Привет я админ форума kharkovforum.com
Какойто грач стал мне угрожать. Пишет от моего имени на форум! Т.е. от имени админа.
Менял пароль.
Доступ к папке /admincp/ и /modcp/ закрыт еще одним паролем. (другим)
Папка /install/ удалена.

Где то есть еще дыра! :((( Но где??? Помогите? Может какето заплатка не стоит как глянуть?

Если я знаю его ай-пи. Какой мне надо сделать запрос на сервере чтобы прочитать логи и глянуть как он это делат???


Вот что он пишет:


Сегодня вечером на рапидшаре будут выложены логины, почтовые адреса, и IP адреса пользователей форума с id <=100 далее регулярно до восстановления ника "Танкред" будут публиковаться следующие учетные записи. В связи с тем, что в субботу я уезжаю в отпуск, для этого будет скорее всего использована автоматизированная система об адресе расположения которой я сообщу дополнительно. Система будет ежесуточно проверять доступность ника "Танкред" и в случае его недоступности будет увеличивать число записей доступных для просмотра.

Для демонстрации серьезности, демонстрирую пока что следующую запись:










Всем спасибо. Сорри что не сразу ответил. Дырка была не в скрипте форума. А в скрипте который стоял "рядом", т.е. на том же сервере и на том же домене.

Спасибо всем за ответы.

у тебя похоже сперли бекап форума, уже не один раз ведь говорилось - делайте бекапы за пределами форума (т.е. в папке, выше уровня форума).

Если ты знаешь его ИР - иди в органы и сообщи им про все, пускай малолетнего террориста "дрючат".

В данном случае, боюсь, что менять пароли прийдется абсолютно всем юзерам (если базу сперли). Правда, перед этим нужно бекап базы вынести за пределы форума, иначе это все будет бесполезно. Вообще - обратись еще к хостеру, пускай по логам смотрит как тебя поимели (не факт что найдут, но ничего плохого не будет, если они посмотрят).

Так он же пишет, что менял пароль и все равно пишут под его именем.

Глупости, по большому счету, пароли даже в базе не лежат в открытом виде.
Их еще расшифруй попробуй, а кто будет этим заниматься?!

Троян может быть как на сервере, так и на компе, и тогда смена админкого пароля и прочие телодвижения мало помогут.


И помни - никаких компромиссов с террористами и шантажистами.

Так он же пишет, что менял пароль и все равно пишут под его именем.

1) либо ситуация такая, к-рую описал Котъ
2) либо атакующий имеет доступ к содержимому форума (парень то бекап небось делает, взял поменял пароль, потом бекап сделал - в бекапе все есть). Хотя, если пароль длинный, то он его хрен расшифрует
3) либо есть дыра в вобле, о к-рой еще не знают разработчики
4) хаки - через них тоже могут ломать; возможно в каких-то разделах разрешен HTML, etc

Originally Posted by fuldon

Так он же пишет, что менял пароль и все равно пишут под его именем.

Если бы я узнал пароль от чьей-то админки, я бы сделал себе e-mail, как у админа, но так, чтобы он был полностью такой же с первого взгляда, например вмето буквы о написал бы нолик в своём адресе. И после каждой смены настоящим админом пароля отправлял бы новый пароль к себе на почту. А ведь я не такой умный, но додумался до этого. Так что смена пароля - полдела.

Originally Posted by Pauk

И после каждой смены настоящим админом пароля отправлял бы новый пароль к себе на почту.

пароль не отправляется. Он изменяется. и новый пароль присылается на мыло. НО... тогда бы "настоящий админ" не сомг бы зайти под страым паролем.....
Dimoks, посмотрите плиз что у вас за хаки стоят....

Форум кстати тоже могли протроянить... Мой совет, для начала, закрой доступ к своему ресурсу полностью, а затем уже проверяй форум и ftp на наличие троянов.

Вполне может быть, что и ты подцепил трояна на свой компУтер... типа Pinch'а >2.9x - отличный Spyware, который нифига не обнаруживается большинством антивирей и с легкостью обходит Firewall'ы

да и вот здесь еще гляньте...
./admincp/diagnostic.php

Как вариант, старая, не секьюрная версия mysql, настройки доступа к базе форума.