Un phpBB 2.0.22 ? tester.

[$p00ky]

Bonjour,

J'ai récemment (hier) était victime d'une intrusion sur un forum phpBB 2.0.22.
La personne a visiblement réussi à accéder à la base de données et à avoir les mots de passe md5 (pas très sécuritaire je sais...) et les adresses e-mail.

Le "hacker" en question n'a rien supprimé, juste fais le beau (ce qui me surprend venant d'un "hacker") en postant ce message :
http://uzumaki-world.fr/viewtopic.php?t=20&start=0&postdays=0&postorder=asc

Les mots de passes et adresses e-mail correspondent.
Le site DW dont il parle est : http://shinsuke78.free.fr
Mais nous n'avons aucun rapport avec ce qui peut leur arriver...


Je n'y connais absolument rien en "hacking" et aimerais me protéger afin que d'autres personnes mal intentionnées n'utilisent pas ces informations à des fins malsaines.

Je vais lire les tutos présents sur le site, mais en attendant, pouvez-vous déjà me dire s'il y a des failles évidentes que je devrais corriger ?

Je vous ai créé un compte sur le forum, au cas où :
login : hbbs
pass : hackbbs

De toute façon le forum est totalement vide et en reconstruction suite à son vidage par une autre personne mal intentionnée...
Mais j'aimerai qu'une fois qu'il sera rempli, il ne soit pas à nouveau détruit...


Par avance, merci ;)

Je vais me plonger dans de la lecture :)

@+

[baltazare]

le mec est baleze^^ J'ai lu votre topic où le hackeur fait un spitch.
On devrai l'embaucher :lol:

Je rigole^^ quoi que... :twisted:

As tu toujours mis a jour ta base de donnée avec phpbb?

Pourquoi il a reussi a peter tout vos mot de passe, surement des dates de naissances ou des MDP identiques à ceux d'msn.
Il lui a suffit de vous baiser sur msn, et hop là.

Des copies de BDD sont dispnible a mettre sur un DD, si on te hack, un coup de copie de donnée, et tout est comme avant.

[mosquitox]

Es-tu sur d'être en 2.0.22 ?
http://uzumaki-world.fr/docs/CHANGELOG.html :roll:

[$p00ky]

Oui oui j'avais des sauvegardes.

En fait avant ça, un truc comme deux jours avant, un des admins a supprimé tous les messages du forum.
Cette personne n'avait aucune compétence, elle a juste abusé de la confiance d'un des autres admins qui l'a mis admin...

Enfin bon, suite à ça il a été préférable de repartir à 0, c'est pas ma décision, moi à vrai dire je m'en tape, pour tout dire, c'est à mon frère en fait, moi j'y connais rien, je lui ai juste pris l'abonnement...
J'aimerais juste que ça recommence pas (alors je lui ai dit de pas filer le niveau admin à n'importe qui...)

Ensuite, un autre forum, un ou deux jours après nous (donc avant-hier en gros) a été hacké. ?? les entendre, ce serait vraiment hacké, y'aurait plus rien chez eux.
Apparament aussi, il y aurait des querelles entre les deux forums et l'autre forum a cru que c'était nous, en représaille de ce qui nous était arrivé juste avant...

Enfin bon en ce qui me concerne, pour moi c juste un gars qui se marre à monter les deux forums l'un contre l'autre...

Mais ce qui n'est pas marrant, c'est qu'un hacker de l'autre forum prenne parti avec eux, et commence à faire du vrai 'hacking'.

Voilà j'ai résumé la situation comme elle m'est apparue...
Moi je veux juste protéger le forum de mon frère.





En ce qui concerne les mots de passe, une fois que tu as accès à la base de donnée, il n'y a rien de plus simple, ils sont enregistrés en md5...
Même moi ne connaissant rien, je tape "md5 online" sur google, le premier site est http://ice.breaker.free.fr qui a décodé avec succès les tout simples que j'ai testé pour vérifier que le hackeur disait vrai...


Sinon, je suis bien en phpBB 2.0.22 oui, malgré ce que raconte la doc...
J'ai vu que phpBB3 utilisait le cryptage en [url=http://www.openwall.com/phpass/]phpass[/url], j'aimerai bien m'y mettre, mais le forum actuel a beaucoup trop de moficiation de code pour y migrer sans dommages.
Je pense retoucher au code de ma version phpBB 2.0.22, juste au code de login et prendre celui de phpBB3. Par contre ça va me prendre du temps, ce que je n'ai pas nécessairement en ce moment...

Donc s'il y avait un moyen pour que personne n'accède à la base de donnée, ce serait encore mieux :D

J'essai dans mon temps libre de me documenter sur votre site pour le protéger, mais malheureusement ce temps libre est une denrée rare...


Merci à tous ceux qui m'aideront !

bye

[mosquitox]

Peut être une faille à ce niveau là [ArkaMod V2.2.9]
A vérifier :wink:

[$p00ky]

ArkaMOD 2.2.9 est une pré-mod de phpBB 2.0.22

C'est-à-dire que c'est un forum phpBB 2.0.22 sur lequel on a mis pas mal de mods ([url=http://www.ezcom-fr.com/viewtopic.php?t=8255]page officielle[/url]).

[mosquitox]

Oui je comprend bien c'est justement sur un mod que ta faille doit avoir lieu. Si le phpbb2.0.22 était vulnérable il y aurait déjà des choses sur le net la dessus :wink:

[Korigan]

Laisse ta bdd accessible...plus de bdd...plus de forum! Et désactive tout tes mod. Tu te renseigne ensuite sur chacuns d'eux et tu réinstall juste ceux qui te sembles sans failles.

Pour la sécurisation de ton forum c'est assez simple.
Je te conseil de suivre ce tuto:
http://www.aidoforum.com/tutoriaux-161-securiser-votre-forum-phpbb.html