praeguseks peaks see probleem vähemalt mõneks ajaks lahendatud olema..

@ GET vs POST päringud.. POST päring tähendab seda, et kui tahad brauseriga edasi või tagasi liikuda navi nuppudega, siis hakatakse sulle esitama küsimusi, et kas tahad ikka andmed uuesti saata.. on meil seda nagu tegelikult ka vaja kasutaja peedistamiseks?

Pole küll kursis, mis on selle portaali mootori võimalused, aga mõned etepanekud, mida võiks kaaluda, turvalisuse tõstmiseks tuleviku tarbeks:

1. Kasutajate nimekiri kättesaadavaks ainult sisseloginud kasutajatele, kes on teinud vähemalt 1 postituse. Portaal on küll eesti keeles, aga urlist http://pingviin.org/memberlist.php järeldub, et kõikidel sama mootoritega foorumitel on see sama koha peal. See on ka koht, kust see exploit neid kasutajaid hangib, lisaks saab sealt teada veel ka maili adresi Sama reegel kasutaja profiilide vaatamisega. Lisaks kasutaja värvid neid poleks ka vaja promoda enn, kui sisselogitud ja 1 postitus tehtud.

2. GET meetodi asemele võiks kasutajatega seotud toimingutes nagu näiteks kasutajate nimekiri, profiil ning postiused foorumis kasutada POST meetodit. See eeldab arvatavasti väheke progemist ja katsetamist. Idee on selles, et siseloginud, kui ka sisselogimata rahval pole tarvis teada, kasutaja paiknemist andmebaasis. GET seda võimaldab ning lisaks võimaldab suht lihtsasti kirjutada scripti, korjamaks kokku kõik kasutajad ning võimaldab GET väga lihtsasti kolmandalal poolel saada ligi infole, mida ta ei peaks teadma. Näiteks nimekirja esimene kasutaja on Suvi samas GET meetot räägib, et Suvi on nimekirjas alles teine (profile.php?mode=viewprofile&u=2). Ründaja järeldab sellest, kas esimene kasutaja on kustutatud, või asub seal veel kõvem superuser, et äki prooviks vaadata, mida teha saab!

3. Sisse logimata kasutajatele ei tohiks näidata ühtegi lingitut kasutajat. Kes iganes on kuskil miskit postitanud selle kasutaja nime peaks olema plain text või veel parem pesudokasutaja ala killbill või tux666

Midagi sellist

Osad, kui mitte kõik, Elioni IP'de võrgud on seal kindlasti olema.

Niipalju infoks, et tix'i list pole täielik (ntx peaks sealt olema puudu elion ja veel üht-teist), samas ise ehitasin oma masinatele sellega ssh reeglistiku ja peale seda on igast rünnete osas tunudvalt rahulikum.

Ma leidsin, kuidas kataloog kaista, kuid lubatud IP-de lisamine on ainult läbi selle sama Zone WebFTP liidese. Ehk tuhandeid IP-sid läbi selle lisada .....
Ja seda genereeritud htaccess faili - seda ei saa ka ise muuta, et direktiive lisada vms.
sander - võid ise ka proovida. Ma katsetasin elug.pingviin.org domeeni peal ja seda korralikult lukku mul panna ei õnnestunud.

antik2 kirjutas:

Soovitaks üldse mingile muule tarkvarale kolida PHPbb asemel. See BB on ammuteatatuntud auklik php disaster. Tarkvarauuendusi sellele enam vist üldse ei tehtagi. NB. Nüüd saadki tunda "shared hostingu" rõõmusid, et ei saa ise midagi reguleerida.

phpBB2 on vana jah, aga teadaolevaid suuri auke selles ma _hetkel_ ei tea.. sama moodi võiks bot käia kollitamas misiganes muud logimise vormi, selle vastu naljalt tõkkeid ei sea..

uuendus sellele on phpBB3 ja see on tagaplaanil ka vormistamisel, aga ajapuuduse tõttu ei juhtu kahjuks üleöö ja vajab paremat läbimõtlemist..

@NB, antud juhul ei saanud ma täpselt aru, mida spott ei leidnud või mis valesti läks, aga olen enam-vähem siiski arvamusel, et mingi võimalus on olemas..

privaserverit sellise asja pärast veel rentima ei hakka..

Soovitaks üldse mingile muule tarkvarale kolida PHPbb asemel. See BB on ammuteatatuntud auklik php disaster. Tarkvarauuendusi sellele enam vist üldse ei tehtagi.

NB. Nüüd saadki tunda "shared hostingu" rõõmusid, et ei saa ise midagi reguleerida.

sander85 kirjutas:

.., ehk õnnestub mingi trikk vahele teha.. ..

Kus ta neid kasutajaid võtab, automaatselt või sisestatakse?
On kusagil näha, milliseid paroole, millise süsteemi järgi genereeritakse.

Kui on süsteem, tee selle järgi virtuaalne kasutaja, kasutaja järgi haagi mõni liides, liides sisaldagu korralikumat viirust; Tat's it.

proovin korra ise natuke login.php'd äkki nokkida, ehk õnnestub mingi trikk vahele teha..

e: uurides logisid, jääb siiski mulje, et keeruline on seda elukat ära peletada nii, et mõni kasutaja pihta saama ei hakka..

Müttan siin Zone FTP liidese kaudu, et saada see audentimine zone serveris tööle. Ega see eriti lihtne ei ole. Sest nende htaccess faile muuta ei saa....