Ich hab jetzt nicht den ganzen Thread gelesen, aber wurde schon erwähnt das es für solche Fälle auch eine Application Firewall getan hätte wie z.b. mod_security im Apache (sofern man Apache nutzt)?
phpBB ist doch leider ein sorgenkind auf einem meiner Server. Die User machen keine Updates weil was sehr unterschiedliche gründe hat. Einerseits sind manche Hacks und Mods einfach in die Source des Forums selbst reingeschrieben worden, ein Modulsystem wie z.B. bei vBulletin oder der Blogsoftware Serendipity wäre da echt genial weil man dann einfach den Programmkern erneuert und die Module funzen trotzdem. So muss der Forenadmin anhand der Patch/Diff Datei die Änderugen händisch einfügen oder die Source updaten und dann jeden Hack einzeln wieder einspielen.
Das automatische updaten oder das Anzeigen im Adminbereich wäre da sicherlich auch eine möglichkeit um die Leute darauf aufmerksam zu machen, manche installieren pbpBB weil Sie es bei Google finden, meinen aber das ein Update unnötig sei.
Ich hab schon sehr lange nicht mehr mit pbpBB gearbeitet, auf rootforum.de arbeiten die Jungs z.B. ohne jeden Hack und immer mit der aktuellsten CVS Version, was auch eine elegante Weise zum Updaten ist.
Für solche Sorgenkinder ist mod_security eigentlich doch sehr gut und mit den gotroot.com Regeln (ausser die IP Blacklists) läuft das ganze ein ganzes Stück sicherer schon Serverseitig.
Ok, nicht jeder hat Zugriff auf die Webserversoftware, aber das ist dann ja nicht die Schuld des Forenadmins. Wenn ich da an Versuche denke Postnuke und Konsorten sicher zu bekommen muss ich doch lachen
PostSentry war so ein Fall. Der Versuch alle Variablen durch ein Sicherheitsmodul zu schieben und damit das übertragen von unbeliebten SQL oder Code Injections zu verhindern.
Anyway, ich finde es gut das die Source von dem Fehler bereinigt wurde und das die Entwickler offen zugeben einen Fehler gemacht zu haben, wenige Entwickler gestehen sich Fehler ein. Wenn ich da an vBulletin denke, die haben teilweise Wochen zum Update gebraucht und es dann still und heimlich durchgezogen, 99% der Anwender wussten nicht das sehr gefährliche Sicherheitslücken in der Software waren.
Das gefährliche bei phpBB war ja auch immer ein Mod einzubauen, von daher sollte man das lassen.
Was mir noch durch den Kopf gegangen ist:
Für MD5 kann man entweder NSA@Home nutzen bzw. Rainbow Tables.
Code: Alles auswählen
~# shasum -a 256 test
4f351efc93965ac67b36c9d4de8ff657ecb0f79cdfb0a7d0ed6160632a930d58 test
~# sha1sum test
d5f9699a2349d13a6b06df2d29d5b053c9d7e39c test
~# md5sum test
237b3e1b29f5e1b6fbdd0ed4c551ae89 test
Wie man sieht ist MD5 kürzer und ohne Seed ist eine Bitkollision relativ schnell möglich. SHA1 ist etwas größer und hat weniger Bitkollisionen. SHA256 muss man mit einer
PHP Klasse realisieren
Wenn ein Cracker jetzt die ganzen User geklaut hat, auch von anderen Foren, dann dürften die innerhalb von Minuten nach dem Einbruch schon entschlüsselt worden sein. Wäre es da nicht sinnvoll soetwas vorzubeugen und die Verschlüsselung auf SHA1 ändern, das spreng zur Zeit die möglichkeiten die man daheim hat und vielleicht wird SHA256 bald in PHP eingebaut damit man wieder ein Schritt weitergeht. Dann muss man wirklich auf BruteForce zurückgreifen und das dauert einige Wochen pro Passwort und ist nicht mehr rentable ausser das man Mailadresse zum Spammen farmen kann.
schön ins fettnäpchen getreten würde ich sagen 
