phpBB2 Forum gehackt! plz help!

[PhaD]

Hallo Leute, mein phpbb2 forum(v..21) wurde sehr heftig gehackt und mein drovider hat meine seite down gelegt, mit dem verweis, das /phpBB2/images/wamuonline.thm eine illigale function ausführt.

Jemand hat in vielen Ordnern meines phpBB2 Verzeichnisses, eine Website eingebaut, einfach auf dem Server zu meiner URL.
Diese Seite ist ein phishing versuch, wie es auf antivir erklärt wird: (providian)
http://www.avira.com/de/threats/section ... ian_1.html

Das ding ist mein phpBB2 Ordner hatte CHMOD 777 was ja eine volle write function impliziert, ich weiss nicht ob es einen unterschied macht, wenn ich CHMOD 775 einstelle und ob das forum dann noch funktioniert ?!
phpmyadmin hat ja auch CHMOD 777.

Ich weiss nicht wie jemand es geschaft hat in unserem Verzeichnis eine eigene Website zu erstellen!

Desweiteren melden sich andauernd bei uns user an, welche pornoseiten promovieren wollen und unsere forum zuspamen. Ich habe anti bot registrierung und admin bestätigung installiert, und lösche die user nun von vorneherein, aber die adminbestätigung beim registrieren ist eine krasse notbremse und ich mache das eigentlich sehr ungerne!

Kann uns irgentwer helfen mit Tips wie ich soetwas verhindern kann ?
Ich habe die illigalen seiten gelöscht und nun was kann man dagegen unternehmen ?

[rananarmo]

Mein Forum wurde gecrackt, was nun?
Hattest du die aktuelle Version?
Der Cracker Tracker ist sehr empfehlenswert, auch gegen Spambots.

[gn#36]

phpbb benötigt lediglich bei der Installation Schreibzugriff auf die config.php Datei, ansonsten wird kein Schreibzugriff benötigt, somit sollten auch Einstellungen wie 755, 744 oder sogar 444 reichen (wobei du dann die Einstellungen vor einem neuen Dateiupload immer wieder ändern musst, ich habe das bei meiner Config php gemacht, welche sich von meiner Lokalen unterscheidet, damit ich sie nicht aus versehen überschreibe). Das einzige was Schreibzugriff benötigt ist der Avatar - Ordner und falls du z.B. einen Attachment Mod oder ähnliches eingebaut hast, dann die entsprechenden Ordner. Falls du soetwas nicht brauchst, dann braucht kein Ordner Schreibzugriff, alle dynamischen Daten sind in der Datenbank.

[rananarmo]

Ein .htacces-Schutz des Admin-Bereichs, des db-Ordners und des Include-Ordners ist ebenfalls sehr empfehlenswert.

[PhaD]

Hi Leute, danke für eure nützlichen Beiträge!

".htacces-Schutz" was meinst du damit ?

Redirekting ?

[gn#36]

Eine .htaccess Datei regelt bei Apache Servern - sofern dieser entsprechend konfiguriert ist, was aber meist der Fall ist - Zugriffsregeln auf Dateien im jeweiligen Verzeichnis. Man kann z.B. festlegen, was passieren soll, falls eine Datei im Ordner nicht gefunden wird, ein Passwort für den Zugriff auf den Ordner anlegen oder eben Zugriffsrechte für einzelne oder Gruppen von Dateien im jeweiligen Ordner setzen und damit dann z.B. den Zugriff von außen auf die Dateien des Ordners sperren. Dieser Schutz kann nicht (sofern der Apache keine Sicherheitslücken hat, aber das kann man sowieso nie vollkommen ausschließen und die Chance ist relativ gering) umgangen werden und ist unabhängig von der Sicherheit der verwendeten Skripte. So kann man z.B. den Adminbereich vor unbefugtem Zugriff besser schützen, wenn man hier zusätzlich zum Adminpasswort auch noch das htaccess Passwort benötigt (und den zugehörigen Username). Auch die config.php könnte man mit einer htaccess vor direktem Zugriff schützen. Da PHP selbst, aber nicht von diesem Zugriffsschutz betroffen ist bleiben alle Skripte weiterhin ausführbar.

[PhaD]

ok vielen dank, dann werde ich mich jetzt mal mit dem Thema .htaccess auseinandersetzten.

Danke für eure Tipps