Forum gehacked

[Kermit]

Auch mein Forum wurde ein Opfer dieser dämlichen Spinner.

Ich bin zwar über ein hintertürchen wieder hineingekommen, und konnte mich selber wieder als Admin einsetzen, aber ich kriege die "neue" Startseite meiner Besucher nicht mehr weg.

Wo könnte der gehackte Code drinnen sein, bzw. wie könnte ich ihn finden?

Hier die Page Seite:
http://www.forum.iospirates.com/

p.s. Das die updates nicht auf den laufenden sinn, braucht mir keiner zu erklären, das weis ich selber.

[gloriosa]

Hallo,
Du solltest Dir >>> KB:gehackt <<< intensiv durcharbeiten !

[Kermit]

Den Artikel habe ich bereits mehrmals durchgearbeitet, allerdings nützt er mir bei meinem Hauptproblem überhaupt nix.

Ich muß zuerst mal herausfinden wo der Code steckt der auf seine Page weiterleitet. Ich sehe mein eigenes Forum nicht, darum nützen mir auch alle reperatur versuche im moment nichts. Außer ich fahre mit der Dampfwalze drüber und beginne wieder bei 0, dazu habe ich allerdings überhaupt keine Lust.

[MaximilianB]

Wenn der direkt auf ne andere Seite weiterleitet wäre es doch am naheliegensten, dass in der index.php was ist. Such da mal nach header(Location: *IRGENDEINEURL*);
Das wäre ein Weiterleitungscode. Ansonsten überprüf, ob eine .htaccess in deinem Forumsroot zu finden ist - lösch diese wenn Ja.
Und dann in der index_body.tpl, in der overall_header.tpl und in der overall_footer.tpl könnten Javascripts sein, die weiterleiten.

Guck das mal alles nach und meld dich dann nochmal.

[Jan500]

hi

meistens packen die html code in Ketegoriebeschreibung der Foren

guck dir die mal an (in der datenbank) und entferne evtl den code da...

gruß Jan

[Kermit]

hi

meistens packen die html code in Ketegoriebeschreibung der Foren

guck dir die mal an (in der datenbank) und entferne evtl den code da...

gruß Jan

Über phpMyadmin konnte ich es finden, der Saukerl hat mein Newsforum zerstückelt, und wie du vermutet hatest in die Forumsbeschreibung geknallt.


@MaximilianB: Alle anderen Seiten waren sauber (hoffe ich ...)


Allerdings kämpfe ich jetzt mit einem anderen Problem.
Es wird im Forum äußerlich alles angezeigt, aber ich kann fast kein Forum öffnen.
Ich vermute allerdings das es an meiner ersten Panikreakation liegt.
Beim ersten Besuch der Datenbank nach dem Hackangriff habe ich den User mit dem Namen des Hackers gelöscht, allerdings sah ich dann später das dies ursprünglich mein eigener Account war ...
Ich vermute mal das dies der Grund ist warum ich fast nichts öffnen kann.
(Und die Smilies funktionieren auch nicht mehr)

Wie stelle ich jetzt meinen Account am besten wieder her, ohne alles zu zerschießen? (Es gibt leider kein aktuelles Save vom Forum, nur eines nach dem Hackangrif, bevor ich etwas verändert habe.)

[MaximilianB]

Am besten kopierste nur die Usertabelle wieder rein und änderst danach sofort alles auf deine richtigen Daten ab.

[Jan500]

du

kannst dich auch neu registrieren und dann den neuen user auf die user id 2 stellen und dem userlevel 1

ich würde aber noch darauf achten, das der hacker nicht bei anderen usern seine email adresse hinterlassen hat (vor allem bei admins und mods) ..

gruß Jan

[Kermit]

Am besten kopierste nur die Usertabelle wieder rein und änderst danach sofort alles auf deine richtigen Daten ab.

Wo finde ich die?


@Jan500: Wenn ich mich selber neu registiere, gibt es dann kein Problem mit meinen alten Beiträgen?

Die anderen User habe ich durchsucht, die Mail adressen sehen nicht verdächtig aus. Gibt es da eine möglichkeit das zu überprüfen (Spätere änderungen oder so)?

It es verdächtig wenn ich in phpMyadmin bei einem user entdecke das bei user_allowhtml der eintrag auf 1 gesetzt ist?

[Jan500]

hi

nein es gibt keine Probleme, wenn du deine alte userid nimmst (erster admin user_id = 2) dann werden deine Beiträge zu deinem profil auch richtig zugeordnet...

gruß Jan