OffTopic: PhpBB og hacking

Helge S · Post by **Helge S** » Fri 10 Mar, 2006 18:04

Mattis.... tør jeg spørre om hvilken versjon av phpBB dette forum nå kjører på?

Noen har kanskje fått med seg at phpBB som "bulletin board motor" har det litt som Microsoft Internet Explorer, Outlook osv osv = er desidert mest populær å hacke. Siste forum i Norge nå som opplevde et lite helvete med totalt ødelagt forum for bare få dager siden, var båtfabrikanten Viksund med sitt phpBB "båtpraten" som kjørte på en kun ca 1 år gammel versjon av phpBB.

Jeg skal ikke spekulere så mye over hvorfor phpBB (som også dette CX klubbens forum er bygget på) er mest populært blant hackere (fremfor andre forum som Invision, Yabb, ThWboard m.fl.). Men det ligger nok noe i at det er mye utbredt fordi det faktisk er blant de aller enkleste å sette opp pluss at php formatet også er litt utsatt.

For phpBB sin del er vel nå siste versjon 2.0.19 som foreløpig ikke har kjente alvorlige sikkerhetshull. De foregående versjoner har rapportert følgende sikkerhetshull:
Deletion of shadow topic links by non moderators in version 2.0.18
Cross site scripting in uploaded image files in version 2.0.18
Cross site Scripting in Avatars in version 2.0.16

Hull for cross site scripting anses som ganske alvorlige sikkerhetshull og er for enkelte webhotell leverandører faktisk grunn nok til at de umiddelbart STENGER websiden/forumet inntil kunden har oppgradert til nyere versjon av forumet uten dette sikkerhetshullet. CX klubben skal kanskje i så måte være glad at Mattis velvillig er vert for forumet :D

Jeg går ellers ut fra at du har full kontroll Mattis og blant annet tar jevnlige backup av forumet

God helg i finværet !

dagmatti · Post by **dagmatti** » Fri 10 Mar, 2006 21:10

Oh, godt vi har fått off topic seksjon her, for dette var virkelig det. :D

Forumet vil bli oppdatert når det er noe nyere å oppgradere til. Backup er tatt med to/tre dagers mellomrom, men rutinene her vil bli endret radikalt straks jeg får ut fingeren. :D

-mattis

Citroencx · Post by **Citroencx** » Sat 11 Mar, 2006 04:23

Helge S wrote:Mattis.... tør jeg spørre om hvilken versjon av phpBB dette forum nå kjører på?

Har vel ikke vært mer stabilt noen gang...

s.bjelke · Post by **s.bjelke** » Sat 11 Mar, 2006 12:37

phpBB har vel vært et utsatt system i alle tider, men tror ikke man skal bli for overparanoid. Sålenge man oppdatere når det kommer oppdateringer (som disse båtfolkene ikke gjorde, 1år da dere. De skulle bare visst hvor mye faenskap man kan lage på ett år) så tror jeg man er ganske sikker. Skal noen "ødelegge" her nå, trengs det ganske mye arbeid, disse som blir "hacket" på den måten båtfolket ble, har blitt offer for rent hærverk. Det sitter gutter hjemme og bare leter etter utsatte steder, la oss si de finner en exploit, denne "Cross site Scripting in Avatars in version 2.0.16" f.eks. så søker de bare etter en side som er utsatt for dette, og så trykker de enter og jobben er gjort.
Forumet her ligger på en FreeBSD maskin, og det i seg selv utelukker 99% av exploits der ute. Du kan fortsatt penetrere, men krever somoftest mye arbeid. En annen ting som er bra er at denne serveren ikke kjører så mye annen programmvare. All programmvare som har kontakt med internett er en sikkerhetsrisiko.

Tror ikke man skal bekymre seg jeg, er altid skeptisk til slike "warnings". Blir litt sånn ULV! ULV! når det egentlig er bjørnen som dreper.....

Det lille jeg har hørt fra Mattis om sikkerthet og slikt, synes jeg han er meget flink og ryddig, og når han sier at det skal bli enda bedre himmler jeg med øynene og sier "denne mannen fortjener en god flaske cognac"

Helge S · Post by **Helge S** » Mon 13 Mar, 2006 14:05

Som jeg antydet, regnet jeg med at Mattis har kontroll. Jeg hadde ingen intensjoner om å rope ULV, men spurte av nysgjerrighet/uvitenhet om phpBB versjon da jeg ble litt skremt over hvor totalt krasjet forumet til Viksund var.

dagmatti · Post by **dagmatti** » Mon 13 Mar, 2006 23:13

Hei!

Jepp, det er bra at brukerene passer på synes jeg, meld ifra hvis det er noe merkelig, men forsåvidt også hvis det kommer nye versjoner. :-) Særlig nå som vi har en plass å snakke om dette.

-mattis

s.bjelke · Post by **s.bjelke** » Mon 13 Mar, 2006 23:50

Helge S wrote:Som jeg antydet, regnet jeg med at Mattis har kontroll. Jeg hadde ingen intensjoner om å rope ULV, men spurte av nysgjerrighet/uvitenhet om phpBB versjon da jeg ble litt skremt over hvor totalt krasjet forumet til Viksund var.

unskyld, skulle kansje nevnt litt klarere at den komentaren ikke var myntet på deg personelig, men mere på et generelt plan.

Selv store sider som BBC har jo blitt hacket flere ganger, men disse er jo også større mål. Tror det skal mye til at noen gidder å sette seg CXforumet som mål..... Det at forumet ikke ligger på et Webhotell minsker også sjangsen for at noen gidder å prøve seg. Desto større webhotellene er desto større megde data skal de kontrolere og desto lettere er det for hackere og finne hull.

Helge S · Post by **Helge S** » Tue 14 Mar, 2006 12:21

s.bjelke wrote:unskyld, skulle kansje nevnt litt klarere at den komentaren ikke var myntet på deg personelig, men mere på et generelt plan.

Ingen problem, men takk for omtanken.

s.bjelke wrote:Selv store sider som BBC har jo blitt hacket flere ganger, men disse er jo også større mål. Tror det skal mye til at noen gidder å sette seg CXforumet som mål..... Det at forumet ikke ligger på et Webhotell minsker også sjangsen for at noen gidder å prøve seg.

Tja, både og. I den grad hackere kan "velge og vrake", prioriterer de nok de største "trofe'ene" ja. Men flere av hackerne bruker roboter/program som søker etter både forum og annet med sikkerhetshull og finner de slike tar de nok til takke med "hva det skal være". Det er jo det lille forumet til Viksund et synlig bevis på.

Citroencx.no

OffTopic: PhpBB og hacking

OffTopic: PhpBB og hacking

Re: OffTopic: PhpBB og hacking