Seite 1 von 2
Help - (nicht erlaubtes) Gastposting zudem mit HTML
Verfasst: 18.05.2008 17:59
von z0nk
Ich hatte heute in meinem Forum ein Gastposting - obwohl Gästen posten nicht erlaubt ist ohne Registrierung.
Zudem postete der Gast verschiedene Links.
HTML ist bei mir auf AUS gestellt, wenn ich das richtig sehe.
ANONYMOUS kann kein HTML posten, dies wurde aber wohl irgendwie umgangen, da der Gast sich einen Namen gab.
Gastpostings sind eigentlich auch nicht möglich, da diese sich registrieren müssen (wie hat derjenige es dann geschafft?).
Ich hatte keine Möglichkeit den User zu finden, sei es in der DB wie auch in der Userlist - was ja soweit auch korrekt ist.
Kann mir jemand behilflich sein, HTML nur für Admins und Moderatoren zu erlauben (zum posten) aber sichtbar für ALLE.
Dies soll beinhalten, das HTML Buttons bei anderen Usern/Gästen/Benutzern etc. auf aus gestellt sind, dem Admin es aber möglich ist (und nur dem Admin) es nachträglich dem einen oder anderem User zu erlauben.
Zudem - wie behebe ich das Problem mit dem Gastposting? Ist dies eine Sicherheitslücke? Ich verwende phpbb 2.0.23
Vielen Dank
PS. Den Thread "HTML nur für Admin erlaubt ?" habe ich in der Suche gefunden, der ist leider aus 01/2007 - daher geh ich davon aus, das die Änderungen veraltet sind.
Ih möchte nicht mehr (mögliche) Löcher reißen.
Verfasst: 19.05.2008 05:24
von Bändsel
Hallo zOnk,
hatte vor einigen Tagen genau das gleiche Problem gepostet. Ein Spammer hat einen Beitrag gepostet, obwohl Registrierungen nur durch den Admin möglich sind und Gäste keine Schreibberechtigung haben. Er hat sich einen Namen gegeben, in der Userlist taucht er nicht auf. Ist auch ein phpbb-2.0.23.
Allerdings ist er in den Log-Files zu finden, sieh doch mal dort nach. Es ist auch gut möglich, daß es derselbe ist, wie bei mir.
Gruss
Bändsel
Verfasst: 19.05.2008 19:32
von z0nk
Hi Bändsel leider konnte ich in den Logs nnichts größeres dazu finden.
Mein Anhaltspunkt war nur die betreffende Zeit.
Ich habe die IP mal verfolgt.
Das Ergebnis war nicht wirklich verwunderlich.
Code: Alles auswählen
195.245.119.76 is from Ukraine(UA) in region Eastern Europe
TraceRoute to 195.245.119.76 [enter.elaninet.com]
Hop (ms) (ms) (ms) IP Address Host name
1 Timed out 162 150 72.249.0.65 -
2 140 114 153 8.9.232.73 ge-6-18.car1.dallas1.level3.net
3 168 126 212 4.68.19.126 vlan79.csw2.dallas1.level3.net
4 160 264 428 4.69.136.157 ae-73-73.ebr3.dallas1.level3.net
5 567 681 648 4.69.134.22 ae-7.ebr3.atlanta2.level3.net
6 654 567 721 4.69.132.86 ae-2.ebr1.washington1.level3.net
7 890 713 924 4.69.134.130 ae-61-61.csw1.washington1.level3.net
8 Timed out 231 289 4.69.134.145 ae-62-62.ebr2.washington1.level3.net
9 395 427 505 4.69.137.57 ae-43.ebr2.paris1.level3.net
10 621 828 768 4.69.132.142 ae-2.ebr1.frankfurt1.level3.net
11 795 866 653 4.69.134.13 ae-5-5.car1.warsaw1.level3.net
12 733 649 728 4.69.134.10 ae-11-11.car2.warsaw1.level3.net
13 704 767 608 212.73.253.226 -
14 607 670 681 80.93.115.50 sana.ett.ua
15 644 737 754 195.245.118.2 elan.elaninet.com
16 638 745 662 10.1.0.37 -
17 701 780 714 195.245.119.76 enter.elaninet.com
Trace complete
Verfasst: 19.05.2008 22:22
von cYbercOsmOnauT
Hallo Bändsel und z0nk. Ich kann mir kaum vorstellen, dass dies bei einem vanilla phpBB (unmodifiziert) geht. Zudem wäre ein Link zu Euren Boards mit der Angabe auf welchem Forum es passierte sehr hilfreich.
Grüße,
Tekin
Verfasst: 20.05.2008 08:28
von Bändsel
Hallo,
bei mir war es die IP 195.5.116.248
Beim Nachforschen ergibt sich auch hier ein durchaus bekannter 'Forenfreund'
Der Auftritt war allerdings nur einmalig, jeder weitere Besuch wurde bisher von dem Cback-Tool Crackertracker zuverlässig unterbunden. Einfach den Host in den IP u. AgentBlocker eingetragen und fertig.
Ich vermute auch eine Lücke durch Zusatztools, die ich installiert hatte.
Gruss
Bändsel
Verfasst: 20.05.2008 12:28
von z0nk
cYbercOsmOnauT hat geschrieben:Hallo Bändsel und z0nk. Ich kann mir kaum vorstellen, dass dies bei einem vanilla phpBB (unmodifiziert) geht. Zudem wäre ein Link zu Euren Boards mit der Angabe auf welchem Forum es passierte sehr hilfreich.
Grüße,
Tekin
Mein Forum
Aufgetreten in Support
Re: Help - (nicht erlaubtes) Gastposting zudem mit HTML
Verfasst: 21.05.2008 12:08
von cYbercOsmOnauT
z0nk hat geschrieben:Ich hatte heute in meinem Forum ein Gastposting - obwohl Gästen posten nicht erlaubt ist ohne Registrierung.
Zudem postete der Gast verschiedene Links.
Supportforum Deines Boards hat geschrieben:Du kannst Beiträge in dieses Forum schreiben.
Du kannst auf Beiträge in diesem Forum antworten.
Ich war Gast und weder registriert noch eingeloggt.
Re: Help - (nicht erlaubtes) Gastposting zudem mit HTML
Verfasst: 22.05.2008 20:28
von z0nk
cYbercOsmOnauT hat geschrieben:
Ich war Gast und weder registriert noch eingeloggt.
Ich habe die Einstellungen einmal überprüft, posten stand auf REG in jedem Forum. Danke auch an Bändsel für die interne Info.
Besteht die Möglichkeit das mir zum ersten Post jemand helfen kann oder gehört dies eher in die Sparte Modanfrage?
Zur Erinnerung:
Kann mir jemand behilflich sein, HTML nur für Admins und Moderatoren zu erlauben (zum posten) aber sichtbar für ALLE.
Dies soll beinhalten, das HTML Buttons bei anderen Usern/Gästen/Benutzern etc. auf aus gestellt sind, dem Admin es aber möglich ist (und nur dem Admin) es nachträglich dem einen oder anderem User zu erlauben.
Verfasst: 22.05.2008 22:23
von Sir Drink a lot
Benutzern HTML erlauben:
Eventuell hilft Dir dieses MOD weiter:
Profile Control Panel
http://www.phpbb.de/moddb/profile_cp
Ist komplex und dauert etwas im "manuellen" Einbau.
Da kann man dann aber so einiges Einstellen, was der User darf und was nicht. Ist zwar schon alt, aber bei mir tut es immer noch fein seine Dienste!
Nachtrag:
In dem Support Forum bei Dir kann jeder Schreiben... wie es oben bereits cYbercOsmOnauT erwähnt hat. Eventuell hast Du es übersehen im "Zitattitel"
Verfasst: 23.05.2008 14:21
von z0nk
Sir Drink a lot hat geschrieben:Benutzern HTML erlauben:
Eventuell hilft Dir dieses MOD weiter:
Profile Control Panel
http://www.phpbb.de/moddb/profile_cp
Ist komplex und dauert etwas im "manuellen" Einbau.
Da kann man dann aber so einiges Einstellen, was der User darf und was nicht. Ist zwar schon alt, aber bei mir tut es immer noch fein seine Dienste!
Nachtrag:
In dem Support Forum bei Dir kann jeder Schreiben... wie es oben bereits cYbercOsmOnauT erwähnt hat. Eventuell hast Du es übersehen im "Zitattitel"
Danke für die Empfehlung - nun stellt sich bei mir natürlich die Frage, reiße ich Löcher mit einer Modifikation, welche mit der Version 2.0.4-2.0.6 getestet wurde - ich verwende wie oben beschrieben die Version 2.0.23.
Das wollte ich verhindern. Kann ich bei der Modifikation einstellen, das jeder neue User erst einmal keine HTML Rechte hat?
Das Supportforum sollte frei sein, um ggfs. Probleme bei Neuanmeldungen zu behandeln.