Diskussion zu phpBB wieder ein beliebtes Angriffsziel

[D@ve]

Ich will damit nur die Behauptung widerlegen das man selber schuld ist wenn ein Board gehackt wird.
Menschen, die wirklich auf einen Rechner gelagen wollen, kommen i.d.R. auch drauf.
Da spielt es nicht die Hauptrolle immer die aktuelle Version von phpBB zu besitzen.

Naja der Punkt ist aber
a) einen Server zu Hacken ist keine Einfache Sache
b) man BRAUCHT keinen Server zu hacken, weil ein nicht aktuallisiertes phpBB genug Angriffsfläche bietet.

Wieso soll ich - um in ein Haus einzubrechen - mich den Balkon hochhangeln, die und dort eine Fensterscheibe zertrümmern, wenn der Hausbesitzer die Eingangstür nicht abgeschlossen hat.
Fakt ist nunmal dass 90% aller Cracks von phpBB-Foren auf eine nicht upgedatete Software zurückzuführen sind.

Fakt ist aber auch, dass dieses dauernde Updating einfach nervt. Eine offene Forensoftware in php in der man die Mods einfach per ACP installieren bzw deinstallieren kann, ist fast nicht zu realisieren, es sei denn man lässt einfach keine freien Mods zu und führt eine Art Signatur ein.
Eine PHP-Software die komplett modular aufgebaut ist, ist verdammt schwer zu entwickeln... Das hält den User aber trotzdem nicht davon ab, selber Änderungen im Quellcode zu machen und dann ist alles umsonst.

Gruß, Dave

[V1tzl1]

Gibt es eigentlich irgentwo nur ein Sicherheitsupdate für das BB. Die meisten Updates haben ne ganze Menge usability sachen, oder schönheitsfehler drin, das nervt dann schon ständig zu uppen.
Wenn es irgentwo ne Liste mit allen Steps gäbe, die man braucht um nur die reine Sicherheit zu gewährleisten würde das ganze deutlich bequermer sein

[miccom]

Fakt ist aber auch, dass dieses dauernde Updating einfach nervt. Eine offene Forensoftware in php in der man die Mods einfach per ACP installieren bzw deinstallieren kann, ist fast nicht zu realisieren, es sei denn man lässt einfach keine freien Mods zu und führt eine Art Signatur ein.
Eine PHP-Software die komplett modular aufgebaut ist, ist verdammt schwer zu entwickeln... Das hält den User aber trotzdem nicht davon ab, selber Änderungen im Quellcode zu machen und dann ist alles umsonst.

es ist doch ganz einfach: user die änderungen durchführen, müssen damit leben diese änderungen bei einem update auch zu berücksichtigen.

wer sein board nicht modifiziert, hat den vorteil neue updates einfach durch überspielen der daten einzubauen. man muss ja deswegen auch nicht "unmodifiziert sterben", es gibt im web ja auch vormodifizierte foren die ebenfalls regelmässig aktualisiert werden.

ich finde das einen gerechten preis für individualität!

[rabbit]

wer schön sein will, muss leiden...

[Benutzer]

Ob es leicht ist auf einen Server Zugriff zu erlangen ist relativ.
Wenn man weiss wie braucht es oft nur ein paar Zeilen Code.
Und manchmal reicht ein Exploit in der Programmiersprache um Schaden anzurichten.
Wieso Umwege gehen um das Board zu hacken?
Ganz einfach, Exploits werden erst dann gefunden wenn ein Hacker auf die Fehlermeldungen achtet welche der Server bzw. ein Programm ausspuckt.
Man sollte sich mal eins vor Augen führen:
Diejenigen, die so oft über Windows maulen und gorsstönig auf Sicherheitslücken hinweisen arbeiten selber damit!
Was heisst das?
Das er diese Software im Alltag selber einsetzt und nur drauf wartet das bei bestimmten Aktionen Fehlermeldungen ausgegeben werden.
Nur wer selber eine Software im Alltag einsetzt kann auf seltene Fehler aufmerksam werden.
Mit dem Unterschied das ein Hacker diese Fehlermeldung versucht zu verstehen und versucht diese wieder zu reproduzieren um so einen evtl. Exploit zu entdecken.

Nur wenige Menschen sind fähig direkt auf das Board zu gelangen.
Sondern sie gehen bewusst diesen Umweg um so andere, oft wesentlich interesantere Exploits zu entdecken.

Tommy

[Benutzer]

Ich muss dazu auch sagen das es eigentlich nicht als Umweg angesehen werden kann wenn man versucht ein Forum über andere Wege zu hacken.
Die meisten Foren werden deshalb gehackt weil es ein Leichtes ist sich in einschlägigen Foren und Mailinglisten umzusehen und es dann einfach nach zu machen.
Die Mehrzahl der Foren werden von sogenannten SkriptKiddies "gehackt".
Sie schauen sich halt einfach nach Anleitungen im Netz um, welche oft sogar recht gut dokumentiert sind.

Was bezeichnet man denn als Umweg? *lol
Mir fällt dazu eigentlich nur ein das man es versucht ohne irgenteine Anleitung aus dem Netz es zu versuchen, ohne auch nur eine SPur von einer Ahnung zu haben.

Die meisten Updates wären überflüssig wenn es solche Mailinglisten nicht gäbe.
Denn dann wüssten es nur eine sehr kleine Minderheit.
Andererseits ist es aber auch gut so, so werden bis dato unbekannte Sicherheitslücken aufgedeckt.

Die meisten Hackern sind sehr junge Menschen.
Deshalb versuchen sie auch es publik zu machen.
Man sollte versuchen es zu verstehen wieso ein Mensch sowas tut.
Oft wird es nur deshalb gemacht um sich zu beweisen oder um eine Protestaktion durchzuführen.

Ich bleibe bei meiner Aussage das es nicht immer die Schuld des Serveradmin ist.
Man kann nicht alles wissen, Fehler sind schnell gemacht.
Die Updates sind wichtig, keine Frage.
Aber diese alleine sind nur ein Teil des ganzen Kuchens.

Tommy

[Amlor]

Nunja.. dann müssten wir über die Probleme unserer Gesellschaft reden, denn die Scriptkiddies wollen nur eins: sich profilieren und das muss auch ein Grund haben, warum sie dieses Nötig haben...
In einer idealen Gesellschaft könnte man vieles einfach so runter programmieren und müsste auf vieles (halt auf die Sicherheit) nicht achten, denn keiner würde auf die Idee kommen, 'Schwachstellen' auszunutzen..

Tja.. die Evolution und somit auch die Gesellschaft lehrt uns etwas anderes.. also ist es nicht so und wir müssen uns damit abfinden...
Und dann halt auch so gucken, das unsere Sachen sicher sind...

[Benutzer]

*lol*

Nun, wer sich ernsthaft mit der Sicherheit im Netz beschäftigt wird auch nicht um die Psychologie eines Menschen vorbei kommen.

Nur wenn man versteht wieso etwas passiert kann man entsprechende Massnahmen treffen.
Es gibt unzählige Gründe wieso jemand sich als Hacker betätigt.
Manchmal ist es einfach nur Spass, beim anderen wiederum das Gefühl der Macht und andere wiederum wissen eigentlich überhaupt nicht was sie da tuen.
Es gab mal einen Fernsehbericht von einem Teenager der vor einiger Zeit einen geährlichen Wurm ins Internet stellte.
Interessant deshalb weil man versuchte zu verstehen wieso dieser Junge es tat.


Tommy

[D@ve]

Ob es leicht ist auf einen Server Zugriff zu erlangen ist relativ.
Wenn man weiss wie braucht es oft nur ein paar Zeilen Code.
Und manchmal reicht ein Exploit in der Programmiersprache um Schaden anzurichten.

Sorry, aber dazu, einen Server zu hacken gehört etwas mehr Kenntnis, als ein nicht upgedatetes phpBB zu crashen. Für phpBB gibt es Anleitungen im Netz, hast Du ja selber gesagt. Ein phpBB ist genormt und zu 98% sind alle Foren der gleichen Version gleich.
Server aber nicht genormt und Step-By-Step-Anleitungen funktionieren da nicht. Die einzigen Server wo das ginge sind wären bei großen Providern wie Strato oder 1&1, da widerum kannst Du aber davon ausgehen, dass die ein paar stärkere Maßnahmen ergriffen haben.

Ansonsten machst Du die Scriptkiddies da glaube ich etwas ZU mächtig. Um einen gut administrierten Server zu knacken braucht man schon einiges an Basiswissen und da gibt es erfreulicherweise nicht sooo viele Leute die das haben. Und die meisten Personen mit dem entsprechenden Wissen setzen es weise ein... (das ist nämlich dann der kleine aber feine Unterscheid zwischen Cracker und Hacker).

Gruß, Dave

[Benutzer]

Hmmm, also ich denke es ist einfach relativ.
Im Prinzip braucht es nicht viel.
Und oft ist es der pure Zufall wieso eine Sicherheitslücke überhaupt entdeckt wird.
Klar, ein ordentlich administrierter Server stellt erstmal eine geringere Wahrscheinlichkeit dar gehackt zu werden.
Aber man braucht keinen Doktortitel um selbst Hochsicherheitssysteme zu knacken.
Das bewies vor einiger Zeit ein einfacher Teenager der selbst sehr wichtige Teile eines Flughafens lahm legte mit einem simplen Internetwurm.
Allerdings war ihm das Ausmass seines Programmes nicht bewusst. *g*

Es spielt eingentlich keine Rolle wer wo was im Internet hostet oder administriert.
Alleine die Tatsache das das Übertragungsprotokoll TCP/IP Sicherheitslücken aufweisst macht jeden Server erstmal von aussen angreifbar.

Firewalls stellen keinen echten Schutz dar.
Weder Hardware- noch Softwarefirewall.
Ein einfacher Code macht so ziemlich jede im Handel erhältliche Firewall zu ihrem eigenen Feind.

Es ist eine interessante Studie für sich wer sich ernsthaft mit Sicherheitssystemen für Server beschäftigen will.
Es wird immer Angriffe auf weit verbreitete und somit oft genutzte Software geben.
Somit auch für die Open Source Software phpBB.

Tommy