phpBB.de

Verfasst: **18.01.2003 23:20**

Wir haben heute morgen nen Update von phpbb 2.03 auf 2.04 vorgenommen.

Folgendes Problem:

User die zum Zeitpunkt des Updates online waren können keine Beiträge schreiben und sich auch nicht ausloggen anscheinend. Offensichtlich hilft bei ihnen auch nicht das löschen der Cookies, Cash und ausloggen, Neuanmelden oder andere Nicks zu nutzen...

Es erscheint beim Versuch von Posten von Beiträgen folgende Meldung:
Überschrift: Allgemeiner Fehler
Im blauen Kasten: invalid_session

Wie gesagt - dieses Problem tritt NUR bei Usern ein, die genau zum Zeitpunkt des Updates gerade online waren.

Unter anderem wird bei uns im Forum das Problem diskutiert...

Wer weis woran es liegen kann bzw. wie man das Problem lösen kann?
Vorher (bei 2.03) war die welt noch in Ordnung.

Danke sehr im Voraus.

Verfasst: **18.01.2003 23:21**

Siehe auch:
http://www.iran-now.de/phpBB/viewtopic.php?t=9780

Verfasst: **18.01.2003 23:25**

Ich würde mal die Tabelle phpbb_sessions leeren. Vielleicht hilft's was...

Gruß, Philipp

Verfasst: **18.01.2003 23:29**

Danke - ich werde diese Info an unsere Terchnik weiterleiten.
Werde es euch wissen lassen, wenn es hilf.

Verfasst: **19.01.2003 14:11**

PhilippK hat geschrieben:Ich würde mal die Tabelle phpbb_sessions leeren. Vielleicht hilft's was...

Gruß, Philipp

Leider existiert immernoch das Problem bei einigen Usern.
Wir haben inzwischen die phpbb_sessions geleert und die User bei denen das Problem auftritt haben die Cookies und den Cash geleert - dennoch änderte dies nichts an dem Fehler leider

Verfasst: **21.01.2003 21:14**

das problem liegt an der - vielleicht etwas zu sehr - verbesserten sicherheit in phpBB2 / 2.0.4

als antwort auf das zunehmende session-hijacking wurde in der aktuellen version eine engere bindung zwischen user-ip und user-session definiert - eine auf den ersten blick recht nett anmutende idee (bei postnuke hatten wir das auch einmal) in der realität treten aber ernsthafte probleme auf:
die benutzer-ip ist unter umständen während der laufzeit der session nicht eindeutig - sowohl durch nutzung von proxy-farmen als auch vor allen dingen bei AOL benutzern kann die ip-adresse von anfrage zu anfrage anders sein (und muss dabei noch nicht einmal aus einer subnetzklasse stammen, bei aol können es gar unterschiedliche class-a-netze sein...)

was kann man dagegen tun:
in erster linie versuchen die neuen sicherheitsrichtlinien wieder etwas runterzuschrauben.
der entsprechende check findet sich in der /includes/session.php:

Code: Alles auswählen

			// Do not check IP assuming equivalence, if IPv4 we'll check only first 24
			// bits ... I've been told (by vHiker) this should alleviate problems with 
			// load balanced et al proxies while retaining some reliance on IP security.
			//
			$ip_check_s = substr($userdata['session_ip'], 0, 6);
			$ip_check_u = substr($user_ip, 0, 6);

an dieser stelle kann man versuchen, den ip-check abzuschwächen:

Code: Alles auswählen

			$ip_check_s = substr($userdata['session_ip'], 0, 4);
			$ip_check_u = substr($user_ip, 0, 4);

oder aber auch ganz aufzuheben:

Code: Alles auswählen

			$ip_check_s = substr($userdata['session_ip'], 0, 0);
			$ip_check_u = substr($user_ip, 0, 0);

wenn das nicht ausreichen sollte, bleibt nichts anderes übrig, als das gesamte session-id-checking im quelltext zu entfernen, die entsprechenden blöcke sind jeweils:

Code: Alles auswählen

// session id check 
if ($sid == '' || $sid != $userdata['session_id']) 
{ 
   message_die(GENERAL_ERROR, 'Invalid_session'); 
}

die aus den betroffenen dateien (in der standardversion sind das: usercp_email.php, usercp_register.php, usercp_sendpasswd.php, login.php, modcp.php, privmsg.php) zu entfernen sind.

achtung: mit dieser änderung wird die sicherheit des boards gegenüber session-hijacking eindeutig vermindert!

Verfasst: **22.01.2003 02:21**

Danke sehr für die detailllierten Infos
Aller erste KLasse - Diesen service müsste man Dir eigentlich vergüten

Verfasst: **03.02.2003 19:32**

könnte man vielleicht auch mit der Sessionlänge [ Sekunden ] die man im adminbereich bei kofiguration eingeben kann was bewirken um den fehler nicht mehr aufkommen zu lassen - bei mir steht da ein wert von 3600

achso und wo wir gerade mal dabei sind - sicheres cookie - aktivieren oder deaktivieren - ich bin bei hosteurope ?

Verfasst: **04.02.2003 18:32**

was is das installtaion ging ohne propbleme

aber beim aufrufen des forum
kamm diese meldung

message_die() was called multiple times. This isn't supposed to happen. Was message_die() used in page_tail.php?

Verfasst: **18.02.2003 08:03**

Hi,
das habe ich gemacht (alles gelöscht in den entsprechenden Dateien), aber nun kann ich zwar einen neuen Thread eröffnen, aber nicht antworten.
Komischerweise geht es hier auf PhpBB.de nur auf meinem Board geht es nicht.

Kurzer Nachtrag, wenn ich bei diesem Board hier poste, dann kommt immer der Fehler invalid_email, der Beitrag erscheint aber ganz normal.

phpBB.de

Fehler bei 2.04???

Fehler bei 2.04???

[solved] invalid_session prob in 2.0.4