Огромная дыра! НН зарегался и сам сделал себя админом!

[Stripes]

Захожу на свой форум и вижу нового админа.
Какой то нн сделал себя админом.

НО КАК? Я просто офигел, вроде бы он ничего не натворил. НО КАК?? АДМИНОМ?
Стоит 3.4.5 от мафии... 

[Dj_mihal]

Попробую на тесте прогнать. Это очень серьезная предъява к безопасности.

[Stripes]

Сменил пароль от БД, где мне его менять в файлах форума, чтобы он заработал?)

[LvsF]

Сменил пароль от БД, где мне его менять в файлах форума, чтобы он заработал?)

conf_global.php

[Dj_mihal]

В корне сайта conf_global.php

Строка $INFO['sql_pass']

<?php
$INFO['sql_driver']			=	'';
$INFO['sql_host']			=	'';
$INFO['sql_database']			=	'';
$INFO['sql_user']			=	'';
$INFO['sql_pass']			=	'';
$INFO['sql_tbl_prefix']			=	'';
$INFO['sql_debug']			=	'1';
$INFO['board_start']			=	'';
$INFO['installed']			=	'1';
$INFO['php_ext']			=	'php';
$INFO['safe_mode']			=	'0';
$INFO['base_url']			=	'';
$INFO['banned_group']			=	'5';
$INFO['admin_group']			=	'4';
$INFO['guest_group']			=	'2';
$INFO['member_group']			=	'3';
$INFO['auth_group']			=	'1';
$INFO['mysql_tbl_type']			=	'';

?>

Изменено 9 декабря, 2013 пользователем Dj_mihal

[KitsuneSolar]

Очередная дырка?

[Stripes]

Ну я подозреваю, что кто-то в бд тупо залез и себе выдал админку.
Наверное это моя вина, хотя может и дырка в ипб
или я на стиллер какой нибудь попался

[Stripes]

Нет, это дыра.

Это сделал мой знакомый (который довольно хорошо в этом разбирается).
Он сказал, что зная ник и мыло админа, можно узнать пароль и он мне в точности его написал.

Ну и, естественно, он через мой аккаунт и выдал админку.

[maxdam]

Пускай напишет как он это сделал..

[WantedUser]

Пол года назад так же кто то узнал мой пароль и снес мне все.

[Stripes]

Вот статья об этом! 

__www.intelligentexploit.com/view-details.html?id=16456

[Lordbl4]

ну мыло админской учётки узнать не так уж и просто...

 

мораль - использовать логин администратора отличный от ника администратора 

[Stripes]

ну мыло админской учётки узнать не так уж и просто...

 

мораль - использовать логин администратора отличный от ника администратора 

 

а.. мыло учетки разве не показывается в письме при регистрации?

[LvsF]

 

Вот статья об этом! 

__www.intelligentexploit.com/view-details.html?id=16456

И?

 

Данная уязвимость была устранена полгода назад, а точнее в начале мая, о чем можно прочитать в статье.

 

В том, что пользователь не ставит патчи, может винить только себя.

[MrBear]

И?

 

Данная уязвимость была устранена полгода назад, а точнее в начале мая, о чем можно прочитать в статье.

 

В том, что пользователь не ставит патчи, может винить только себя.

А патчи льются в последующие архивы ipbmafii ?

Или все таки ручками?

[Respected]

Патчи применяются в последующие релизы форума. Думаю тема исчерпала себя.