.terminal.dk> skrev 2005-08-29:
> Hvis han ikke har en backup kopi, så har du konstateret det er en useriøs
> udbyder, og du bør finde en anden.

Det kan man ikke konstatere. Det kommer an på hvad han er blevet lovet
af udbyderen.

Martin
--
Besøg http://www.adsltips.dk for guider til
ADSL og opsætning af Cisco/Zyxel/Aethra routere.
Alt jeg skriver på usenet er mine egne personlige meninger
med mindre andet er angivet.

---

I news:slrndh5fde.mif.news2005@paragon.adsltips.dk
skrev Martin Schultz følgende tekst:

> Det kan man ikke konstatere. Det kommer an på hvad han er blevet lovet
> af udbyderen.

Det er først i en sådan situation at man finder ud af at "Vi tar backup èn
gang i døgnet" betyder.... kun til b-one's eget brug og ikke til at hjælpe
kunderne, iflg deres support.

--
Rea721 AKA Leon Andrea

Scooter 45 sælges:
http://www.721.dk/scooter/scooter.doc

---

On Mon, 29 Aug 2005 17:28:04 +0200, "Rea721" <skod3[remove]@721.dk>
wrote:

>I news:slrndh5fde.mif.news2005@paragon.adsltips.dk
>skrev Martin Schultz følgende tekst:
>
>> Det kan man ikke konstatere. Det kommer an på hvad han er blevet lovet
>> af udbyderen.
>
>Det er først i en sådan situation at man finder ud af at "Vi tar backup èn
>gang i døgnet" betyder.... kun til b-one's eget brug og ikke til at hjælpe
>kunderne, iflg deres support.

Men hvis din database stadig er intakt, og du ikke har lavet ændringer
til scriptets php filer, er arbejdet med at genskabe sitet da
begrænset, også uden b-ones backup.

--
Jens G
IP telefoni med www.musimi.dk - slet ikke så svært.

---

Jens G wrote:
> Men hvis din database stadig er intakt, og du ikke har lavet ændringer
> til scriptets php filer, er arbejdet med at genskabe sitet da
> begrænset, også uden b-ones backup.

Hvad sker der hvis man ikke finder en evt. bagdør?

---

On Mon, 29 Aug 2005 22:00:12 +0200, "Christian E. Lysel"
<sunsite.dk@spindelnet.dk> wrote:

>Jens G wrote:
>> Men hvis din database stadig er intakt, og du ikke har lavet ændringer
>> til scriptets php filer, er arbejdet med at genskabe sitet da
>> begrænset, også uden b-ones backup.
>
>Hvad sker der hvis man ikke finder en evt. bagdør?

Jeg har ikke hørt om at der har været lagt bagdøre i bhpbb databaser.
Det er jo data man henter derfra. Det aktive ligger i php scriptet.

Man skal selvfølgelig se efter om der er blevet oprettet brugere og
administratorer man ikke kender til, og skifte alle passwords. Også
det til databasen.

Lad os nu høre fra Rea721 om databasen i det hele taget er intakt. Jeg
kan se at han har gang i et eller andet.

--
Jens G
IP telefoni med www.musimi.dk - slet ikke så svært.

---

On Tue, 30 Aug 2005 08:21:01 +0200, Jens G <jens@no.spam.for.me.pls>
wrote:

>Jeg har ikke hørt om at der har været lagt bagdøre i bhpbb databaser.
>Det er jo data man henter derfra. Det aktive ligger i php scriptet.

Det kommer jeg til at tage i mig igen.
Det kan/har kunnet lade sig gøre at lægge html kode i databasen, der
vil forsøge at installere trojans/keyloggers på besøgendes maskiner.

Der står lidt om at fjerne det her:
http://www.ezhostingexpress.com/support/myadmin/forum.html

Derudover står der masser om hacking, og hvordan man kan slippe af med
slamberterne, i phpbb's forum. Rea711 kan søge på backdoor database i
forumet, og hakke af i Search for all terms.

--
Jens G
IP telefoni med www.musimi.dk - slet ikke så svært.

---

Jens G wrote:
> On Tue, 30 Aug 2005 08:21:01 +0200, Jens G <jens@no.spam.for.me.pls>
> wrote:
>>Jeg har ikke hørt om at der har været lagt bagdøre i bhpbb databaser.
>>Det er jo data man henter derfra. Det aktive ligger i php scriptet.

Hvem forhindre angriberen i at ligge bagdøre i et
PHP/Perl/*sh/CGI/ectetera eller i det lokale operativ system, i web
serveren, i database serveren, i forumets scripts, i phpMyAdmin, etcetera?

Hvis serveren er sat fornuftigt op vil en del af ovenstående punkter
ikke være muligt uden at udnytte et sikkerhedshul.

> Det kommer jeg til at tage i mig igen.
> Det kan/har kunnet lade sig gøre at lægge html kode i databasen, der
> vil forsøge at installere trojans/keyloggers på besøgendes maskiner.

Det er fx et eksempel blandt mange.

> slamberterne, i phpbb's forum. Rea711 kan søge på backdoor database i
> forumet, og hakke af i Search for all terms.

Hvis det finder en bagdør er man heldig. Kun fantasien sætter grænser
for hvor man kan placere en bagdør.

---

I news:4313f6ce.2742734@dtext.news.tele.dk
skrev Jens G følgende tekst:

> Lad os nu høre fra Rea721 om databasen i det hele taget er intakt. Jeg
> kan se at han har gang i et eller andet.

Jeg har ikke gang i så meget men db ser ud til at være ok. Da jeg fatter
kegle mht bagdøre, Keyloggerer osv afventer jeg en kammerat's hjemkomst fra
England på fredag, så får han lov til at hjælpe mig
Jeg skal ikke ha pillet ved noget jeg ikke har forstand på, tænk nu hvis jeg
gør det være end nødvendigt.


--
Rea721 AKA Leon Andrea

Scooter 45 sælges:
http://www.721.dk/scooter/scooter.doc

---

Rea721 wrote:
> Da jeg
> fatter kegle mht bagdøre, Keyloggerer osv afventer jeg en kammerat's

En bagdør er en simpel måde at få adgang til et system uden om den
normale vej.

I dit eksempel kan det fx være ved at rette i et php-script, således
at angriberen kan udfører kommandoer på maskinen.

Min pointe med bagdøre er at de kan placeres så man ikke kan se dem,
derfor stol ikke på noget og start forfra.

Evt. kan en backup af data, fx databasen bruges, hvis den er fra før
angrebet, hvilket kan være svært at se. At lave sådan antagelser kræver
stor viden om systemmet, så generelt vil min anbefalding være at starte
forfra, hvis du tager sikkerheden seriøst.

> hjemkomst fra England på fredag, så får han lov til at hjælpe mig

Har du tænkt dig at lade et sårbart websted være tilgændeligt i så lang
tid. Hvad siger webmasteren til det?

> Jeg skal ikke ha pillet ved noget jeg ikke har forstand på, tænk nu hvis
> jeg gør det være end nødvendigt.

---

On Tue, 30 Aug 2005 21:17:58 +0200, "Christian E. Lysel"
<sunsite.dk@spindelnet.dk> wrote:

>I dit eksempel kan det fx være ved at rette i et php-script, således
>at angriberen kan udfører kommandoer på maskinen.
>
>Min pointe med bagdøre er at de kan placeres så man ikke kan se dem,
>derfor stol ikke på noget og start forfra.

Der er bare ikke sammenhæng i det her. Hvis brugeren rent faktisk
ligger på et webhotel, hvor php kan afvikle kommandoer, vil han ikke
kunne være sikker på at der ikke fortsat er en kommando kørende, der
sender output (fx database-dumps) ud af huset. I så fald vil det ikke
være nok for brugerens at slette alle filer og databaser med ftp og
smide tingene op igen.

--
- Peter Brodersen

---

I news:4314b0e8$0$2348$edfadb0f@dread11.news.tele.dk
skrev Christian E. Lysel følgende tekst:

> Har du tænkt dig at lade et sårbart websted være tilgændeligt i så
> lang tid. Hvad siger webmasteren til det?

Han siger at der ikke er andet at gøre end at vente...webmaster er også mig


Pt er der ingen der _ved_ om der er nogle bagdører eller andet snavs. Jeg
vælger indtil vidre at tro at der ikke er noget snavs fordi det vil være
idiotisk at ødelægge et debatforum og reklamere med det, for at lægge en
bagdør ind, når de ligeså godt kunne gøre det i stilhed.

--
Rea721 AKA Leon Andrea

Scooter 45 sælges:
http://www.721.dk/scooter/scooter.doc

---

Rea721 wrote:
> Han siger at der ikke er andet at gøre end at vente...webmaster er også
> mig

Det ser ellers ud som der er B-one der er webmaster, dvs. driver
webserveren.

> Pt er der ingen der _ved_ om der er nogle bagdører eller andet snavs.
> Jeg vælger indtil vidre at tro at der ikke er noget snavs fordi det vil
> være idiotisk at ødelægge et debatforum og reklamere med det, for at
> lægge en bagdør ind, når de ligeså godt kunne gøre det i stilhed.

Hvis jeg var en sådan person, ville jeg oprette en bagdøren for at kunne
ødelægge dit debatforum og reklamere med det igen, efter du har
rettet de oprindelige sikkerhedshuller.

---

I news:4314cb15$0$95436$edfadb0f@dread11.news.tele.dk
skrev Christian E. Lysel følgende tekst:

> Det ser ellers ud som der er B-one der er webmaster, dvs. driver
> webserveren.

Webmaster er mig, det er mig der er ansvarlig for indholdet på sitet.

B-one er web-hotel-udbyder

Hvad B-one ellers siger ved jeg ikke, men de er informeret om situationen.

> Hvis jeg var en sådan person, ville jeg oprette en bagdøren for at
> kunne ødelægge dit debatforum og reklamere med det igen, efter du har
> rettet de oprindelige sikkerhedshuller.

Tja, det må jeg prøve at ta højde for på fredag.

--
Rea721 AKA Leon Andrea

Scooter 45 sælges:
http://www.721.dk/scooter/scooter.doc

---

Rea721 wrote:
> Webmaster er mig, det er mig der er ansvarlig for indholdet på sitet.

Det virker ikke som om du er dit ansvar bevidst.

---

I news:4315c2ce$0$269$edfadb0f@dread11.news.tele.dk
skrev Christian E. Lysel følgende tekst:

> Det virker ikke som om du er dit ansvar bevidst.

Det kan du ha ret i, men det er ikke noget jeg ønsker at debaterer med dig.

--
Rea721 AKA Leon Andrea

Scooter 45 sælges:
http://www.721.dk/scooter/scooter.doc

---

Rea721 <skod3> skrev 2005-08-28:
> ...af Bytehexx.
> http://www.721.dk/phpBB2/index.php
>
> Nu kan man jo sige at sikkerheden hos udbyderen ikke har været i orden, men
> åbenbart ej heller forum softwaren

Medmindre det er udbyderen der har forsynet dig med phpBB2 er det dig og
ikke dem der ikke har styr på sikkerheden.

phpBB2 har haft en del sikkerhedsfejl og du har glemt at opgradere når
de blev rettet

>
> Er der nogen af jer sikkerheds gutter der er støt på det her før og kan
> hjælpe mig igang igen ?

Skift til et andet board med en bedre sikkerheds historik eller sørg for
at holde dit board software opdateret.

Martin
--
Besøg http://www.adsltips.dk for guider til
ADSL og opsætning af Cisco/Zyxel/Aethra routere.
Alt jeg skriver på usenet er mine egne personlige meninger
med mindre andet er angivet.

---

On Sun, 28 Aug 2005 23:16:49 +0200, "Rea721" <skod3[remove]@721.dk>
wrote:

>...af Bytehexx.
>http://www.721.dk/phpBB2/index.php
>
>Nu kan man jo sige at sikkerheden hos udbyderen ikke har været i orden, men
>åbenbart ej heller forum softwaren

Som med al anden software gælder det om at få opdateret når der
opdages sikkerhedshuller, og det kommer patches til dem.

Pphbb har været et meget yndet hackermål, og det skyldes sikkert ikke
at det er mere hullet end så mange andre BB scripts man kan finde på
nettet, men mere at det er så udbredt. Lidt ligesom at det åbenbart er
sjovere at angribe Windows end Mac OS.

--
Jens G
IP telefoni med www.musimi.dk - slet ikke så svært.

---

On Mon, 29 Aug 2005 09:52:05 +0200, Jens G <jens@no.spam.for.me.pls>
wrote:

>Pphbb har været et meget yndet hackermål, og det skyldes sikkert ikke
>at det er mere hullet end så mange andre BB scripts man kan finde på
>nettet, men mere at det er så udbredt.

Ikke?

Koden er yderst bekymrende. preg-replace-kode, der eval'er noget andet
preg-replace-kode med brugerinput. Kildeteksten angiver, at "det var
noget kode, de fandt et sted til at highlighte søgeresultater. Da der
var sikkerhedsproblemer, tilføjede de en addslashes, hvilket
sandsynligvis løser problemerne ud fra en trial-and-error-metode.
eval() flere steder, igen med brugerinput. Sikkerhed består nogle
steder i at fjerne "eval" i input, men for en god ordens skyld
erstatte "medieval" med "mediaeval" for ikke at ødelægge alt for mange
debatter.

Er database-serveren utilgængelig, vælter det ud med fejlmeddelelser
og brugerstier. Returværdier for database-connections tjekkes
tilsyneladende ikke ordentligt.

Når vi taler om et projekt, der i så høj grad arbejder med brugerinput
(søgninger, indlæg, vedhæftede filer, themes, lettere html, etc.), så
bør tilgangsvinklen også være derefter. Det er jeg ikke overbevist om
har været tilfældet med phpbb.

--
- Peter Brodersen